Ransomware: 48 jam yang menentukan segalanya

Pada masa kertas dinding berubah dan nota muncul, bahagian menarik serangan sudah berakhir — penyerang biasanya berada di dalam selama berhari-hari. Perkara yang menentukan sama ada ini ialah minggu buruk atau peristiwa yang wujud sepenuhnya bergantung pada apa yang anda sediakan lebih awal. Inilah cara 48 jam pertama benar-benar berjalan.

Jam sifar: isolasi, jangan siasat

Naluri pertama — mengorek mesin yang dijangkiti untuk "melihat apa yang berlaku" — menyebarkan kerosakan. Langkah pertama yang betul ialah isolasi: tarik sambungan tapak jika diperlukan, potong rangkaian pelayan sandaran terlebih dahulu (ia adalah sasaran permata mahkota), dan simpan satu mesin yang dijangkiti tidak menyentuh untuk analisis kemudian. Ini memerlukan pengetahuan lebih awal siapa yang mempunyai kuasa untuk memutuskan sambungan bisnes. Tuliskan nama itu hari ini.

Jam 1–12: tetapkan apa yang masih ada

Semuanya kini bergantung pada satu soalan: adakah anda mempunyai salinan yang bersih, boleh dicapai, boleh dipulihkan? Jika salinan luar tapak anda tidak boleh diubah dan latihan pemulihan anda memberikan masa sebenar, anda berunding dengan penyerang dari kedudukan penghinaan. Jika sandaran anda berada pada pemacu yang dipeta, ia juga disulitkan, dan 48 jam kelihatan sangat berbeza.

Jam 12–48: bina semula dalam susunan yang tepat

Identiti terlebih dahulu (pengawal domain, tetapan semula kata laluan), kemudian perkhidmatan teras, kemudian titik akhir — ke rangkaian yang bersih, dari imej yang disahkan. Memulihkan fail pengguna terlebih dahulu ke rangkaian yang masih terkompromi ialah cara bisnes mendapat enkripsi dua kali dalam satu minggu. Susunan pemulihan bertulis, dipersetujui apabila tiada siapa panik, lebih berharga daripada mana-mana produk keselamatan tunggal.

Lima persediaan

Satu: salinan luar tapak yang penyerang tidak boleh capai. Dua: latihan pemulihan dengan waktu yang ditetapkan. Tiga: pembuat keputusan pengasingan yang dinamakan terlebih dahulu. Empat: pengurangan keistimewaan supaya satu kata laluan yang dicuri tidak boleh menguasai semuanya. Lima: satu buku panduan halaman dicetak — kerana wiki akan disulitkan bersama-sama dengan semuanya. Tiada satu pun daripada lima ini mahal; semuanya lebih murah daripada satu pembayaran ransom. Halaman pertahanan ransomware kami meliputi cara kami membinanya.