เมื่อวอลเปเปอร์เปลี่ยนและข้อความปรากฏ ส่วนที่น่าสนใจของการโจมตีได้สิ้นสุดลง — ผู้บุกรุกมักอยู่ข้างในมาหลายวันแล้ว สิ่งที่ตัดสินว่านี่เป็นสัปดาห์แย่ๆ หรือเหตุการณ์สำคัญขึ้นอยู่กับสิ่งที่คุณเตรียมไว้ก่อนหน้านี้อย่างเดียว นี่คือวิธีการทำงานของ 48 ชั่วโมงแรกจริงๆ
ชั่วโมงที่ศูนย์: แยกออก อย่าสืบสวน
สัญชาติญาณแรก — เอะใจโปรแกรมที่ติดเชื้อ "เพื่อดูว่าเกิดอะไรขึ้น" — ทำให้ความเสียหายแพร่กระจาย การเคลื่อนไหวแรกที่ถูกต้องคือการแยกออก: ยกเลิกการเชื่อมต่อ uplink ของไซต์หากจำเป็น ตัดการเชื่อมต่อของเซิร์ฟเวอร์ backup ก่อน (มันเป็นเป้าหมายที่มีมูลค่ามากที่สุด) และรักษา เครื่องที่ติดเชื้อหนึ่งเครื่องไว้ไม่ยุ่งเพื่อการวิเคราะห์ในภายหลัง สิ่งนี้ต้องรู้ล่วงหน้าว่าใครมีอำนาจในการตัดการเชื่อมต่อธุรกิจ จดชื่อนั้นไว้วันนี้
ชั่วโมงที่ 1–12: สร้างสิ่งที่คุณยังคงมี
ทุกอย่างขึ้นอยู่กับคำถามหนึ่ง: คุณมีสำเนาที่สะอาด เข้าถึงได้ และสามารถกู้คืนได้หรือไม่ หากสำเนา off-site ของคุณไม่เปลี่ยนแปลงและการฝึกกู้คืนของคุณให้เวลาจริง คุณกำลังเจรจากับผู้บุกรุกจากตำแหน่งที่ดูหมิ่น หากแบ็คอัปของคุณอยู่บน mapped drive มันก็ถูกเข้ารหัสด้วย และ 48 ชั่วโมงดูแตกต่างไปเสียก็ได้
ชั่วโมงที่ 12–48: สร้างใหม่ตามลำดับที่ถูกต้อง
Identity ก่อน (domain controllers, password resets) จากนั้น core services จากนั้น endpoints — บนเครือข่ายที่สะอาด จากภาพที่ยืนยัน การกู้คืนไฟล์ผู้ใช้ก่อนบนเครือข่ายที่ยังคงมีความเสี่ยงคือวิธีที่ธุรกิจได้รับการเข้ารหัสสองครั้งในหนึ่งสัปดาห์ ลำดับการกู้คืนที่เขียนไว้ ตกลงเมื่อไม่มีใครตกใจ มีค่ามากกว่าผลิตภัณฑ์ความปลอดภัยแบบเดี่ยว
การเตรียมการห้าประการ
หนึ่ง: สำเนาข้อมูลนอกสถานที่ที่ผู้โจมตีเข้าถึงไม่ได้ สอง: การซ้อมการกู้คืนข้อมูลพร้อมระยะเวลา สาม: ผู้ตัดสินใจแยกแบ่งตั้งชื่อไว้ล่วงหน้า สี่: การลดสิทธิ์เพื่อไม่ให้รหัสผ่านเดียวที่ถูกขโมยควบคุมทั้งระบบ ห้า: คู่มือฉุกเฉินแบบหน้าเดียวที่พิมพ์แล้ว — เพราะ wiki จะถูกเข้ารหัสพร้อมกับทุกอย่าง ทั้งห้าข้อนี้ไม่มีค่าใช้จ่ายสูง ถูกกว่าการจ่ายค่าเสียหายบาดเจ็บ หน้าป้องกันแรนซัมแวร์ ของเรามีรายละเอียดวิธีการสร้างของเรา