Halusimme laatia selkeän oppaan siitä, miten toimia, kun kiristysohjelma iskee, sillä useimmat ihmiset joutuvat tekemään päätöksiä paineen alla eivätkä ehdi etsiä tietoa tilanteen keskellä.
1. Eristä tartunnan saaneet järjestelmät
Irrota tartunnan saaneet laitteet verkosta välittömästi. Irrota verkkokaapeli tai poista Wi-Fi käytöstä – älä tyydy pelkästään sammuttamaan laitetta. Sammuttaminen voi tyhjentää väliaikaisen muistin, jota rikostekninen tutkimusryhmä tarvitsee myöhemmin, eikä se estä kiristysohjelmaa pääsemästä jo jaettuihin asemiin tai verkkoon edelleen kytkettyihin varmuuskopioihin.
2. Varmista, että kyseessä on kiristysohjelma, ja tunnista sen muunnos
Etsi lunnasvaatimus, tiedostopääteiden muutokset ja mahdolliset lukitusnäytön viestit. Työkalut, kuten ID Ransomware, tai nopea haku lunnasvaatimuksen tekstistä voivat kertoa, minkä kantojen kanssa olet tekemisissä. Tällä on merkitystä, koska joillekin kannoille on olemassa tunnettuja salauksen purkutyökaluja, ja jotkut käyttäytyvät eri tavalla sen suhteen, mitä ne salaavat ja miten ne leviävät.
3. Ota käyttöön tietoturvapoikkeamien hallintasuunnitelma
Kutsu tapahtumien hallintatiimisi koolle ja ota lakiasiainjohtaja sekä johto mukaan prosessiin jo varhaisessa vaiheessa. Jos sinulla on kybervakuutus, ota tässä vaiheessa yhteyttä vakuutusyhtiöösi, sillä monet vakuutussopimukset edellyttävät ilmoitusta tietyn määräajan kuluessa ja niissä on määritelty suositukset rikosteknisten tutkimusten ja neuvottelujen suorittajiksi.
4. Säilytä todistusaineisto ennen kuin kosket mihinkään muuhun
Ota kuvia vaikutuksen alaisista järjestelmistä tai tallenna ainakin lokitiedot ennen korjaustoimenpiteiden aloittamista. Mielestämme tämä vaihe jätetään liian usein väliin, koska halutaan toimia nopeasti, mutta ilman todisteita menetät mahdollisuuden ymmärtää, miten hyökkääjä pääsi sisään, ja saatat tarvita niitä vakuutuskorvaushakemuksia tai lainvalvontaviranomaisia varten.
5. Ilmoita tapauksesta
Ilmoittaminen ei maksa sinulle mitään, ja sen avulla saatat saada salauksen purkuavaimia tai tietoa kyseisestä uhkaryhmästä. CISA:n #StopRansomware-opas on hyvä viite tässä vaiheessa ja sitä seuraavissa vaiheissa (cisa.gov/stopransomware).
6. Tarkista varmuuskopiosi
Tarkista, ovatko varmuuskopiosi todella puhtaita ja olivatko ne irti verkosta tai eristettyinä hyökkäyksen tapahtuessa. Tämä vaihe määrää yleensä, miten koko palautus sujuu. Jos varmuuskopiot ovat ehjiä, sinulla on todellinen mahdollisuus palauttaa tiedot maksamatta lunnaita kenellekään. Jos ne olivat yhteydessä verkkoon ja salattiin myös, vaihtoehtosi kaventuvat huomattavasti.
7. Tee huolellinen päätös lunnaiden maksamisesta
Tässä tilanteessa kannattaa välttää hätiköityjä päätöksiä. Maksaminen ei takaa, että saat toimivan salauksen purkuavaimen, ja se voi merkitä sinut kohteeksi, joka on valmis maksamaan uudelleen. Maksamatta jättäminen voi tarkoittaa pidempää järjestelmän uudelleenrakentamista. Tämä on päätös, joka kuuluu johdolle, lakiosastolle ja usein myös lainvalvontaviranomaisille yhdessä, eikä se ole asia, josta voi päättää yksin kello kahdelta yöllä. Ontrack on kirjoittanut kompromisseista perusteellisemmin, jos haluat perehtyä aiheeseen syvemmin (pitäisikö lunnaat maksaa).
8. Järjestelmien uudelleenrakentaminen ja palauttaminen puhtaista järjestelmistä
Tyhjennä tartunnan saaneet koneet ja rakenna ne uudelleen toimiviksi tiedetyistä kuvista, ja palauta sitten tiedot varmuuskopioista, joiden olet varmistanut olevan puhtaita. Aseta etusijalle järjestelmät, jotka ovat tärkeimpiä turvallisuuden ja tulojen kannalta, ja rakenna ne uudelleen segmentoidussa ympäristössä, jotta et liitä mitään takaisin tuotantoverkkoon ennen kuin sen on vahvistettu olevan puhdas.
9. Skannaa kaikki ennen uudelleenkytkemistä
Suorita palautetuille järjestelmille täydelliset haittaohjelmatarkistukset ennen kuin ne liitetään takaisin verkkoon. Älä kiirehdi tässä vaiheessa. Jos toimit liian nopeasti, saatat tartuttaa juuri puhdistamasi ympäristön uudelleen.
10. Tarkastele tapahtumia ja korjaa puutteet
Kun tilanne on vakiintunut, tee asianmukainen tapahtuman jälkeinen arviointi. Selvitä tunkeutumiskohde – oliko kyseessä phishing, altistunut RDP-portti vai korjaamaton haavoittuvuus – ja korjaa juuri kyseinen aukko. Päivitä tapahtumien hallintasuunnitelmasi sen perusteella, mitä olet todellisuudessa oppinut, äläkä pelkästään oppikirjojen ohjeiden perusteella.
Muutama rehellinen huomautus: palautumisaikataulut vaihtelevat paljon varmuuskopioiden laadun ja uhan eristämisen nopeuden mukaan. Jos olet parhaillaan tekemisissä aktiivisen tapahtuman kanssa, vaiheet 1–5 on toteutettava välittömästi; kaikki muu voidaan hoitaa sen jälkeen, kun tilanne on saatu hallintaan.
Lähteet:
Suomi | Suomi
Sijainnit
Haku
Takaisin listaukseen
