Jeg ville lage en tydelig veiledning om hva du skal gjøre når ransomware først har rammet, siden de fleste tar beslutninger under press og ikke har tid til å undersøke underveis.
1. Isoler de berørte systemene
Koble infiserte maskiner fra nettverket umiddelbart. Trekk ut nettverkskabelen eller slå av Wi-Fi, ikke bare slå av maskinen. Når du slår av, kan det flyktige minnet slettes, og det trenger etterforskerne senere. Det stopper heller ikke ransomware som allerede har nådd delte stasjoner eller backuper som fortsatt er koblet til nettverket.
2. Bekreft at det er ransomware og identifiser varianten
Se etter løsepengekravet, endringer i filendelser og eventuelle meldinger på låseskjermen. Verktøy som ID Ransomware, eller et raskt søk på teksten i løsepengekravet, kan fortelle deg hvilken variant du har med å gjøre. Det er viktig fordi noen varianter har kjente dekrypteringsverktøy, og fordi de oppfører seg ulikt når det gjelder hva de krypterer og hvordan de sprer seg.
3. Aktiver beredskapsplanen for hendelseshåndtering
Ring inn teamet ditt for hendelseshåndtering, og involver juridisk rådgiver og ledelsen tidlig. Hvis du har cyberforsikring, er dette også tidspunktet for å kontakte forsikringsselskapet, siden mange avtaler krever varsling innen en bestemt frist og har foretrukne leverandører for etterforskning og forhandling.
4. Sikre bevis før du rører noe annet
Lag avbildninger av berørte systemer, eller lagre i det minste loggene, før du begynner å utbedre. Jeg tror dette trinnet hoppes over for ofte fordi folk vil handle raskt, men uten bevis mister du muligheten til å forstå hvordan angriperen kom seg inn, og du kan trenge dem til forsikringskrav eller politiet.
5. Meld fra om hendelsen
I USA melder du fra til FBIs Internet Crime Complaint Center (IC3) og CISA. Det koster ingenting å melde fra, og det kan sette deg i kontakt med dekrypteringsnøkler eller informasjon om den aktuelle trusselaktøren. CISAs #StopRansomware-veiledning er en god referanse for denne fasen og de som følger etter.(cisa.gov/stopransomware).
6. Vurder backupene dine
Sjekk om backupene faktisk er rene, og om de var frakoblet eller “air gapped” da angrepet skjedde. Det er som regel dette trinnet som avgjør hvordan hele rekonstruksjonen går. Hvis backupene er intakte, har du en reell vei tilbake uten å betale noen. Hvis de var koblet til nettverket og også ble kryptert, blir mulighetene dine mye færre.
7. Ta stilling til spørsmålet om løsepenger, med omhu
Jeg ville unngått en forhastet avgjørelse her. Å betale gir ingen garanti for at du får en fungerende dekrypteringsnøkkel, og det kan merke deg som et mål som er villig til å betale igjen. Å la være kan bety en lengre gjenoppbygging. Dette er en beslutning for ledelsen, juridisk avdeling og ofte politiet sammen, ikke noe du bør avgjøre alene klokken to om natten. Ontrack har skrevet mer utførlig om avveiningene hvis du vil lese mer om dette. (should we pay the ransom).
8. Bygg opp igjen og gjenopprett fra rene systemer
Tøm berørte maskiner og bygg dem opp igjen fra kjente, rene images, og gjenopprett deretter data fra backuper du har bekreftet er rene. Prioriter systemene som er viktigst for sikkerhet og inntekter først, og bygg opp igjen i et segmentert miljø, slik at du ikke kobler noe til det aktive nettverket før det er bekreftet rent.
9. Skann alt før du kobler til igjen
Kjør full skanning etter skadevare på gjenopprettede systemer før de settes tilbake på nettverket. Ikke hast med dette trinnet. Går du for fort fram her, kan du smitte et miljø du nettopp har renset.
10. Gå gjennom hva som skjedde og tett hullene
Når situasjonen er stabil, bør du gjennomføre en ordentlig gjennomgang etter hendelsen. Finn ut hvor angriperen kom inn, enten det var phishing, en åpen RDP-port eller en sårbarhet uten sikkerhetsoppdatering, og fiks akkurat det hullet. Oppdater beredskapsplanen for hendelseshåndtering basert på det du faktisk har lært, ikke bare på det læreboka sier.
Noen ærlige merknader: Tidsrammene for rekonstruksjon varierer mye, avhengig av kvaliteten på backupene og hvor raskt du isolerer trusselen, så jeg er varsom med å love et bestemt antall dager. Hvis du har en pågående hendelse akkurat nå, er trinn 1 til 5 de du bør handle på umiddelbart. Alt annet kan følge når situasjonen er under kontroll.
Kilder: