Jag ville sammanställa en tydlig guide om vad man ska göra när man drabbas av ransomware, eftersom de flesta fattar beslut under tidspress och inte hinner leta efter information i farten.
1. Isolera de drabbade systemen
Koppla omedelbart bort infekterade datorer från nätverket. Dra ur nätverkskabeln eller inaktivera Wi-Fi – stäng inte bara av datorn. Att stänga av datorn kan radera det flyktiga minnet som forensiska team behöver senare, och det hindrar inte ransomware från att redan ha nått delade enheter eller säkerhetskopior som fortfarande är anslutna till nätverket.
2. Bekräfta att det är ransomware och identifiera varianten
Leta efter lösenbrevet, ändringar i filändelserna och eventuella meddelanden på låsskärmen. Verktyg som ID Ransomware eller en snabb sökning på texten i lösenbrevet kan avslöja vilken variant du har att göra med. Detta är viktigt eftersom det finns dekrypteringsverktyg för vissa varianter, och eftersom vissa varianter beter sig olika när det gäller vad de krypterar och hur de sprider sig.
3. Aktivera din incidenthanteringsplan
Kalla in ditt incidenthanteringsteam och involvera juridisk rådgivare och ledningen i ett tidigt skede. Om du har en cyberförsäkring är det också dags att kontakta ditt försäkringsbolag, eftersom många försäkringar kräver anmälan inom en viss tidsram och har rekommenderade leverantörer för teknisk utredning och förhandlingar.
4. Bevara bevis innan du rör något annat
Ta bilder av de drabbade systemen, eller spara åtminstone loggarna, innan du påbörjar åtgärdandet. Jag tror att detta steg alltför ofta hoppas över eftersom man vill agera snabbt, men utan bevis förlorar du möjligheten att förstå hur angriparen tog sig in, och du kan behöva dem för försäkringsanspråk eller brottsutredningar.
5. Anmäl incidenten
CERT-SE (MSB): Sveriges nationella cybersäkerhetscenter tar emot incidentrapporter och kan ge teknisk hjälp och rådgivning. Om du omfattas av cybersäkerhetslagen (Sveriges genomförande av NIS2) eller är en samhällsviktig verksamhet finns krav på att rapportera allvarliga incidenter, med tidiga varningar inom 24 timmar. Rapporteringen sker då till CERT-SE och/eller din tillsynsmyndighet.
6. Kontrollera dina säkerhetskopior
Kontrollera om dina säkerhetskopior faktiskt är fria från infektion och om de var frånkopplade eller isolerade (air-gapped) vid tidpunkten för attacken. Detta är vanligtvis det steg som avgör hur hela återställningen kommer att gå till. Om säkerhetskopiorna är intakta har du en reell möjlighet att återställa systemet utan att behöva betala någon. Om de var anslutna till nätverket och också krypterades minskar dina alternativ avsevärt.
7. Ta ett noggrant beslut om lösenfrågan
Jag skulle undvika att fatta ett förhastat beslut här. Att betala garanterar inte att du får en fungerande dekrypteringsnyckel, och det kan markera dig som ett mål som är villigt att betala igen. Att inte betala kan innebära en längre återuppbyggnad. Detta är ett beslut som ska fattas gemensamt av ledningen, den juridiska avdelningen och ofta även brottsbekämpande myndigheter, inte något man ska bestämma ensam klockan två på natten. Ibas Ontrack har skrivit mer ingående om avvägningarna om du vill fördjupa dig i detta (ska vi betala lösen).
8. Återuppbygg och återställ från rena system
Rensa de drabbade maskinerna och återuppbygg från bilder som du vet fungerar, återställ sedan data från säkerhetskopior som du har verifierat är rena. Prioritera först de system som är viktigast för säkerheten och intäkterna, och återuppbygg i en segmenterad miljö så att du inte ansluter något till det aktiva nätverket förrän det har bekräftats vara rent.
9. Skanna allt innan du ansluter igen
Kör fullständiga skanningar efter skadlig programvara på återställda system innan de ansluts till nätverket igen. Stressa inte igenom detta steg. Om du går för fort fram här kan du återinfektera en miljö som du just har rensat.
10. Gå igenom vad som hänt och åtgärda säkerhetsluckorna
När läget har stabiliserats, gör en ordentlig utvärdering efter incidenten. Ta reda på ingångspunkten – oavsett om det var nätfiske, en exponerad RDP-port eller en sårbarhet som inte hade åtgärdats – och åtgärda just den bristen. Uppdatera din incidenthanteringsplan utifrån vad du faktiskt har lärt dig, inte bara utifrån vad som står i läroböckerna.
Några ärliga anmärkningar: återställningstiderna varierar mycket beroende på säkerhetskopieringens kvalitet och hur snabbt du isolerar hotet, så jag tvekar att lova ett specifikt antal dagar. Om du just nu hanterar en pågående incident är steg 1 till 5 de som du ska vidta omedelbart; allt annat kan följa när situationen är under kontroll.
Källor:
Sverige | Svensk
Lokationer
Search
Tillbaka till listningen
