РАЗПОЗНАВАНЕ
Възможни признаци
Един симптом сам по себе си не потвърждава пробив. Запишете какво наблюдавате и го проверете с отговорния екип.
- Файлове и споделени папки получават ново разширение или вече не се отварят.
- Появява се бележка с искане за плащане или заплаха за публикуване на данни.
- Много устройства или сървъри стават бавни, недостъпни или показват сходни съобщения.
- Резервни копия, администраторски акаунти или защитни инструменти изглеждат променени.
ПЪРВИ ДЕЙСТВИЯ
Какво да направите сега
- 01
Свържете се с отговорния ИТ/сигурност екип
Използвайте телефон или друг предварително доверен канал. Определете един координатор и уведомете ръководството, доставчика на ИТ услуги и киберзастрахователя според плана.
- 02
Ограничете засегнатите системи под ръководство
ИТ екипът трябва координирано да изолира потвърдено засегнатите устройства и сегменти. Не изключвайте произволно цялата инфраструктура: това може да прекъсне критични услуги и да унищожи следи в паметта.
- 03
Запазете съобщенията и времевата линия
Снимайте бележката, отбележете кога и къде е видяна и кои системи са засегнати. Не изтривайте файлове, не стартирайте инструменти за „почистване“ и не възстановявайте от резервни копия преди оценка.
- 04
Проверете обхвата преди възстановяване
Запазете журналите и наличните доказателства. ИТ/реагиращият екип трябва да провери дали има засегнати акаунти, резервни копия или изтичане на данни, преди да върне системи в работа.
НАСОКИ ЗА РЕАКЦИЯ
Защо координацията е важна
Криптирането може да е видимият финал на по-дълъг достъп до мрежата. Нападателят може да е използвал компрометиран акаунт, отдалечен достъп или уязвима услуга, а понякога преди криптирането са копирани данни. Затова възстановяването на файловете само по себе си не доказва, че достъпът е прекратен.
Използвайте телефон или друг доверен канал за координация. Избягвайте да обсъждате плана през компрометирани пощенски кутии или чатове. Посочете човек, който записва решенията, времето и засегнатите системи.
- Не включвайте отново изолиран компютър към мрежата без разрешение.
- Не свързвайте архивни носители към потенциално заразена машина.
- Не плащайте и не преговаряйте без ръководството и квалифициран правен/застрахователен съвет.
НАСОКИ ЗА РЕАКЦИЯ
Какво да запазите
Запишете видяното без да променяте средата: име на устройство и потребител, приблизително време, път до бележката и примерни имена на засегнати файлове. Съхранете оригиналното съобщение и известията от защитните системи. ИТ специалистите могат да експортират релевантни журнали и моментни копия по одобрен процес.
Не качвайте журнали, файлове, пароли или ключове в публични формуляри и споделени хранилища. Предавайте чувствителни материали само през канал, одобрен от организацията и екипа за реакция.
- Отбележете последно работещо резервно копие и кой има достъп до него.
- Запазете контактите на доставчици и системите, които зависят от засегнатите услуги.
НАСОКИ ЗА РЕАКЦИЯ
Възстановяване и следващи решения
Възстановяването трябва да започне след оценка на обхвата, прекратяване на неоторизирания достъп и определяне на чиста среда. ИТ екипът решава кои услуги са най-критични и проверява целостта на резервните копия преди употреба. Връщайте системите поетапно, наблюдавайте ги и сменете засегнатите идентификационни данни от надеждно устройство.
Ако може да са засегнати лични данни, включете длъжностното лице по защита на данните и правния екип веднага. Приложимите задължения за оценка и уведомяване зависят от фактите и риска; те не се определят само от наличието на ransomware.
- Документирайте направените промени и одобренията.
- Определете какво е възстановено и какво остава под наблюдение.
НАСОКИ ЗА РЕАКЦИЯ
Как SOC.bg може да помогне
Инфосек Груп може да обсъди първоначалния контекст, наличните сигнали и дали случаят съответства на договорената услуга или изисква отделен обхват за реакция при инцидент. Първият контакт не създава автоматично договор или 24/7 дежурство. Уточнете кои системи са ваши и кой има право да одобрява действията.
- За контакт: contact@soc.bg или +359 876 830 388.
- Не изпращайте пароли, токени, ключове или чувствителни журнали в първото запитване.
ЧЕСТО ЗАДАВАНИ ВЪПРОСИ
Кратки отговори
Трябва ли веднага да изключим всички компютри?
Не предприемайте масово изключване без преценка на отговорния ИТ екип. Координирайте изолирането на засегнатите устройства; изключване може да унищожи данни в паметта и да прекъсне критични услуги.
Да възстановим ли веднага файловете от backup?
Първо проверете обхвата и дали средата и резервните копия са чисти. Ранното възстановяване може да върне заплахата или да унищожи доказателства.
Гарантира ли SOC.bg възстановяване на данните?
Не. Възстановимостта зависи от обхвата, състоянието на копията и средата. Конкретната помощ и ангажимент се уточняват след първоначален разговор и съгласуван обхват.
ОФИЦИАЛНИ НАСОКИ