WEBPOINT BLOG · PRAKTIČNI VODIČ
Fajlovi su zaključani: šta firma prvo treba da uradi?
Kada dokumenti više ne mogu da se otvore, važno je usporiti pogrešne odluke. Cilj prvog razgovora je da se zaustavi širenje štete i sačuvaju opcije za oporavak.
Kratak odgovor
Odmah uključite odgovornu IT osobu ili tim za incident, sačuvajte poruku napadača i zabilježite pogođene sisteme. Ograničavanje pristupa i izolaciju koordinirajte sa stručnim timom. Ne pokušavajte nasumično dešifrovanje i ne povezujte rezervne kopije sa sumnjivim okruženjem.
1. Utvrdite šta zaista vidite
Poruka o ucjeni, nečitljivi dokumenti, nova ekstenzija i iznenadna nedostupnost aplikacije jesu razlozi za uzbunu. Nijedan znak sam ne opisuje ceo incident: kvar diska, greška aplikacije i ransomware traže različite postupke. Zabilježite kada je problem prvi put primijećen i koji korisnici ga prijavljuju.
Sačuvajte prikaz poruke, naziv pogođenog sistema i dostupne evidencije. Ne objavljujte poslovne dokumente, lozinke ili lične podatke na forumima radi identifikacije. Uzorke i logove predajte samo dogovorenom stručnom timu bezbednim kanalom.
2. Dogovorite ko vodi incident
Jedna osoba treba da koordinira tehnički tim, rukovodstvo i dobavljače. Evidencija odluka sprečava da neko vrati kopiju dok drugi još analizira isti server. Dogovorite alternativni kanal komunikacije ako postoji sumnja da poslovni e-mail nije pouzdan.
Izolaciju pogođenih uređaja i servisa treba sprovesti brzo, uz razumijevanje zavisnosti i čuvanje tragova. O isključivanju, restartovanju ili ponovnoj instalaciji odlučuje stručni tim prema incidentu; nema jednog bezbednog poteza koji odgovara svakoj infrastrukturi.
3. Proverite opcije bez ugrožavanja kopija
Napravite spisak raspoloživih rezervnih kopija: vreme nastanka, obuhvat, lokacija i prava pristupa. Ne pretpostavljajte da je najnovija kopija čista. Utvrdite da li se ključni podaci mogu vratiti u odvojenom, poznato čistom okruženju.
Ponovno instaliranje sistema ne vraća šifrovane dokumente. Nepoznat „decryptor“ može napraviti dodatnu štetu. Proverene mogućnosti dešifrovanja istražuju se za identifikovanu porodicu ransomwarea, bez garancije da alat postoji.
4. Odredite minimum za nastavak rada
Rukovodstvo treba da kaže šta ima prednost: naplata, rezervacije, proizvodnja, komunikacija ili dokumentacija. Zapišite koji podaci su neophodni, ko potvrđuje njihovu ispravnost i kako će se raditi dok sistem nije obnovljen. Tako tehnički oporavak dobija poslovni redosljed.
Istovremeno utvrdite obaveze prijave incidenta i obavještavanja prema lokalnim pravilima i ugovorima. Nemojte pretpostaviti da prestanak šifrovanja znači da nije bilo krađe podataka. Po završetku se dokumentuju uzrok, korekcije, testovi i preostali rizici.
Šta pripremiti za prvi razgovor sa podrškom
Dovoljni su kratak opis problema, broj pogođenih uređaja, najvažniji nedostupni servisi, vreme uočavanja i informacija o postojećim kopijama. Pristupne podatke ne šaljite kroz javnu kontakt formu ili poruku. Uslove pristupa i obim rada potvrđujemo posebno.
WebPoint može prvo proceniti koji obuhvat pomoći je moguć. Preventivni Security Check i aktivni odgovor na incident imaju različit cilj: skener nije automatsko sredstvo za oporavak kompromitovanog sistema.
Primenimo ovo na vašu firmu.
Opišite sisteme koje koristite i cilj koji želite. Obim, pristupe i naredni korak dogovaramo pre rada.