Реакцията и възстановяването при рансъмуер помагат на организацията да ограничи зловредната дейност, да разбере какъв достъп е получил нападателят, да защити доказателствата и да възстанови надеждните услуги чрез контролиран процес на възстановяване. Услугата е предназначена за организации, изправени пред криптиране, изнудване, съмнение за кражба на данни, широко разпространена компрометация на крайни точки или предшестваща дейност, свързана с рансъмуер.
Линкът е копиран!
Реакция и възстановяване при рансъмуер
Активен инцидент? Обадете ни се на +359877886044 или ни пишете на incident@ctg.bg при активен или предполагаем инцидент.
Какви резултати постигате с тази услуга?
Целта е да се съкрати времето за вземане на решения при смущаващи събития, да се запазят доказателствата и да се подпомогне контролираното възстановяване.
- Спиране или ограничаване на активното разпространение и злоупотребата с привилегии.
- Определяне на вероятната входна точка, устойчивостта и засегнатия обхват.
- Защита на доказателствата за целите на разследването, застраховането и правните решения.
- Приоритизиране на възстановяването на критичните услуги.
- Намаляване на повторното заразяване и валидиране на контролите за възстановяване.
Обхват: какво изследваме
Обхватът се фиксира съвместно с вас преди началото на каквато и да е работа. В зависимост от целта, средата и разрешения достъп ангажиментът може да включва:
- Първоначална оценка и координация при криза.
- Ограничаване на ниво идентичност, крайни точки, сървъри и мрежа.
- Криминалистично запазване и определяне на обхвата.
- Доказателства за зловреден софтуер, устойчивост и странично придвижване.
- Индикатори за ексфилтрация на данни, когато има доказателства.
- Цялост на резервните копия и готовност за възстановяване.
- Смяна на идентификационни данни, възстановяване на доверието и заздравяване.
- Преглед след инцидента и подобрения.
Нашият подход, стъпка по стъпка
Потвърждаване на безопасността, критичните услуги, известното въздействие, комуникацията и правомощията за вземане на решения.
1. Стабилизиране на ситуацията:
Координиране на съразмерна изолация, контрол на профилите и запазване на доказателствата.
2. Ограничаване на разпространението и защита на доказателствата:
Проучване на първоначалния достъп, привилегиите, устойчивостта, придвижването и засегнатите данни.
3. Определяне на обхвата на дейността на нападателя:
Приоритизиране на системите, валидиране на резервните копия, възстановяване на доверието и определяне на контролни точки за възстановяване.
4. Подготовка на надеждно възстановяване:
Валидиране на възстановените услуги, наблюдение за повторна поява и документиране на действията за подобрение.
5. Възстановяване и извличане на поуки:
Резултати, по които можете да действате
Всичко, което предаваме, е насочено както към ръководството, така и към хората, които ще предприемат действия по него. В зависимост от обхвата резултатите могат да включват:
- Оценка на ситуацията с рансъмуер.
- Дневник на ограничаването и решенията.
- Криминалистичен обхват и график.
- План за приоритетите и зависимостите при възстановяването.
- Действия за смяна на идентификационни данни и възстановяване на доверието.
- Наблюдения от валидирането на възстановяването.
- Окончателен доклад за инцидента и подобренията.
Как CTG поддържа фокуса на работата?
Контактите, правомощията, сигурните комуникации, обработването на доказателства и ескалацията се определят преди началото на чувствителната работа. Заключенията разграничават потвърдените факти, обоснованите хипотези и липсващите доказателства, а действията за възстановяване се валидират преди приключване.
Кога тази услуга е правилният избор?
- Файлове или системи се криптират.
- Получено е съобщение с искане за откуп или контакт от заплашващ субект.
- EDR показва широко разпространено изпълнение на зловреден код.
- Резервните копия или административната инфраструктура може да са компрометирани.
- Има съмнение за кражба на данни преди криптирането.
- Възстановяването е в ход, но доверието в средата е несигурно.
Как работим: стандарти и граници?
Ангажиментът може да се опира на насоките на NIST за реакция при инциденти, практиките за криминалистични доказателства и изискванията на клиента за непрекъснатост на бизнеса и възстановяване. Позоваването на дадена рамка описва как структурираме работата; само по себе си то не представлява сертификация, акредитация или решение на регулаторен орган.
Графиците се определят след съгласуване на обхвата и варират според размера на средата и наличността на доказателства и заинтересовани страни.
CTG не гарантира дешифриране, възстановяване на данни или липса на ексфилтрация. Решенията относно комуникацията за откуп, плащането, санкциите, правното уведомяване и застраховането трябва да бъдат вземани от клиента съвместно с оправомощени правни, застрахователни и правоохранителни съветници.
Обсъдете услугата „Реакция и възстановяване при рансъмуер“ с CTG. Кратка сесия за определяне на обхвата потвърждава целта, границите, доказателствата, модела на предоставяне и резултатите, преди да изготвим предложение.
Свързани услуги
Често задавани въпроси
Какво обхваща услугата „Реакция и възстановяване при рансъмуер“?
Обхватът се фиксира съвместно с вас преди началото на каквато и да е работа. Типичните области включват първоначална оценка и координация при криза, ограничаване на ниво идентичност, крайни точки, сървъри и мрежа, криминалистично запазване и определяне на обхвата, както и доказателства за зловреден софтуер, устойчивост и странично придвижване. Изключенията, необходимият достъп, вашите отговорности и критериите за приемане са изцяло описани в предложението.
Какво ще получим след приключване на ангажимента?
Резултатите зависят от договорената цел и могат да включват оценка на ситуацията с рансъмуер, дневник на ограничаването и решенията, криминалистичен обхват и график, както и план за приоритетите и зависимостите при възстановяването. Всяка съществена констатация е обвързана с доказателства, въздействие върху бизнеса, приоритет и ясно определен отговорник за следващата стъпка.
Какво трябва да направим, преди да споделим доказателства за инцидента?
Използвайте одобрения сигурен канал за комуникация и прехвърляне. Където е възможно, запазете оригиналните данни, отбележете кой ги е обработвал и избягвайте ненужни промени по засегнатите системи, докато не бъдат съгласувани приоритетите на реакцията.
Може ли CTG да гарантира възстановяване или конкретен резултат?
Не. Условията на инцидента, достъпът, щетите и зависимостите от трети страни са различни. CTG може да подпомогне ограничаването, разследването и възстановяването в рамките на договорения обхват, но не може да гарантира възстановяване на данни, атрибуция или липса на по-нататъшна компрометация.
Колко време отнема ангажиментът?
Графиците се определят след съгласуване на обхвата и варират според размера на средата и наличността на доказателства и заинтересовани страни.
Как това се отнася към „Спешна реакция при киберинцидент“?
Тези услуги отговарят на свързани, но различни въпроси. Определянето на обхвата установява дали „Реакция и възстановяване при рансъмуер“, „Спешна реакция при киберинцидент“ или координирана програма е най-малкият полезен подход без дублиране на работата.
Кои са основните ограничения?
CTG не гарантира дешифриране, възстановяване на данни или липса на ексфилтрация. Решенията относно комуникацията за откуп, плащането, санкциите, правното уведомяване и застраховането трябва да бъдат вземани от клиента съвместно с оправомощени правни, застрахователни и правоохранителни съветници.