Wie prüfen wir, ob die Ransomware-Angreifer wirklich unsere Daten gestohlen haben?
Suchen Sie nach der Übertragung, nicht nach der Behauptung. Angreifer übertreiben manchmal, um den Druck zu erhöhen, und manchmal haben sie tatsächlich alles mitgenommen, was sie sagen. Prüfen Sie Firewall- und Proxy-Logs auf große ausgehende Übertragungen in den Tagen vor der Verschlüsselung, besonders zu Cloud-Speichern oder Adressen, die sonst niemand nutzt, und notieren Sie, welche internen Hosts sie gesendet haben. Vergleichen Sie die Menge mit dem, was diese Server enthalten. Fordern Sie eine Beweisprobe nur über Ihren Dienstleister an und sehen Sie sich an, was sie enthält. Audit-Logs von Cloud-Speichern und SaaS-Diensten können Massen-Downloads zeigen. Zeigen die Beweise keine nennenswerte ausgehende Übertragung, hilft das bei der Entscheidung und bei einer Meldung, aber fehlende Belege auf einem Weg beweisen nicht, dass nichts auf einem anderen abgeflossen ist. NetSenX bewahrt Alarme zu ungewöhnlichen ausgehenden Datenmengen pro Host mit Zeitpunkt, Ziel und Menge auf; Dateinamen in verschlüsselten Übertragungen sieht es nicht.