¿Cómo comprobamos si los atacantes del ransomware robaron de verdad nuestros datos?

Busque la transferencia, no la afirmación. Los atacantes a veces exageran para aumentar la presión y a veces sí se llevaron todo lo que dicen. Revise en los registros del cortafuegos y del proxy las transferencias salientes grandes de los días previos al cifrado, sobre todo hacia almacenamiento en la nube o direcciones que nadie más usa, y anote qué equipos internos las enviaron. Compare el volumen con lo que contienen esos servidores. Pida una muestra como prueba solo a través de su equipo de respuesta y mire qué contiene. Los registros de auditoría del almacenamiento en la nube y de los servicios SaaS pueden mostrar descargas masivas. Si las pruebas no muestran una transferencia saliente significativa, eso ayuda a decidir y a cualquier notificación, pero la falta de pruebas en una vía no demuestra que no saliera nada por otra. NetSenX conserva alertas de volúmenes salientes inusuales por equipo, con hora, destino y volumen; no ve los nombres de archivo en las transferencias cifradas.

← Las 60 preguntas sobre Respuesta a incidentesTodos los temas