Come sapere che un backup è pulito prima di ripristinarlo?
Non si può esserne certi, ma si può ridurre molto il rischio. Parta dalla cronologia: da log, dati degli endpoint e cronologia di rete ricostruisca quando è iniziata davvero l'intrusione, non quando è avvenuta la cifratura, e per i sistemi critici preferisca un punto di ripristino precedente a quella data. Ripristini in un ambiente isolato e analizzi il risultato con strumenti di sicurezza aggiornati, compresi gli indicatori di compromissione emersi dall'indagine o dall'avviso CISA pertinente. Cerchi ciò che non dovrebbe esserci: nuovi account locali o di dominio, attività pianificate, servizi ed elementi di avvio, strumenti di accesso remoto e web shell sui server web. Confronti la configurazione ripristinata con la documentazione o con una copia affidabile. Poi osservi il comportamento in rete del sistema ripristinato prima di fidarsene. NetSenX aiuta in questo: un host ripristinato che inizia connessioni regolari in uscita o scansiona altre macchine compare negli avvisi, mentre diversi giorni tranquilli sono un segnale utile, anche se non assoluto.