Hoe weten we dat een back-up schoon is voordat we hem terugzetten?
Zeker weten kunt u het niet, maar u kunt het risico flink verkleinen. Begin met de tijdlijn: bepaal uit logs, endpointdata en netwerkgeschiedenis wanneer de inbraak echt begon, niet wanneer er werd versleuteld, en kies voor kritieke systemen bij voorkeur een herstelpunt van daarvoor. Herstel in een geïsoleerde omgeving en scan het resultaat met actuele beveiligingstools, ook op de indicatoren van compromittering uit uw onderzoek of uit de relevante CISA-waarschuwing. Zoek naar wat er niet hoort: nieuwe lokale of domeinaccounts, geplande taken, services en opstartitems, tools voor toegang op afstand en webshells op webservers. Vergelijk de herstelde configuratie met de documentatie of een bekend schone kopie. Kijk daarna naar het netwerkgedrag van het herstelde systeem voordat u het vertrouwt. NetSenX helpt hierbij: een hersteld systeem dat regelmatige uitgaande verbindingen begint of andere machines scant, verschijnt in de alerts, terwijl een paar rustige dagen een nuttig, maar geen absoluut, teken zijn.