Czy gangi ransomware najpierw atakują kopie zapasowe?

Bardzo często tak. Zanim zaczną szyfrować, napastnicy szukają serwera kopii zapasowych, konsoli oprogramowania do backupu oraz migawek i kopii w tle, a potem je usuwają, szyfrują lub uszkadzają, żeby ofiara nie mogła się odtworzyć bez płacenia. MITRE ATT&CK opisuje to jako Inhibit System Recovery (T1490), a usuwanie kopii w tle pojawia się w wielu komunikatach CISA o ransomware. Częstymi słabymi punktami są konta administratorów backupu i serwery kopii zapasowych przyłączone do tej samej domeny co cała reszta. Obrona: miej co najmniej jedną kopię niezmienialną lub offline, uruchamiaj system backupu z osobnymi danymi logowania i uwierzytelnianiem wieloskładnikowym, w miarę możliwości trzymaj go poza główną domeną i ogranicz, które maszyny mogą się z nim łączyć. Po stronie sieci sygnałem ostrzegawczym są połączenia z serwerem kopii zapasowych z maszyn, które normalnie nigdy się z nim nie łączą. Mapa sieci NetSenX pokazuje, które hosty docierają do każdego serwera, a nietypowe połączenia wewnętrzne są oznaczane jako możliwy ruch boczny.

← Wszystkie pytania (25): Kopie zapasowe i odtwarzanieWszystkie tematy