Jak sprawdzić, czy napastnicy z ransomware naprawdę ukradli nasze dane?

Szukaj transferu, nie deklaracji. Napastnicy czasem przesadzają, żeby zwiększyć presję, a czasem naprawdę zabrali wszystko, o czym mówią. Sprawdź w logach firewalla i proxy duże transfery wychodzące w dniach przed szyfrowaniem, zwłaszcza do usług przechowywania w chmurze lub na adresy, z których nikt inny nie korzysta, i zanotuj, które hosty wewnętrzne je wysłały. Porównaj wolumen z tym, co przechowują te serwery. O próbkę jako dowód proś wyłącznie przez zespół reagowania i sprawdź, co zawiera. Logi audytowe chmury i usług SaaS mogą pokazać masowe pobrania. Jeśli dowody nie wskazują istotnego transferu wychodzącego, pomaga to w decyzji i ewentualnym zgłoszeniu, ale brak dowodów na jednej ścieżce nie dowodzi, że nic nie wyszło inną. NetSenX przechowuje alerty o nietypowym wolumenie danych wychodzących dla każdego hosta, z czasem, celem i wolumenem; nie widzi nazw plików w szyfrowanych transferach.

← Wszystkie pytania (60): Reagowanie na incydentyWszystkie tematy