Skąd wiadomo, że kopia zapasowa jest czysta, zanim się ją odtworzy?

Pewności mieć nie można, ale można znacznie zmniejszyć ryzyko. Zacznij od osi czasu: z logów, danych ze stacji końcowych i historii sieci ustal, kiedy włamanie naprawdę się zaczęło, a nie kiedy nastąpiło szyfrowanie, i dla krytycznych systemów wybieraj punkt przywracania sprzed tej daty. Odtwarzaj w odizolowanym środowisku i skanuj wynik aktualnymi narzędziami bezpieczeństwa, także pod kątem wskaźników kompromitacji z Twojego dochodzenia lub z właściwego komunikatu CISA. Szukaj rzeczy, których być nie powinno: nowych kont lokalnych lub domenowych, zadań zaplanowanych, usług i elementów autostartu, narzędzi zdalnego dostępu oraz web shelli na serwerach stron internetowych. Porównaj odtworzoną konfigurację z dokumentacją lub sprawdzoną kopią. Potem obserwuj zachowanie odtworzonego systemu w sieci, zanim mu zaufasz. NetSenX tu pomaga: odtworzony host, który zaczyna regularne połączenia wychodzące albo skanuje inne maszyny, pojawia się w alertach, a kilka spokojnych dni to przydatny, choć nie bezwzględny, sygnał.

← Wszystkie pytania (25): Kopie zapasowe i odtwarzanieWszystkie tematy