Czy zainfekowany komputer odłączyć od sieci, czy wyłączyć?

Odłącz go od sieci, ale nie wyłączaj, chyba że masz ku temu powód. Wyjęcie kabla i wyłączenie Wi-Fi odbiera napastnikowi kontrolę i zatrzymuje rozprzestrzenianie, a pamięć zachowuje dowody, które znikają przy wyłączeniu: uruchomione programy, połączenia sieciowe, czasem klucze szyfrujące pomocne przy odzyskiwaniu danych. Wyłączenie jest właściwe, gdy nie da się odizolować maszyny inaczej, a szkody szybko się rozszerzają, albo gdy proszą o to specjaliści. Nie loguj się jako administrator, żeby się rozejrzeć, nie uruchamiaj narzędzi czyszczących i nie restartuj przed zasięgnięciem porady, bo każdy krok zmienia dowody. Zanotuj godzinę i to, co zrobiłeś. Jeśli to serwer, od którego zależą inni, izoluj go na przełączniku lub firewallu zamiast wyciągać kable na chybił trafił. Sensor sieciowy, taki jak NetSenX, przechowuje zapis tego, co maszyna robiła, zanim ją odłączyłeś.

Ta odpowiedź, z szerszym kontekstem, jest też tutaj: Reagowanie na incydenty

← Wszystkie pytania (60): Reagowanie na incydentyWszystkie tematy