Когато рансъмуеърът удари, първите часове са решаващи. Паниката и прибързаните действия често влошават ситуацията. Следващите стъпки помагат да ограничите щетите, да запазите възможности за възстановяване и да изпълните задълженията си. Подготвеният план превръща хаоса в подредена последователност от действия.

Преди да предприемете каквото и да било, поемете дъх и не действайте сами. Първият импулс често е да изтриете заразеното и да възстановите бързо, но точно това може да унищожи доказателства и да отвори вратата за повторна атака. Дисциплината в първите минути се отплаща многократно.

Ако разполагате с предварително подготвен план за реакция, сега е моментът да го отворите и да следвате стъпките му. Ако нямате такъв, действайте методично и записвайте всяко решение. Целта е да преминете от изненада към контролирана реакция възможно най-бързо, без да правите необратими грешки.

Изолирайте, без да изключвате прибързано

Първата цел е да спрете разпространението. Изолирайте засегнатите системи от мрежата — изключете кабела, деактивирайте безжичните връзки и затворете отдалечения достъп. Избягвайте обаче рязко изключване на захранването, защото това може да унищожи ценни доказателства в паметта, които по-късно ще са нужни за разследването.

  • Откачете заразените машини от мрежата, но ги оставете включени, ако е възможно.
  • Изолирайте сегментите, в които виждате активност, за да защитите останалите.
  • Защитете резервните копия — откачете ги, преди да бъдат засегнати.
  • Сменете компрометираните администраторски и сервизни акаунти.

Целта на изолацията е да спечелите контрол над ситуацията. Докато заразата се разпространява, всяка минута има значение, затова е важно тези стъпки да се изпълняват едновременно от подготвен екип, а не последователно от един човек.

Ако имате сегментирана мрежа, изолацията е значително по-лесна, защото можете да затворите цели зони наведнъж. Ако мрежата е плоска, може да се наложи бързо да откачите по-големи части от инфраструктурата, дори с цената на временно прекъсване на услуги. В кризисен момент спирането на разпространението е по-важно от удобството.

Запазете доказателствата

Не бързайте да изтривате, форматирате или възстановявате всичко веднага. Доказателствата са нужни, за да разберете как е станала атаката, докъде са стигнали нападателите и дали са изнесени данни. Това е работа за дигитална криминалистика, която изисква специфичен подход за събиране и съхранение.

Запазете системни логове, образи на дисковете и бележки за това какво и кога сте наблюдавали. Тази информация е ценна и за евентуални правни и регулаторни процедури, а понякога помага и да се установи дали изобщо съществува работещ инструмент за разшифроване.

Активирайте екипа за реакция

Рансъмуеърът не е само ИТ инцидент. Свикайте предварително определен екип, който включва ръководство, ИТ, правен експерт и комуникации. Ако нямате вътрешен капацитет, привлечете външна реакция при инциденти възможно най-рано.

Решенията кой какво прави и кой говори навън трябва да са взети преди кризата, а не по време на нея.

Определете един човек, който координира реакцията и взема решенията, за да не се губи време в объркване. Водете хронология на всичко, което се случва и решава — тя ще бъде безценна както по време на инцидента, така и при последващия анализ.

Комуникирайте контролирано

Вътрешната и външната комуникация трябва да са премислени. Информирайте служителите какво да правят и какво не. Подгответе се да уведомите засегнати клиенти, партньори и регулатори, когато това се изисква по закон. Прибързаните или противоречиви съобщения могат да навредят на репутацията повече от самата атака.

При определени организации NIS2 и DORA налагат срокове за докладване на инциденти. Знайте предварително какви са вашите задължения, за да не пропуснете крайни срокове и да не добавите регулаторни глоби към и без това тежката ситуация.

Оценете възможностите за възстановяване

След като ситуацията е под контрол, оценете кои системи можете да възстановите от чисти резервни копия и в какъв ред. Не свързвайте обратно нищо в мрежата, преди да сте сигурни, че нападателите вече нямат достъп. В противен случай рискувате да започнете всичко отначало само дни по-късно.

Поучете се от инцидента

Когато прахът се слегне, направете спокоен анализ какво се е случило и защо. Целта не е да се търси вина, а да се затворят пропуските, които са позволили атаката. Този урок често е най-ценният резултат от една иначе болезнена криза.

Прегледайте и самия план за реакция: кои стъпки сработиха, къде се загуби време и какво липсваше. Актуализирайте контактите, процедурите и резервните копия на база реалния опит. Организациите, които системно се учат от инцидентите, се справят все по-добре, докато тези, които просто бързат да забравят, рискуват да повторят същата грешка.

Подробности за връщането в работа има в материала за възстановяване и резервни копия, а въпросът дали изобщо да преговаряте за откуп разглеждаме отделно в да платим ли откуп при рансъмуеър.