ประสานการตอบสนองแรกต่อแรนซัมแวร์

กระบวนการ

ทำตามลำดับนี้

1. เปิดใช้แผนตอบสนองเหตุ กำหนดผู้บัญชาการเหตุ เปิดช่องประสานนอกวง และเริ่มบันทึกการตัดสินใจ
2. แยกระบบและส่วนเครือข่ายที่กระทบด้วยวิธีที่อนุมัติ หากแยกไม่ได้ ให้ปิดเครื่องเฉพาะเมื่อผู้นำเหตุตัดสินว่าการแลกนั้นมีเหตุ
3. ปกป้องสำรองและระบบบริหารจากการเข้าถึงเพิ่ม ปิดบัญชีที่ถูกเจาะ และบล็อกตัวบ่งชี้บัญชาการและควบคุมที่ยืนยัน
4. รักษาหลักฐานที่ระเหยและทนทานเมื่อทำได้ ระบุสายพันธุ์แรนซัมแวร์ และกำหนดขอบเขตการเข้ารหัส การขโมยข้อมูล การเจาะตัวตน และการเข้าถึงแรก
5. ดึงที่ปรึกษากฎหมาย ผู้ประกันภัยไซเบอร์ หน่วยงานกำกับ หน่วยงานบังคับใช้กฎหมาย และผู้ตอบสนองภายนอก ตามสัญญาและหน้าที่รายงานที่ใช้ได้
6. เลือกจุดกู้ที่สะอาด สร้างใหม่จากสื่อที่เชื่อถือ หมุนข้อมูลรับรองที่เปิด แก้เวกเตอร์เข้า และตรวจระบบก่อนเชื่อมใหม่
7. รักษาการเฝ้าที่เข้มขึ้น สื่อสารผ่านโฆษกที่อนุมัติ และทำทบทวนหลังปฏิบัติพร้อมการกระทำแก้ไขที่ติดตาม

เตรียมสิ่งนี้

ข้อมูลที่แมวจะขอ

• แผนตอบสนองเหตุและรายชื่อผู้ติดต่อ
• สินทรัพย์ที่กระทบและตัวบ่งชี้ที่สังเกต
• บัญชีสำรองและลำดับการกู้
• ผู้ติดต่อกฎหมาย ผู้ประกันภัย และการรายงาน

เราเตอร์ + playbook เดียว

จัดเส้นทางก่อน เลือกอันเดียว

Cat Paw โหลด playbook เดียวต่องาน ไม่ผสมหลายอัน เริ่มที่เราเตอร์นี้ เส้นทางที่เหลือเป็นตัวเลือกเฉพาะ workflow

• เราเตอร์: cybersecurity-pack
• skills/cybersecurity-skills/performing-ransomware-response/SKILL.md
• skills/cybersecurity-skills/investigating-ransomware-attack-artifacts/SKILL.md

เสร็จหมายถึง

จุดจบที่ตรวจได้

การแพร่ถูกหยุด การตัดสินใจขอบเขตและการรายงานถูกบันทึก บริการสำคัญถูกกู้จากแหล่งที่เชื่อถือ เส้นทางบุกรุกถูกจัดการ และการเฝ้าไม่พบกิจกรรมมุ่งร้ายใหม่ในช่วงสังเกตที่ตกลง

แหล่งที่มา

กระบวนการนี้มาจากไหน

1. www.cisa.gov/ransomware-response-checklist
2. www.cisa.gov/resources-tools/resources/stopransomware-guide
3. csrc.nist.gov/pubs/sp/800/61/r3/final

แหล่งที่มาตั้งรูปแบบของ workflow โพสต์ Reddit และชุมชน ถ้ามี ให้ถือเป็นเรื่องเล่าจากผู้ปฏิบัติ ไม่ใช่ข้อเท็จจริงสากล