Co dělat při ransomware útoku?

Krátká odpověď: Prioritou je zabránit dalšímu šíření a uchovat důkazy. Odpojte zasažené systémy od sítě, nepřipojujte bez rozmyslu zálohy, aktivujte incidentní plán a zjistěte rozsah kompromitace dříve, než začnete s obnovou.

Odpověď v kostce: Prioritou je zabránit dalšímu šíření a uchovat důkazy. Odpojte zasažené systémy od sítě, nepřipojujte bez rozmyslu zálohy, aktivujte incidentní plán a zjistěte rozsah kompromitace dříve, než začnete s obnovou.

Izolace

Zasažené stanice a servery izolujte od sítě. Pokud je situace nejasná, koordinujte kroky centrálně, aby jednotliví uživatelé neprováděli chaotické zásahy.

Zálohy

Ověřte, zda zálohy nebyly kompromitovány a zda existuje čistý bod obnovy. Nepřipojujte zálohovací úložiště do napadeného prostředí bez kontroly.

Obnova

Nejdřív odstraňte cestu útočníka, obnovte identity a kritické služby a teprve potom běžný provoz. Jinak hrozí opakované napadení.

Co doporučuje LM‑IT

U firemního IT je důležité rozhodovat podle konkrétního prostředí, rizika a provozních požadavků. Pokud změna zasahuje identity, síť, databázi, produkční systém nebo zálohy, nejdřív ověřte současný stav, připravte návratový plán a změnu zdokumentujte.

Související řešení