Программы-вымогатели остаются одной из самых разрушительных угроз для организаций любого масштаба в регионе. Технические детали меняются, но тяжёлые инциденты развиваются по знакомому сценарию: непонятно, кто за что отвечает, нужных контактов нет под рукой, а резервные копии тоже оказываются зашифрованы.
До инцидента
- Храните хотя бы одну резервную копию офлайн или в неизменяемом хранилище и проверяйте восстановление из неё.
- Включите многофакторную аутентификацию для удалённого доступа, почты и учётных записей администраторов.
- Зафиксируйте, кто какие решения принимает: об отключении систем, обращении в госорганы, коммуникации с клиентами.
- Держите под рукой распечатанный список контактов: почта и телефонный справочник могут оказаться недоступны.
В первый час
- Изолируйте поражённые компьютеры от сети, но не выключайте их: в оперативной памяти могут оставаться следы атаки.
- Отключите скомпрометированные учётные записи и смените пароли и ключи администраторов с чистого устройства.
- Сохраните журналы событий и записки с требованием выкупа. При необходимости сделайте фотографии.
- Позвоните партнёру по реагированию на инциденты, прежде чем вступать в контакт со злоумышленниками.
Лучшее время планировать реагирование — спокойный вторник, а не два часа ночи в субботу.
Двухчасовые штабные учения с участием руководства — одна из самых недорогих и эффективных инвестиций в безопасность. Мы регулярно проводим их для клиентов, и выводы почти всегда оказываются неожиданными.