Na een aanval herbouwt u niet op dezelfde machines
Op de dag na een ransomware-aanval is de vraag niet of de back-up er is, maar waar u hem op terugzet. De bestaande omgeving is bewijsmateriaal en verdacht tegelijk; erop herstellen is de fout die de tweede uitval veroorzaakt. Deze pagina gaat over de apparatuur die u dan nodig heeft en over hoe snel die er kan staan.
Vier redenen om niet op de bestaande omgeving te herstellen
Alle vier zijn ze een keer de reden geweest dat een herstel opnieuw moest.
- De omgeving is bewijsVoor het onderzoek naar wat er is gebeurd en voor uw verzekeraar en toezichthouder moeten de aangetaste systemen blijven zoals ze zijn. Ze overschrijven met een herstel wist het antwoord op de vraag hoe binnen is gekomen.
- De aanvaller kan er nog in zittenEen aanval begint weken voor het moment dat u hem merkt. Terugzetten op dezelfde machines, met dezelfde beheeraccounts, is terugzetten in een omgeving waar iemand anders ook de sleutel van heeft.
- U weet nog niet wat er is aangetastIn de eerste dagen is de omvang nog niet bekend. Schone apparatuur is de enige plek waar u zeker weet dat wat u opbouwt schoon begint.
- De klok looptWachten op levering van nieuwe hardware is dagen tot weken, en dat is precies de tijd die u niet heeft. Dit is de reden dat het vooraf geregeld hoort te zijn en niet op de dag zelf.
Van melding naar een schone omgeving
Vier stappen. De eerste is niet technisch en bepaalt de rest.
Isoleren en vastleggen
De aangetaste omgeving gaat van het netwerk en blijft staan zoals hij is. Wat we vanaf dat moment doen wordt vastgelegd, want dat is later het dossier voor de verzekeraar en de melding.
Schone apparatuur neerzetten
Servers, opslag en werkplekken die niet aan de omgeving hebben gehangen, opgebouwd op een gescheiden netwerk. Dat is de plek waar het herstel begint.
Terugzetten en controleren
Uit een kopie waarvan is vastgesteld dat hij van vóór de besmetting is, systeem voor systeem, met controle voordat er iets aan het netwerk komt.
Overzetten en opruimen
Als de omgeving draait en is vrijgegeven, gaat de tijdelijke apparatuur terug of blijft hij staan als de nieuwe basis. De oude apparatuur wordt pas gewist als het onderzoek dat toelaat.
Drie dingen die dit van dagen naar uren brengen
Ze kosten geen van drieën veel, en ze zijn achteraf niet te regelen.
- Weten wat u minimaal nodig heeftWelke systemen moeten er als eerste terug en wat vraagt dat aan machines. Dat is een lijst van een half A4 die u nu kunt maken en op de dag zelf niet.
- Een kopie die niet te wijzigen isEen back-up die vanuit de aangetaste omgeving te bereiken was, is op dat moment ook aangetast. Zonder onveranderlijke kopie is schone apparatuur een lege doos.
- Afspraken vooraf over leveringWie levert wat, binnen welke termijn en tegen welke voorwaarden. Dat op de dag zelf uitonderhandelen kost de uren waarin u had kunnen herstellen.
Wat hier bij hoort
Noodhardware is de laatste stap van een plan dat er eerder moet zijn.
Vragen die we hierover krijgen
De vragen die het vaakst langskomen, kort beantwoord.
Hoe snel kan er apparatuur staan?
Dat hangt volledig af van wat er vooraf is geregeld. Met een afspraak op papier en een lijst van wat u minimaal nodig heeft, is het een kwestie van uren tot een dag. Zonder die twee begint het met inventariseren en onderhandelen, en dan praat u over dagen.
Waarom kunnen we niet gewoon op onze eigen servers herstellen?
Om twee redenen tegelijk. De aangetaste omgeving is bewijsmateriaal voor het onderzoek, uw verzekeraar en de melding, en overschrijven wist dat. En de aanvaller kan er nog in zitten: een aanval begint weken voordat u hem merkt.
Doen jullie ook het onderzoek naar wat er is gebeurd?
Nee, forensisch onderzoek is een eigen vak en daar werken we mee samen. Wat wij doen is de omgeving isoleren zonder het bewijs te beschadigen, schone apparatuur neerzetten en het herstel draaien, zodat u door kunt werken terwijl het onderzoek loopt.
Regel dit voordat het nodig is
Vertel welke systemen als eerste terug moeten en waar uw kopieën staan. U krijgt een lijst van wat er dan aan apparatuur nodig is en binnen welke termijn dat er kan staan.
Praktische IT-kennis in je inbox
Nieuwe gidsen over beheer, beveiliging en de werkplek, geschreven door de mensen die het werk doen. Geen verkooppraat, en afmelden kan met één klik.