Tradycyjne disaster recovery zakłada awarię infrastruktury; cyber recovery zakłada, że przeciwnik pracował nad zniszczeniem opcji odtwarzania — zaszyfrowane kopie zapasowe, skradzione poświadczenia administratorów, zatrute snapshoty, persystencja w obrazach odtwarzania. Dlatego dodaje izolowane lub niezmienialne kopie, zweryfikowane czyste odtwarzanie, przebudowane poświadczenia i zdolność działania, gdy środowisko jest wciąż sporne.
Najważniejsze punkty
Izolowana ścieżka odtwarzaniaTrzymaj kopie odtwarzania, poświadczenia i środowisko odtwarzania oddzielone od produkcyjnej tożsamości i sieci, tak by jedna kompromitacja nie mogła dosięgnąć obu.
Weryfikacja przed odtworzeniemOdtwarzanie zainfekowanych lub zasypanych przez atakującego obrazów zwraca przeciwnika razem z danymi; waliduj czyste punkty i przebudowuj kotwice zaufania zamiast cofać się na ślepo.
Istotne ograniczenieCyber recovery jest wolniejsze i droższe niż zwykłe odtwarzanie. Odbudowy w czystym pomieszczeniu, resety poświadczeń i walidacja kryminalistyczna zajmują czas, którego RTO może nie pozwalać — dlatego trzeba je ćwiczyć, a nie zakładać.