Ransomware-ul tradițional criptează fișiere sau sisteme, dar multe operațiuni fură mai întâi date și pot folosi furtul, expunerea publică, contactarea clienților sau perturbarea serviciilor ca pârghie suplimentară.
Un eveniment de ransomware este adesea capătul vizibil al unei intruziuni mai lungi. Atacatorii pot fi furat deja credențiale, s-au putut deplasa lateral, au putut dezactiva măsuri de protecție, au putut accesa backupuri și au putut exfiltra informații înainte ca cererea de răscumpărare să apară. Răspunsul cere prin urmare investigarea întregii compromiteri, nu doar restaurarea fișierelor criptate.
Puncte esențiale
Căi de intrare obișnuiteCredențiale furate, sisteme exploitabile expuse la internet, phishing, descărcări malițioase, servicii remote și compromiterea lanțului de aprovizionare.
Reducerea risculuiControale puternice de identitate, remediere promptă, segmentare, endpointuri monitorizate, căi de administrare protejate și backupuri offline sau imuabile testate.
Prioritatea răspunsuluiProtejați viața și serviciile esențiale, izolați propagarea, păstrați dovezile, evaluați furtul, coordonați părțile interesate și recuperați din surse verificate.
Limitare importantăBackupurile îmbunătățesc recuperarea, dar nu previn furtul de date, frauda, impactul de reglementare sau reapariția dintr-un punct de intrare nerezolvat.