mennyibe kerül valójában
incidens valójában mennyibe kerül.
Belső incidenskezelési adatainkból és a 2024–2025 közötti időszakra vonatkozó, több iparágra és földrajzi területre kiterjedő, ellenőrzött nyilvános jelentésekből merítve.
mielőtt pánikba esne,
mérje fel a helyzetet.
Válaszoljon négy kérdésre. Azonnal kiszámítjuk a veszélyességi pontszámot, és megadjuk az első négy lépést, amelyet csapatának azonnal meg kell tennie – mielőtt valaki dühében a billentyűzethez nyúlna.
▸ Az első négy lépés
- Válassza le az érintett gazdagépeket a hálózatról — ne kapcsolja ki őket.
- Őrizze meg a memória- és kötet-árnyékmásolatokat legalább egy gazdagépen.
- Vonja vissza az elmúlt 72 órában használt hitelesítő adatokat; cserélje le a szolgáltatási fiókokat.
- Nyisson meg egy reagálási csatornát a PWN•ALL-lal, mielőtt a biztonsági másolatokhoz nyúlna.
négy fázis.
egy híd.
Minden incidenst egyetlen, auditált reagálási hídon kezelünk – az Ön csapata, a mi DFIR-elemzőink, közös ütemterv és minden lépésről szóló visszaigazolás.
Korlátozás
Hálózati szintű elszigetelés a bizonyítékok megsemmisítése nélkül. Megállítjuk a laterális mozgást a kapcsolón, blokkoljuk a C2-t, befagyasztjuk a privilegizált fiókokat, és megőrizzük a memóriát a pivot gazdagépeken.
Hatály
Minden titkosított eszköz, kezdeti hozzáférési vektor, perzisztencia és adatlopási nyomok forenzikus triázsa. Azonosítjuk a törzset, az operátor TTP-it és a tartózkodási időt.
Helyreállítás
Tiszta szobás újjáépítés, biztonsági mentések integritásának ellenőrzése, a dekódoló összehasonlítása a belső könyvtárunkkal, és – amennyiben kulcsok állnak rendelkezésre – a termelési adatok fokozatos dekódolása.
Megerősítés
A kiváltó okok orvoslása, az identitások tisztázása, az EDR/MFA bevezetése, ahol hiányzik, valamint egy írásbeli jelentés, amelyet az igazgatóság, a biztosító és a szabályozó hatóságok ténylegesen el tudnak olvasni.
minden változatnak van
gyenge pontja. Mi megtaláljuk.
Dekódoló kutatási könyvtárunkat és tárgyalási információinkat a minden héten lezárt valós esetek alapján frissítjük. Ha van mód a fizetés nélküli helyreállításra, mi találjuk meg elsőként.
LockBit • BlackCat • Play
- Tartományvezérlő és Veeam célzás
- Árnyékmásolat törlése vssadmin/WMI segítségével
- Fokozatos adateltávolítás MEGA/Rclone segítségével
- Részleges kulcs-helyreállítás, ahol lehetséges
Akira • Royal • Rhysida
- ESXi leállítása és titkosítása a VMFS rétegen
- Linux ELF ransomware az eszközökön
- Adattár-szintű kötet-helyreállítás
- Hypervisor-oldali integritás-ellenőrzés
Cl0p • Karakurt • RansomHub
- Puszta adatlopás, titkosítás nélkül
- A szivárgási helyek figyelése és eltávolítása
- Jogi közzétételi koordináció
- Az operátorokkal való kommunikációt mi kezeljük
egy elemző már
figyeli az órát.
Amint felhív, elindul egy megosztott híd időbélyeggel ellátott műveletekkel, bizonyítékok őrzésével és egy élő súlyossági táblával. Biztosítója és jogi csapata olvasási joggal csatlakozhat.
Nincs rejtély. Nincs hallgatás.
Minden PWN-ALL-incidens ugyanazon a híd-sablonon fut, amelyet a szabályozó hatóságok és a kiberbiztosítók már elfogadnak. Ön is azt látja, amit mi. Minden romboló műveletet Ön hagy jóvá. Semmi sem kerül titkosításra, törlésre vagy kifizetésre az Ön jóváhagyása nélkül.
A helyzet megfékezése után egy lánc-őrzési jelentéssel, egy MITRE ATT&CK-hez igazított idővonallal és egy 30/60/90 napos megerősítési tervvel távozik – nem pedig egy képernyőképekkel teli PDF-fájllal.
kérdések
, amelyeket az emberek hajnali 3-kor tesznek fel.
Fizessünk váltságdíjat?
Ez szinte soha nem a helyes első lépés. Csak végső eszközként tárgyalunk, miközben a helyreállítási lehetőségeket értékeljük, és csak jogi és szankciós engedély birtokában. Eseteink ~94%-ában teljes vagy részleges helyreállítás lehetséges fizetés nélkül.
Milyen gyorsan tudnak a helyszínre érni?
SLA-nk szerint az első hívástól számítva 60 percen belül csatlakozunk az Ön csapatával közös hídra. A helyzet kezelésére vonatkozó útmutatás általában az első 15 percen belül megkezdődik, miközben párhuzamosan zajlik a helyzet felmérése.
Már mindent kikapcsoltunk. Ez baj?
Ez nem ideális – a volatilis memória kulcsokat, bejuttatott folyamatokat és operátor nyomokat tárol –, de helyrehozható. Ne indítson el semmit, amíg nem vagyunk a vonalban. Van eljárásunk a hideg triázsra.
Együttműködnek a kiberbiztosítónkkal?
Igen. A PWN-ALL úgy van felépítve, hogy beilleszthető a szokásos IR-panelekbe. A biztosítónak időbélyeggel ellátott intézkedéseket, költségellenőrzéseket és egy végleges jelentést nyújtunk be a legtöbb biztosító által elfogadott formátumban.
Mi van, ha az adatokat nemcsak titkosították, hanem ellopták is?
Külön vizsgáljuk az adatlopást: mit vittek el, honnan, és mennyi ideig. Ezután koordináljuk a nyilvánosságra hozatalt, a jogi lépéseket, és – adott esetben – a szivárgási helyszínek figyelemmel kísérését és az operátorokkal való kommunikációt.
Meg tudják előzni a következő támadást?
Ez a 4. fázis. A kiváltó okok orvoslása, identitáshigiénia, EDR/MFA bevezetése és folyamatos figyelemmel kísérés – a VulnScan és a ConnGuard kiegészítésével a védelmi vonal mentén.
ne várjon
hétfő reggelre.
Minden késleltetett órával a biztonsági másolatok törlődnek, a bizonyítékok elévülnek, és a támadók egyre mélyebbre hatolnak. A PWN-ALL a nap bármely szakában, hétvégén és ünnepnapokon is rendelkezésre áll — az óra nem törődik ezzel, és mi sem.
A támadások 50%-a még mindig titkosítással végződik. Ne várjon, hogy kiderüljön, melyik felére esik!