Koľko skutočne stojí
incident skutočne stojí.
Na základe našich interných údajov o reakciách na incidenty a overených verejných správ z rokov 2024–2025 – z viacerých odvetví a geografických oblastí.
než začnete panikáriť,
zhodnoťte situáciu.
Odpovedzte na štyri otázky. Vygenerujeme aktuálne skóre závažnosti a prvé štyri kroky, ktoré by mal váš tím podniknúť hneď teraz – skôr, ako sa niekto v hneve dotkne klávesnice.
▸ Prvé štyri kroky
- Odpojte postihnuté hostiteľa od siete — nevypínajte ich.
- Zachovajte kópie pamäte a tieňové kópie diskov aspoň na jednom hoste.
- Zrušte poverenia použité za posledných 72 hodín; vymeňte účty služieb.
- Pred manipuláciou so zálohami otvorte komunikačný kanál s PWN•ALL.
štyri fázy.
jeden most.
Každý incident riešime prostredníctvom jediného, auditovaného mostíka reakcie – váš tím, naši analytici DFIR, spoločná časová os a potvrdenia na každom kroku.
Zastavenie
Izolácia na úrovni siete bez zničenia dôkazov. Zastavíme laterálny pohyb na prepínači, zablokujeme C2, zmrazíme privilegované účty a zachováme pamäť na pivotných hostiteľoch.
Rozsah
Forenzná analýza každého šifrovaného aktíva, vektora počiatočného prístupu, perzistencie a stôp exfiltrácie. Identifikujeme kmeň, TTP operátora a dobu zotrvania.
Obnova
Obnova v čistom prostredí, kontroly integrity záloh, porovnanie dešifrovacích kľúčov s našou internou knižnicou a – ak existujú kľúče – postupné dešifrovanie produkčných dát.
Zabezpečenie
Odstránenie príčin, vyčistenie identít, zavedenie EDR/MFA tam, kde chýba, a písomná správa, ktorú vaša správna rada, poisťovňa a regulačný orgán skutočne prečítajú.
každý kmeň má
slabé miesto. My ho nájdeme.
Naša knižnica výskumu dešifrovacích nástrojov a informácie o rokovaniach sú aktualizované na základe skutočných prípadov, ktoré každý týždeň uzatvárame. Ak existuje spôsob, ako obnoviť dáta bez platby, nájdeme ho ako prví.
LockBit • BlackCat • Play
- Cielené nastavenie doménového radiča a Veeam
- Vymazanie tieňovej kópie prostredníctvom vssadmin/WMI
- Postupné odosielanie údajov cez MEGA/Rclone
- Obnovenie čiastočného kľúča, ak je to možné
Akira • Royal • Rhysida
- Zastavenie a šifrovanie ESXi na úrovni VMFS
- Ransomware Linux ELF na zariadeniach
- Obnova objemu na úrovni datastore
- Audit integrity na strane hypervizora
Cl0p • Karakurt • RansomHub
- Čistá krádež dát, bez šifrovania
- Monitorovanie a odstraňovanie stránok s únikmi
- Koordinácia právneho zverejnenia
- Komunikáciu s operátormi riadime my
analytik už
sleduje čas.
V momente, keď zavoláte, spustí sa zdieľaný most s časovo označenými akciami, úschovou dôkazov a živou tabuľkou závažnosti. Vaša poisťovňa a právny tím sa môžu pripojiť len na čítanie.
Žiadne tajomstvá. Žiadne mlčanie.
Každý incident v PWN-ALL beží na rovnakej šablóne mostíka, ktorú už akceptujú vaše regulačné orgány a kyberpoisťovňa. Vidíte to, čo vidíme my. Schvaľujete každú deštruktívnu akciu. Bez vášho súhlasu sa nič nešifruje, nemazá ani neplatí.
Po zvládnutí situácie odídete so správou o reťazci dôkazov, časovou osou zmapovanou podľa MITRE ATT&CK a 30/60/90-dňovým plánom posilnenia bezpečnosti – nie s PDF plným screenshotov.
otázky
, ktoré ľudia kladú o 3. hodine ráno.
Mali by sme zaplatiť výkupné?
Takmer nikdy to nie je správny prvý krok. Vyjednávame len ako poslednú možnosť, kým sa vyhodnocujú možnosti obnovy, a to len s právnym a sankčným povolením. V ~94 % našich prípadov je možná úplná alebo čiastočná obnova bez platby.
Ako rýchlo môžete byť pripravení?
Naša SLA je menej ako 60 minút od prvého volania analytikovi na spoločnom mostíku s vaším tímom. Pokyny na obmedzenie škôd zvyčajne začínajú do 15 minút, pričom súbežne prebieha vyhodnocovanie rozsahu.
Všetko sme už vypli. Je to zlé?
Nie je to ideálne – vo volatilnej pamäti sa nachádzajú kľúče, vložené procesy a stopy operátora –, ale dá sa to obnoviť. Nespúšťajte nič, kým nebudeme na linke. Máme postupy pre cold-triage.
Spolupracujete s našou poisťovňou v oblasti kybernetickej bezpečnosti?
Áno. PWN-ALL je navrhnutý tak, aby sa dal pripojiť do štandardných IR panelov. Poisťovni poskytujeme akcie s časovými značkami, kontrolu nákladov a záverečnú správu vo formáte, ktorý väčšina poisťovní akceptuje.
Čo ak boli údaje nielen zašifrované, ale aj odcudzené?
Exfiláciu posudzujeme samostatne: čo bolo odcudzené, odkiaľ a na ako dlho. Následne koordinujeme zverejnenie, právne kroky a – ak je to vhodné – monitorovanie miesta úniku a komunikáciu s operátorom.
nečakajte na
pondelkové ráno.
S každou hodinou, ktorú odkladáte, sa zálohy vymažú, dôkazy stratia platnosť a operátori sa dostanú ďalej. PWN-ALL reaguje v pracovný deň, cez víkend, počas sviatkov — čas sa o to nestará a my tiež nie.
50 % útokov stále končí šifrovaním. Nečakajte, kým zistíte, do ktorej polovice patríte.