chi phí thực tế
thực sự tốn kém như thế nào.
Dựa trên dữ liệu phản ứng sự cố nội bộ của chúng tôi và các báo cáo công khai đã được xác minh trong giai đoạn 2024–2025 — nhiều ngành nghề, nhiều khu vực địa lý.
trước khi bạn hoảng loạn,
hãy đánh giá mức độ nghiêm trọng.
Trả lời bốn câu hỏi. Chúng tôi sẽ tạo ra một điểm số mức độ nghiêm trọng theo thời gian thực và bốn hành động đầu tiên mà nhóm của bạn nên thực hiện ngay lập tức — trước khi ai đó bấm phím trong cơn giận dữ.
▸ Bốn hành động đầu tiên
- Cách ly các máy chủ bị ảnh hưởng khỏi mạng — không tắt nguồn.
- Bảo toàn bản sao bóng bộ nhớ và khối lượng trên ít nhất một máy chủ.
- Hủy bỏ thông tin đăng nhập đã sử dụng trong 72 giờ qua; thay đổi tài khoản dịch vụ.
- Mở cầu nối phản ứng với PWN•ALL trước khi chạm vào các bản sao lưu.
bốn giai đoạn.
một cầu nối.
Chúng tôi xử lý mọi sự cố trên một cầu nối phản ứng duy nhất đã được kiểm toán — đội ngũ của bạn, các chuyên gia phân tích DFIR của chúng tôi, một dòng thời gian chung và các biên nhận ở mỗi bước.
Chặn
Cách ly ở cấp độ mạng mà không làm mất bằng chứng. Chúng tôi ngăn chặn sự di chuyển ngang tại thiết bị chuyển mạch, chặn C2, đóng băng các tài khoản có đặc quyền và bảo toàn bộ nhớ trên các máy chủ trung gian.
Phạm vi
Phân loại pháp y mọi tài sản được mã hóa, vectơ truy cập ban đầu, tính bền vững và dấu vết rò rỉ dữ liệu. Chúng tôi xác định chủng virus, TTP của người điều hành và thời gian tồn tại.
Phục hồi
Xây dựng lại môi trường sạch, kiểm tra tính toàn vẹn của bản sao lưu, so sánh công cụ giải mã với thư viện nội bộ của chúng tôi và — trong trường hợp có khóa — giải mã theo từng giai đoạn dữ liệu sản xuất.
Tăng cường
Khắc phục nguyên nhân gốc rễ, dọn dẹp thông tin nhận dạng, triển khai EDR/MFA ở những nơi còn thiếu, và lập báo cáo bằng văn bản mà hội đồng quản trị, công ty bảo hiểm và cơ quan quản lý của bạn có thể thực sự đọc được.
Mỗi biến thể đều có
một điểm yếu. Chúng tôi sẽ tìm ra nó.
Thư viện nghiên cứu giải mã và thông tin đàm phán của chúng tôi được cập nhật từ các trường hợp thực tế mà chúng tôi giải quyết hàng tuần. Nếu có cách khôi phục mà không cần trả tiền, chúng tôi sẽ tìm ra trước tiên.
LockBit • BlackCat • Play
- Mục tiêu là máy chủ điều khiển miền và Veeam
- Xóa bản sao bóng qua vssadmin/WMI
- Truyền dữ liệu qua MEGA/Rclone
- Phục hồi khóa một phần khi có thể
Akira • Royal • Rhysida
- Dừng và mã hóa ESXi ở lớp VMFS
- Phần mềm tống tiền Linux ELF trên các thiết bị
- Phục hồi khối lượng ở cấp độ kho dữ liệu
- Kiểm tra tính toàn vẹn phía hypervisor
Cl0p • Karakurt • RansomHub
- Chỉ đánh cắp dữ liệu, không mã hóa
- Giám sát và gỡ bỏ các trang web rò rỉ
- Phối hợp công bố thông tin pháp lý
- Chúng tôi quản lý liên lạc của nhà điều hành
một nhà phân tích đang
theo dõi từng giây.
Ngay khi bạn gọi, một cầu nối chia sẻ sẽ được thiết lập với các hành động được ghi thời gian, quản lý bằng chứng và bảng mức độ nghiêm trọng trực tiếp. Công ty bảo hiểm và đội ngũ pháp lý của bạn có thể tham gia với quyền chỉ đọc.
Không có bí ẩn. Không có im lặng.
Mọi sự cố PWN-ALL đều chạy trên cùng một mẫu cầu nối mà cơ quan quản lý và công ty bảo hiểm mạng của bạn đã chấp nhận. Bạn thấy những gì chúng tôi thấy. Bạn phê duyệt mọi hành động phá hủy. Không có gì được mã hóa, xóa bỏ hoặc thanh toán mà không có sự chấp thuận của bạn.
Sau khi sự cố được kiểm soát, bạn sẽ nhận được báo cáo chuỗi lưu giữ, dòng thời gian được lập bản đồ theo MITRE ATT&CK và kế hoạch củng cố an ninh trong 30/60/90 ngày — chứ không phải một tệp PDF đầy ảnh chụp màn hình.
mà
mà mọi người thường hỏi vào lúc 3 giờ sáng.
Chúng ta có nên trả tiền chuộc không?
Hầu như không bao giờ là bước đi đầu tiên đúng đắn. Chúng tôi chỉ đàm phán như một biện pháp cuối cùng trong khi các phương án khôi phục đang được đánh giá, và chỉ khi có sự chấp thuận về mặt pháp lý và các biện pháp trừng phạt. Trong khoảng 94% các trường hợp của chúng tôi, có thể khôi phục toàn bộ hoặc một phần mà không cần thanh toán.
Bạn có thể lên cầu nối nhanh như thế nào?
SLA của chúng tôi là dưới 60 phút kể từ cuộc gọi đầu tiên đến một nhà phân tích trên cầu nối chung với nhóm của bạn. Hướng dẫn ngăn chặn thường bắt đầu trong vòng 15 phút đầu tiên trong khi việc xác định phạm vi diễn ra song song.
Chúng tôi đã tắt hết mọi thứ. Điều đó có tệ không?
Điều đó không lý tưởng — bộ nhớ tạm thời lưu trữ các khóa, các quy trình được chèn vào và dấu vết của người vận hành — nhưng vẫn có thể khôi phục được. Đừng khởi động lại bất kỳ thiết bị nào cho đến khi chúng tôi kết nối được. Chúng tôi có các quy trình để xử lý khẩn cấp.
Quý vị có hợp tác với công ty bảo hiểm mạng của chúng tôi không?
Có. PWN-ALL được cấu trúc để kết nối với các bảng điều khiển IR tiêu chuẩn. Chúng tôi cung cấp cho công ty bảo hiểm các hành động có ghi thời gian, kiểm soát chi phí và báo cáo cuối cùng theo định dạng mà hầu hết các nhà mạng chấp nhận.
Điều gì sẽ xảy ra nếu dữ liệu bị đánh cắp cũng như bị mã hóa?
Chúng tôi xác định phạm vi rò rỉ dữ liệu riêng biệt: những gì đã bị lấy đi, từ đâu, trong bao lâu. Sau đó, chúng tôi phối hợp việc công bố thông tin, các vấn đề pháp lý và — khi thích hợp — giám sát trang web rò rỉ và liên lạc với người điều hành.
đừng chờ đến
sáng thứ Hai.
Mỗi giờ bạn trì hoãn, bản sao lưu sẽ bị xóa, bằng chứng sẽ hết hạn và các nhà khai thác sẽ lẩn trốn sâu hơn. PWN-ALL trả lời ngay trong ngày, cuối tuần, ngày lễ — thời gian không quan tâm, và chúng tôi cũng vậy.
50% các cuộc tấn công vẫn kết thúc bằng mã hóa. Đừng chờ đợi để biết mình thuộc nửa nào.