Шифровальщик внутри: план по восстановлению инфры + чеклист для профилактики вирусов

[krids]

Восстановление контроллеров домена и серверов 1С из резервных копий заняло несколько дней.

А с каких резервных копий восcтанавливали, если "злоумышленник использовал доступ бывшего сотрудника, чтобы удалить резервные копии с лент" ?

[theult]

Скорее всего было ещё оффлайновое хранилище, либо скомпрометировали только один из хостов хранения резервных копий. Тут, как говорится, резервных копий много не бывает :)

[in11w]

Ленты, насколько я помню, тем и удобны что их можно из библиотеки извлечь и хранить офлайн. Другое дело, что база лент и ПО работы с ними, скорее всего, было зашифровано вместе с серверами.

[trabl]

ПО можно легко установить на чистый сервер, достать из сейфа ленты, воткнуть в библиотеку и просканировать. Затем восстановить необходимые данные. По крайней мере с Symantec backup exec это так работало когда-то.

[ABoiarskii]

Важно не только не забыть включить эту историю в DRP, но и проверить, сработает ли такое восстановление. Были ситуации, когда зарубежное ПО превращалось в тыкву после шифрования и восстановления, т.к. ключи утеряны или повторная активация невозможна.

[in11w]

" Периодически проверяйте журналы безопасности на подозрительные события. " - я бы сказал - настройте автоматическое информирование.

[supercat1337]

Не увидел пункта плана в случае если вредоносное ПО будет модифицировать рабочие документы.

[ABoiarskii]

Спасибо, действительно можно расширить. Попробую здесь:

1. Неизменяемые бэкапы с регулярными снапшотами для восстановления оригиналов;

2. Версионность критичных документов в защищенных хранилищах.

   При инциденте - немедленная изоляция, возможно форензик для определения масштаба, и восстановление из последней чистой копии. Главное - заранее протестировать процедуры восстановления, а не просто верить в DRP.

[supercat1337]

Спасибо за ответ и за то, что делитесь опытом.

[Yuriy_krd]

Несмотря на описание ситуации в, якобы, торговой компании, ситуация подозрительно напоминает "провал" в СДЭКе.