Fermare la propagazione senza compromettere la ricostruzione.
Un ransomware può combinare cifratura, furto di dati, compromissione delle identità e pressione estorsiva. Spegnimenti indiscriminati o ripristini affrettati possono eliminare evidenze, lasciare persistenze attive o estendere l'indisponibilità. L'intervento viene quindi guidato da una strategia condivisa.
Azioni iniziali
- attivazione della war room e dei contatti decisionali;
- isolamento selettivo di segmenti, endpoint e account compromessi;
- protezione dei backup e sospensione degli accessi a rischio;
- raccolta di log, campioni, note di riscatto e indicatori;
- ricerca di movimenti laterali e sistemi ancora raggiungibili;
- valutazione di possibili segnali di esfiltrazione.
Analisi e ripristino
NESQ ricostruisce, nei limiti delle evidenze disponibili, il vettore iniziale, le identità utilizzate e l'estensione della compromissione. Il ripristino parte da un ambiente considerato affidabile, con credenziali ruotate, vulnerabilità iniziali corrette e monitoraggio rafforzato. Le priorità seguono i processi critici, non la sola disponibilità tecnica delle copie.
Consegne
- timeline e perimetro tecnico dell'incidente;
- indicatori e regole utili alla ricerca di ulteriori compromissioni;
- piano di ripartenza e criteri di validazione dei sistemi;
- documentazione delle azioni svolte;
- piano post-incidente su identità, segmentazione, backup e detection.
Le decisioni legali, assicurative e relative a eventuali comunicazioni con l'attore ostile restano di competenza del cliente e dei professionisti incaricati; NESQ fornisce gli elementi tecnici necessari.