Ogranicz rozprzestrzenianie i zachowaj możliwość bezpiecznego powrotu
- 01Zgłoś i wyznacz koordynatoraZapisz objawy i czas. Ustal zaufany kanał kontaktu poza zagrożonym środowiskiem.
- 02Odizoluj zagrożone połączeniaOdłącz sieć lub użyj przygotowanej izolacji. Nie podłączaj nośników kopii do podejrzanego komputera.
- 03Chroń fakty i kopieZachowaj logi i komunikaty; administrator sprawdza konta, repozytorium i dostępne punkty odzyskania.
- 04Ustal zakres i priorytetyZaangażuj właściwe wsparcie. Sprawdź zależności usług oraz potrzebne decyzje i zgłoszenia.
Rozpoznaj sygnał i uruchom plan
Pliki otrzymują dziwne rozszerzenia, na ekranie pojawia się żądanie zapłaty albo kilka osób jednocześnie traci dostęp do wspólnego katalogu. Nie trzeba znać nazwy szkodliwego programu, aby zgłosić incydent. Zanotuj czas i objawy, a następnie uruchom ustalony kontakt awaryjny.
„Pierwsza godzina” oznacza tu kolejność decyzji, nie gwarantowany harmonogram naprawy. Jedna osoba koordynuje działania, druga zbiera informacje, a administrator prowadzi czynności techniczne. W małym zespole role mogą się łączyć, lecz musi być jasne, kto zatwierdza odłączenie usług i komunikaty.
Ogranicz połączenia, nie eksperymentuj
Odizoluj podejrzane urządzenie od sieci: odłącz przewód i Wi-Fi albo użyj przygotowanej funkcji izolacji w narzędziu ochronnym. Przy wielu urządzeniach administrator może odciąć odpowiedni segment. Taką decyzję trzeba skoordynować, zwłaszcza jeśli sieć obsługuje procesy istotne dla bezpieczeństwa ludzi.
Nie uruchamiaj samodzielnie programów „naprawczych” ani nie podłączaj kolejnych dysków. Preferuj izolację bez wyłączania komputera, aby nie tracić danych ulotnych. Jeśli izolacja jest niemożliwa i zagrożenie nadal się rozprzestrzenia, wyłączenie może być konieczne; decyzję i jej powód należy odnotować.
Przenieś koordynację na zaufany kanał
Nie zakładaj, że firmowa poczta i komunikator są bezpieczne. Uzgodnij kontakt telefoniczny lub inny wcześniej przygotowany kanał poza potencjalnie przejętym środowiskiem. Nie przesyłaj tam haseł i pełnych zbiorów danych tylko dlatego, że zwykłe narzędzia przestały działać.
Pracownicy potrzebują krótkiej instrukcji: czego nie otwierać, które usługi są zatrzymane i gdzie zgłaszać objawy. Zespół kierowniczy otrzymuje fakty, zakres niepewności i następny termin aktualizacji. Wyznacz jedną osobę do informacji dla klientów, aby sprzeczne komunikaty nie utrudniały opanowania sytuacji.
Zbierz fakty i chroń możliwość odtworzenia
Spisz widocznie dotknięte komputery, konta, serwery oraz usługi. Oddziel informacje potwierdzone od niezweryfikowanych. Zachowaj treść żądania, logi i moment wykrycia; specjalista zdecyduje o zabezpieczeniu obrazu dysku lub pamięci. Nie usuwaj plików i nie czyść systemu przed uzgodnieniem sposobu zachowania dowodów.
Administrator sprawdza dostęp do kopii oraz tożsamości zarządzających backupem. Nie podłączaj odłączonego nośnika do zainfekowanego komputera. Ustal, czy repozytorium i jego panel były osiągalne z przejętych kont. Kopia widoczna na liście zadań nie jest jeszcze potwierdzonym, czystym źródłem odtworzenia.
Ustal priorytety i potrzebną pomoc
Właściciel firmy określa, które procesy muszą wrócić najpierw i jakie mają zależności. System sprzedaży może potrzebować bazy, katalogu użytkowników oraz sieci; odtwarzanie samej aplikacji nie wystarczy. Zapisz dopuszczalne obejścia, na przykład czasowe przyjmowanie zamówień według przygotowanego formularza poza systemem.
Zaangażuj wsparcie reagowania na incydenty, właściwe osoby od ochrony danych, ubezpieczenia i umów. Sprawdź wymagane zgłoszenia dla konkretnego zdarzenia. Sama obecność kopii nie rozstrzyga, czy dane zostały wcześniej wykradzione. Nie obiecuj klientom końca incydentu przed ustaleniem jego zakresu.
Nie myl odzyskania plików z zakończeniem incydentu
Odtwarzanie zaczyna się po przygotowaniu bezpiecznego środowiska i ograniczeniu drogi ponownego wejścia. Zweryfikuj wybraną kopię, konta oraz konfigurację. Przywracaj usługi etapami, sprawdzając działanie i monitorowanie przed dołączaniem następnych urządzeń. Nie wracaj do wspólnego hasła administracyjnego używanego przed incydentem.
Po opanowaniu sytuacji odtwórz przebieg decyzji: kiedy pojawił się sygnał, kto go odebrał i co opóźniło izolację. Zmień konkretny element planu oraz przećwicz go na sucho. To pozwala zamienić doświadczenie w działający proces zamiast kolejnego dokumentu, którego nikt nie umie użyć.
Źródła: Canadian Centre for Cyber Security — Ransomware: How to prevent and recover · Microsoft Learn — Incident Response ransomware approach · CISA and MS-ISAC — Ransomware Guide, hosted by CDFI Fund