Kijk terug in de geschiedenis
Oude back-ups worden opnieuw gescand zodra er nieuwe malware-indicatoren bekend zijn.
De nieuwste back-up is niet altijd de juiste. Wij vinden de laatste schone.
Ransomware zit vaak dagen of weken in je netwerk voordat het iets versleutelt. We gebruiken je back-upgeschiedenis als tijdlijn om te zien wanneer het binnenkwam, welke herstelpunten geraakt zijn en wat veilig terug te zetten is.
Zo vinden we na een ransomware-aanval het herstelpunt dat je kunt vertrouwen.
Aanvallers zitten vaak dagen in een netwerk voordat ze iets versleutelen. Met je back-upgeschiedenis zoeken we uit wanneer ze binnenkwamen, zodat je terugzet vanaf een punt dat echt schoon is.
01 / 05
Nieuwe indicatoren komen binnen
Elke dag verschijnen er nieuwe dreigingsindicatoren. Komt er een nieuwe binnen, dan controleren we niet alleen de back-up van vandaag, maar elk herstelpunt dat je nog hebt. Het schone resultaat van gisteren was immers gebaseerd op de kennis van gisteren.
02 / 05
Kijk terug in de geschiedenis
Die vergelijking draait op onze index van je back-ups, op onze eigen infrastructuur. Je productieservers merken er dus niets van. Hier duikt de loader op in elk punt vanaf 17 oktober.
03 / 05
Bepalen wanneer het begon
Op 20 oktober om 03:14 werden ruim achttienduizend bestanden herschreven en schoot de entropie omhoog: het typische patroon van versleuteling. Samen met de eerste treffer levert dat een tijdlijn op: sluimerend vanaf 17 oktober, actief vanaf de 20e.
04 / 05
Controleren in isolatie
We starten de server zoals hij op 16 oktober was in een afgeschermde testomgeving, zonder netwerkverbinding. We vinden geen loader, geen geplande taak en geen verbinding naar buiten. Dit punt is te vertrouwen.
05 / 05
Terugzetten zonder de besmetting
De server komt terug vanaf 16 oktober. Werk dat daarna is opgeslagen, zetten we gericht terug, en elk gemarkeerd bestand blijft buiten het herstel. Je incidentleider geeft het akkoord.
Kort gezegd
Je zet de aanvaller niet mee terug met je data. De keuze voor een herstelpunt rust op bewijs in plaats van giswerk, en dat scheelt een tweede storing.
Technische details
- Nieuwe indicatoren (bestandshashes, bestandspatronen, netwerkindicatoren) worden met terugwerkende kracht vergeleken met alle bewaarde herstelpunten, op onze infrastructuur.
- Wijzigingsanalyse over de back-upgeschiedenis: aantal gewijzigde bestanden en entropie per punt, om het begin van de versleuteling te dateren.
- Historische machines kunnen in een geïsoleerde omgeving zonder netwerktoegang worden opgestart, om een herstelpunt te bevestigen voordat we het gebruiken.
Voorbeeldincident. Geen enkele scan kan bewijzen dat een systeem vrij is van elke dreiging. Inperken en opschonen blijven bij je incidentresponsteam; wij leveren het herstel.
Zet je de verkeerde back-up terug, dan zet je de aanvaller ook terug.
Malware of ongewenste wijzigingen kunnen al in een recente back-up zitten. Voordat je terugzet, moet je weten wanneer de aanval begon en welke herstelpunten je nog kunt gebruiken.
Verklein de tijdlijn
We starten historische systemen geïsoleerd op om te zien wanneer de verdachte activiteit begon.
Bewust kiezen
Getroffen bestanden worden gemarkeerd en bekende malware blijft buiten de restore.
Beter zicht op het incident, en een betere restore.
Oude back-ups opnieuw scannen
We controleren historische back-ups op malware-indicatoren die nog niet bekend waren toen de back-up gemaakt werd.
Ransomware herkennen aan wijzigingen
We zoeken in de back-upgeschiedenis naar de sporen die ransomware achterlaat, zoals plotselinge massale wijzigingen in bestanden.
Gemarkeerde bestanden
Verdachte bestanden en getroffen herstelpunten worden gemarkeerd, zodat ze buiten de restore kunnen blijven.
Geïsoleerde historische systemen
We starten oude versies van machines in een geïsoleerde omgeving zonder netwerktoegang om ze te onderzoeken.
Integriteitscontroles
We vergelijken teruggezette data met de gekozen back-up, zodat je zeker weet dat je terugkrijgt wat je bedoelde.
Het onderzoek draait op onze eigen infrastructuur.
Het indexeren en scannen van back-ups gebeurt in ons datacenter. Je team krijgt extra bewijs, zonder productiesystemen die al onder druk staan nog zwaarder te belasten.
Oudere herstelpunten
Opnieuw gescand met de indicatoren van vandaag.
Eerste verdachte wijziging
Het onderzoeksvenster wordt kleiner.
Herstelbeslissing
Voorbeeld van een onderzoekKiezen, uitsluiten en controleren.
Dreigingsanalyse helpt je bepalen wat je terugzet. Geen enkele scan kan bewijzen dat een systeem vrij is van elke dreiging. Inperken, opschonen en goedkeuren blijven onderdeel van het gezamenlijke incidentplan.
Voor de directie
Na een aanval beslis jij wanneer het bedrijf weer opstart. Wij geven je bewijs welk herstelpunt veilig is, zodat je niet een tweede keer stilvalt.
Voor IT-partners
Help een klant na een aanval zonder je hele team van ander werk te halen.
Zo werkt het partnerschapVragen die we vaak krijgen
Staat je vraag er niet bij? Bel ons op +31 (0)85 482 3400.
Vervangt dit incidentrespons?
Nee, het ondersteunt het. We stemmen het herstel af met je incidentrespons-, security- en IT-teams. Inperken en opschonen worden apart geregeld.
Kun je een dreiging die vandaag ontdekt wordt ook in een oude back-up terugvinden?
Ja. Bij een nieuwe scan vinden we bekende indicatoren ook in historische back-ups. De uitkomst hangt af van de beschikbare indicatoren, hoe ver je geschiedenis teruggaat en de omvang van de scan.
Kunnen jullie precies vaststellen wanneer de aanval begon?
We kunnen het venster verkleinen en de eerste sporen in de beschikbare herstelpunten laten zien. Hoe precies dat is, hangt af van de back-upfrequentie, de bewaartermijn en wat de aanval heeft achtergelaten.
Laten we de scope concreet maken.
Vertel ons over je omgeving en wat je nodig hebt. We spreken af wat eronder valt, wie wat doet en wat de volgende stap is.