מה ההבדל בין הנוזקה, הסחיטה וההשבתה
Microsoft מתארת כופרה כסוג נוזקה שמשמש לחסימת מידע או לפגיעה בו כחלק מדרישת תשלום. המדריך המשותף של CISA ושותפיו מבחין גם בסחיטת מידע ללא הפעלת כופרה. לכן הודעת כופר, קבצים שאינם נפתחים ואיום בפרסום אינם בהכרח אותו רצף, וצריך לברר מה התרחש בפועל.
עצם קיום הודעה מאיימת אינו מוכיח את כל טענות השולח, אך אין להתעלם ממנו. מתעדים את הסימפטום ומערבים גורם מתאים. לא מפעילים קובץ או כלי שנשלח עם ההודעה כדי לבדוק את הטענה, ולא מעלים מידע עסקי לאתר לא מוכר שמבטיח פתרון.
זמינות מידע וסודיות מידע דורשות בירור נפרד
שחזור יכול להחזיר עבודה, אך אינו מוחק עותק שאולי הוצא קודם. מנגד, איום בדליפה אינו ראיה מספקת להיקף הוצאה מסוים. הטבלה היא כלי החלטה מקורי לבעל עסק; שאלותיה עוזרות להגדיר תוצר בדיקה, ולא לאבחן אירוע מתוך סימפטום יחיד.
| מה רוצים לברר | ראיה או בדיקה מתאימה | מה לא מסיקים אוטומטית |
|---|---|---|
| מה הושבת | נכסים ותהליכים שאינם עובדים | שכל מערכת בארגון נפגעה |
| מה ניתן לשחזר | בדיקת עותק ונתונים בסביבה מתאימה | שהעותק נקי או שלם בלי בדיקה |
| איזו גישה עדיין קיימת | חשבונות, רכיבים ומסלולים בהיקף הטיפול | שניקוי קובץ אחד הסיר כל גישה |
| האם נחשף מידע | מקורות וראיות על גישה והעברה | שהיעדר לוג מוכיח שלא הייתה חשיפה |
| מתי מחזירים שירות | תנאי קבלה ואישור בעלים | שעליית אתר מספיקה לסגירת האירוע |
מה חשוב בצעד הראשוני ובשמירת הראיות
מדריך StopRansomware ממליץ על בידוד מתואם של מערכות מושפעות ושימור ראיות רלוונטיות. פעולה מדויקת תלויה בסביבה ובהשפעה, ולכן צריך גורם מוסמך שמבין את התלות. יש להבחין בין ניתוק תקשורת לצמצום התפשטות לבין כיבוי שעלול לאבד ראיות נדיפות; לא מנחשים מתוך מדריך כללי.
תעדו זמן, הודעה ומערכות מושפעות בלי לשנות קבצים לצורך ניסוי. אל תחברו גיבוי מוגן למערכת שנחשדת כפגועה באופן לא מתואם. פנו לספקים דרך פרטי קשר מוכרים ובדקו גם את הצורך בדיווח ובהסלמה. במצב פעיל לא מחכים להכנת דוח מסכם כדי לצמצם פגיעה.
דוגמה: הקבצים חזרו אבל החשבון הזר נשאר
בתרחיש להמחשה בלבד, האתר שוחזר מעותק אך נשארה גישה שלא אושרה לספק או לחשבון אחר. חזרת הקבצים אינה עונה על השאלה מי עדיין יכול לשנות אותם. האחראי בודק את היקף החשבונות והרכיבים, את נקודת השחזור ואת התנאים להמשך עבודה, בלי להניח שמצב התצוגה הוא כל הסיפור.
בדיקה משלימה בוחנת גם שהנתונים והפעולות העסקיות הנחוצות חזרו ושממצאים פתוחים מנוהלים. אם מתגלה חשד לחשיפה, הוא מטופל בנפרד. התרחיש אינו טענה שכל אירוע כולל חשבון זר או שגיבוי אינו מועיל; הוא מראה אילו שאלות לא נענות מעצם ביצוע שחזור.
מניעה והתאוששות נבחנות לפי יכולות אמיתיות
גיבוי עם גישה נפרדת ובדיקת שחזור יכול לתמוך בהתאוששות, אך יש לבדוק אותו כחלק מהתהליך העסקי. גם עדכונים, הרשאות ודרך הפעלת תגובה תורמים לצמצום סיכון. אין מוצר יחיד שמוכיח שהעסק חסין, ואין הבטחה שכל קובץ יוצפן באופן שניתן לפענח או לשחזר.
במסירת טיפול מבקשים היקף, מה בודד, מה נבדק, מה הוחזר ומה עדיין לא ידוע. CyberFixCrew מגדירה טיפול לפי הנכס והשירותים הקיימים; אין הבטחת פענוח או שחזור מלא. החלטות רגישות מתקבלות עם בעלי הסמכות והגורמים המתאימים, על בסיס מצב מתועד ולא על בסיס הבטחה של גורם מאיים.