RB-ANALYSIS-004: Beoordeling van de omvang van ransomware-versleuteling

Documentbeheer

1. Vereisten

• Gebruikersmeldingen
• Toegang tot het EDR-platform (telemetrie en alerts)
• Toegang tot het SIEM-platform (alerts en zoeken in logs)
• Logs van fileservers en netwerkshares
• Toegang tot file integrity monitoring
• Toegang tot het back-upplatform
• Toegang tot de assetinventaris

2. Stap-voor-stap-instructies

1. Stel de getroffen systemen vast

   • Stel de getroffen endpoints vast
   • Stel de getroffen servers vast
   • Stel de getroffen hypervisors vast
   • Stel de getroffen cloudresources vast

2. Stel de versleutelde data vast

   • Beoordeel:
     • Fileshares
     • Databases
     • Gebruikersmappen
     • Kritieke applicaties
     • SaaS-platforms

3. Beoordeel de bedrijfsimpact

   • Stel de getroffen bedrijfsonderdelen vast
   • Stel vast welke kritieke diensten niet beschikbaar zijn
   • Beoordeel de ernst van de operationele verstoring

4. Review de versleutelingspatronen

   • Stel de gebruikte bestandsextensies vast
   • Review de patronen in de ransom notes
   • Stel de snelheid van de versleuteling vast
   • Beoordeel of er selectief is aangevallen

5. Stel de blootstelling van back-ups vast

   • Stel vast of back-ups zijn versleuteld
   • Stel vast of er back-ups zijn verwijderd
   • Beoordeel de impact op immutable opslag

6. Stel een impactinventaris op

   • Documenteer de getroffen systemen
   • Bepaal de volgorde van herstel
   • Schat per asset de inspanning voor het herstel

3. Na afloop

• Documenteer alle bevindingen in het incidentticket

Bijdrager

Vishal Thakur GitHub: https://github.com/malienist

Jayden Vo GitHub: https://github.com/jayden-vo

Heeft bijgedragen aan het Arcana Incident Response Documentation Framework.