Kijk terug in de geschiedenis
Oude back-ups worden opnieuw gescand zodra er nieuwe malware-indicatoren bekend zijn.
Na ransomware zoeken we het laatste herstelpunt waar de aanvaller nog niet in zat.
Ransomware zit vaak dagen of weken in je netwerk voordat het iets versleutelt. We gebruiken je back-upgeschiedenis als tijdlijn om te zien wanneer het binnenkwam, welke herstelpunten geraakt zijn en wat veilig terug te zetten is.
Zo vinden we na een ransomware-aanval het herstelpunt dat je kunt vertrouwen.
Aanvallers zitten vaak dagen in een netwerk voordat ze iets versleutelen. Met je back-upgeschiedenis zoeken we uit wanneer ze binnenkwamen, zodat je terugzet vanaf een punt dat echt schoon is.
01 / 05
Nieuwe indicatoren komen binnen
Elke dag verschijnen er nieuwe dreigingsindicatoren. Komt er een nieuwe binnen, dan controleren we elk herstelpunt dat je nog hebt, ook dat van vorige week. Het schone resultaat van gisteren was gebaseerd op de kennis van gisteren.
02 / 05
Kijk terug in de geschiedenis
Die vergelijking draait op onze index van je back-ups, op onze eigen infrastructuur. Je productieservers merken er dus niets van. Hier duikt de loader op in elk punt vanaf 17 oktober.
03 / 05
Bepalen wanneer het begon
Op 20 oktober om 03:14 werden ruim achttienduizend bestanden herschreven en schoot de entropie omhoog: het typische patroon van versleuteling. Samen met de eerste treffer levert dat een tijdlijn op: sluimerend vanaf 17 oktober, actief vanaf de 20e.
04 / 05
Controleren in isolatie
We starten de server zoals hij op 16 oktober was in een afgeschermde testomgeving, zonder netwerkverbinding. We vinden geen loader, geen geplande taak en geen verbinding naar buiten. Dit punt is te vertrouwen.
05 / 05
Terugzetten zonder de besmetting
De server komt terug vanaf 16 oktober. Werk dat daarna is opgeslagen, zetten we gericht terug, en elk gemarkeerd bestand blijft buiten het herstel. Je incidentleider geeft het akkoord.
Je zet de aanvaller niet mee terug met je data. De keuze voor een herstelpunt rust op wat we in de back-ups vonden, en dat scheelt een tweede storing.
Technische details
- Nieuwe indicatoren (bestandshashes, bestandspatronen, netwerkindicatoren) worden met terugwerkende kracht vergeleken met alle bewaarde herstelpunten, op onze infrastructuur.
- Wijzigingsanalyse over de back-upgeschiedenis: aantal gewijzigde bestanden en entropie per punt, om het begin van de versleuteling te dateren.
- Historische machines kunnen in een geïsoleerde omgeving zonder netwerktoegang worden opgestart, om een herstelpunt te bevestigen voordat we het gebruiken.
Voorbeeldincident. Geen enkele scan kan bewijzen dat een systeem vrij is van elke dreiging. Inperken en opschonen blijven bij je incidentresponsteam; wij leveren het herstel.
Zet je de verkeerde back-up terug, dan zet je de aanvaller ook terug.
Malware of ongewenste wijzigingen kunnen al in een recente back-up zitten. Voordat je terugzet, moet je weten wanneer de aanval begon en welke herstelpunten je nog kunt gebruiken.
Verklein de tijdlijn
We starten historische systemen geïsoleerd op om te zien wanneer de verdachte activiteit begon.
Bewust kiezen
Getroffen bestanden worden gemarkeerd en bekende malware blijft buiten de restore.
Het onderzoek draait op onze eigen infrastructuur.
Het indexeren en scannen van back-ups gebeurt in ons datacenter. Je team krijgt extra bewijs, zonder productiesystemen die al onder druk staan nog zwaarder te belasten.
Oudere herstelpunten
Opnieuw gescand met de indicatoren van vandaag.
Eerste verdachte wijziging
Het onderzoeksvenster wordt kleiner.
Herstelbeslissing
Voorbeeld van een onderzoekKiezen, uitsluiten en controleren.
Dreigingsanalyse helpt je bepalen wat je terugzet. Geen enkele scan kan bewijzen dat een systeem vrij is van elke dreiging. Inperken, opschonen en goedkeuren blijven onderdeel van het gezamenlijke incidentplan.
Beheerde back-up Disaster recovery Meldplicht onder NIS2Voor de directie
Na een aanval beslis jij wanneer het bedrijf weer opstart. Wij geven je bewijs welk herstelpunt veilig is, zodat je niet een tweede keer stilvalt.
Voor IT-partners
Help een klant na een aanval zonder je hele team van ander werk te halen.
Zo werkt het partnerschapVragen die we vaak krijgen
Staat je vraag er niet bij? Bel ons op +31 (0)85 482 3400.
Vervangt dit incidentrespons?
Nee, het ondersteunt het. We stemmen het herstel af met je incidentrespons-, security- en IT-teams. Inperken en opschonen worden apart geregeld.
Kun je een dreiging die vandaag ontdekt wordt ook in een oude back-up terugvinden?
Ja. Bij een nieuwe scan vinden we bekende indicatoren ook in historische back-ups. De uitkomst hangt af van de beschikbare indicatoren, hoe ver je geschiedenis teruggaat en de omvang van de scan.
Kunnen jullie precies vaststellen wanneer de aanval begon?
We kunnen het venster verkleinen en de eerste sporen in de beschikbare herstelpunten laten zien. Hoe precies dat is, hangt af van de back-upfrequentie, de bewaartermijn en wat de aanval heeft achtergelaten.
Is het nu aan de hand? Bel ons.
Anders lopen we je back-upgeschiedenis met je door en wat we erin kunnen vinden, voordat er iets gebeurt.