Zhakowana sieć firmowa
Obce dostępy w sieci, zablokowane konta, nietypowy ruch. Ograniczamy dostęp, sprawdzamy kontrolery domeny i uprawnienia oraz zamykamy drogę wejścia.
Pogotowie IT dla powiatu Heinsberg
Cyberatak?Państwa firma została zhakowana?
Spokojnie: pierwsze minuty decydują o tym, ile szkód pozostanie. Wasacon z Heinsbergu zatrzymuje trwające ataki, zabezpiecza ślady i w uporządkowany sposób przywraca systemy do pracy.
- Dostępność
- W nagłych wypadkach całą dobę
- Dostęp
- Zdalnie od razu, na miejscu w razie potrzeby
- Osoba kontaktowa
- Oleg Wasa, bezpośrednio
Pierwsza pomoc przy incydencie IT
Co należy zrobić TERAZ
Pięć kroków, zanim ktokolwiek zacznie naprawiać. Zajmują kilka minut i chronią dowody, dane oraz kopie zapasowe.
-
Krok 1: Nie korzystać dalej z dotkniętych urządzeń
Nie logować się, niczego nie otwierać, niczego nie testować. Każde działanie może nadpisać ślady lub pomóc złośliwemu oprogramowaniu.
-
Krok 2: Odłączyć dotknięte systemy od sieci, na ile to możliwe
Wypiąć kable sieciowe, wyłączyć Wi-Fi, odciąć dostępy zdalne. W miarę możliwości nie wyłączać zasilania: działający system zawiera ulotne dowody.
-
Krok 3: Nie usuwać podejrzanych plików ani wiadomości
Pozostawić e-maile, pliki i komunikaty bez zmian. Nawet wiadomość z żądaniem okupu jest dowodem.
-
Krok 4: Nie resetować ani nie instalować systemów na nowo w pośpiechu
Pochopna reinstalacja niszczy ślady, z których wynika droga wejścia i skala ataku, i może zagrozić nienaruszonym kopiom zapasowym.
-
Krok 5: Skontaktować się z pogotowiem IT
Prosimy krótko opisać, co się stało i ile systemów jest dotkniętych. Kolejność dalszych kroków ustalimy wspólnie.
A zaraz potem:
W ostrej sytuacji najszybszą drogą jest telefon.
Sytuacje, które przejmujemy
Incydenty, przy których pomaga Wasacon
Każdy incydent przebiega według własnego wzorca. Te sytuacje obsługujemy najczęściej, na miejscu w powiecie Heinsberg i zdalnie poza nim.
Ransomware i zaszyfrowane dane
Pliki są zaszyfrowane, pojawiła się wiadomość z żądaniem okupu. Izolujemy dotknięte systemy, chronimy kopie zapasowe i wspólnie oceniamy drogi odzyskania danych.
Przejęte konto Microsoft 365 lub e-mail
Obce logowania, nowe reguły przekazywania, wiadomości wysyłane w Państwa imieniu. Blokujemy dostępy, usuwamy reguły, sprawdzamy dzienniki logowań i zabezpieczamy konta.
Skompromitowany serwer
Windows Server, Active Directory, NAS lub środowiska wirtualne zachowują się podejrzanie. Sprawdzamy usługi, konta i udziały oraz oddzielamy skompromitowane systemy od reszty.
Zhakowana strona internetowa
Podmienione strony, złośliwy kod, wysyłka spamu lub ostrzeżenia w przeglądarce. W kontrolowany sposób wyłączamy stronę, czyścimy ją i zamykamy wykorzystaną lukę.
Skradzione hasła i dane dostępowe
Dane dostępowe pojawiają się w obcych rękach lub w wycieku. Resetujemy je w uporządkowanej kolejności, zaczynając od kont krytycznych, i włączamy drugą warstwę zabezpieczeń.
Podejrzenie wycieku danych
Wewnętrzne dane krążą poza firmą. Ustalamy, które systemy są dotknięte i skąd pochodzą dane, oraz dokumentujemy ustalenia w weryfikowalny sposób.
Phishing i oszustwo „na prezesa”
Łudząco prawdziwy e-mail, rzekome polecenie szefa, przelew na niewłaściwe konto. Sprawdzamy, co zostało kliknięte, i zabezpieczamy konta oraz kanały płatności.
Złośliwe oprogramowanie i trojany
Komputer zachowuje się dziwnie, antywirus podnosi alarm, w tle działa coś nieznanego. Analizujemy infekcję, usuwamy ją i sprawdzamy, czy się rozprzestrzeniła.
Państwa sytuacji nie ma na liście? Prosimy mimo to o zgłoszenie.
Zgłoś cyberincydentJak przebiega interwencja
Informatyka śledcza i reagowanie na incydenty
Interwencja awaryjna przebiega według stałej kolejności. Celem jest zatrzymanie ataku, zabezpieczenie dowodów i uporządkowany powrót firmy do pracy.
-
Obraz sytuacji
Co jest dotknięte, od kiedy, co jeszcze działa? W ciągu kilku minut rozmowy powstaje pierwszy obraz i jasna kolejność działań.
-
Ograniczenie
Skompromitowane systemy są izolowane, dostępy blokowane, napastnicy odcinani. Szkody przestają rosnąć.
-
Analiza śledcza
Badane są dzienniki, konta i systemy: droga wejścia, przedział czasu, dotknięte dane. Ślady są zabezpieczane, zanim przepadną.
-
Oczyszczenie
Złośliwe oprogramowanie i tylne furtki są usuwane, systemy w razie potrzeby stawiane na nowo, a dostępy nadawane od nowa w czysty sposób.
-
Przywrócenie pracy i raport
Firma wraca do sieci krok po kroku. Otrzymują Państwo zrozumiałą dokumentację incydentu i podjętych działań.
W środku incydentu? Prosimy zgłosić sytuację, kolejność działań bierzemy na siebie.
Zgłoś cyberincydentBezpośredni kontakt
Zgłoś cyberincydent
Prosimy krótko opisać, co się stało. W ostrej sytuacji najszybszy jest telefon, formularz również do nas dociera.
- Telefon
- +49 2452 860 83 73
- info@wasacon.com
- Adres
- Am Diebsweg 22, 52525 Heinsberg
- Obszar działania
- Kreis Heinsberg
- W nagłych wypadkach całą dobę
- Pogotowie IT jest otwarte także dla firm, których Wasacon dotąd nie obsługuje.
Powrót do pracy
Kopie zapasowe i odzyskiwanie danych
Po ataku liczy się to, co da się czysto odtworzyć. Sprawdzamy kopie zapasowe, zanim ktokolwiek ich dotknie, i odbudowujemy we właściwej kolejności.
Sprawdzenie kopii zapasowych
Czy kopie są kompletne, czytelne i wolne od złośliwego oprogramowania? Ustalamy to, zanim rozpocznie się odtwarzanie, aby nic zainfekowanego nie wróciło.
Ustalenie kolejności
Najpierw systemy, od których zależy praca firmy: obsługa zleceń, e-mail, telefonia. Potem reszta, po kolei zamiast wszystko naraz.
Czyste odtworzenie
Odbudowa na oczyszczonych lub świeżo postawionych systemach, z nowymi dostępami i zamkniętymi lukami, aby napastnik nie przeniósł się razem z danymi.
Zabezpieczenie ponownego startu
Po uruchomieniu sprawdzamy, czy wszystko jest na miejscu i takie pozostaje: dane, uprawnienia, przebiegi kopii zapasowych. Dopiero wtedy incydent jest technicznie zamknięty.
Stan kopii zapasowych niejasny? Dokładnie od tego zaczynamy.
Zgłoś cyberincydentGdy dotknięte są dane
RODO: wsparcie przy incydencie ochrony danych
Jeśli dane osobowe mogły zostać dotknięte, szybko potrzebny jest rzetelny obraz. Wasacon wspiera w technicznej ocenie i dokumentacji możliwego incydentu ochrony danych.
Wasacon świadczy wsparcie techniczne i pomoc w dokumentacji, nie doradztwo prawne.
Niepewność, czy dane są dotknięte? To wyjaśnia analiza.
Ocena techniczna
Które systemy i dane były osiągalne, w jakim okresie, jaką drogą? Zbieramy fakty techniczne, na których opiera się każda dalsza ocena.
Dokumentacja
Oś czasu, dotknięte systemy, podjęte działania: zrozumiała podstawa dla oceny wewnętrznej i ścieżek zgłoszeniowych.
Materiał dla Państwa specjalistów
Dla incydentów podlegających zgłoszeniu RODO przewiduje krótkie terminy. Ocena prawna należy do inspektora ochrony danych lub prawnika, my dostarczamy do niej podstawę techniczną.
Wzmacniać zamiast liczyć na szczęście
Po ataku: aby to się nie powtórzyło
Drugi atak często trafia w tę samą lukę. Po przywróceniu pracy wzmacniamy środowisko dokładnie tam, gdzie incydent pokazał jego słabość.
Uwierzytelnianie wieloskładnikowe
Skradzione hasła tracą wartość, gdy każde logowanie wymaga drugiego składnika. Wdrażamy MFA tam, gdzie ma to znaczenie.
Zapora sieciowa i bezpieczne dostępy
Reguły dopasowane do firmy, VPN zamiast otwartych portów, kontrolowane dostępy zdalne. To, co osiągalne z zewnątrz, staje się świadomą decyzją.
Segmentacja sieci
Kto dotrze do jednego segmentu, nie dociera już do wszystkiego. Produkcja, administracja i goście są rozdzieleni, systemy krytyczne szczególnie.
Koncepcja kopii zapasowych
Kopie według reguły 3-2-1, w tym jedna niezmienialna, oraz odtwarzanie, które jest testowane, a nie tylko skonfigurowane.
Monitoring i EDR
Punkty końcowe i sieć są stale monitorowane, aby nowa próba została zauważona, póki jest mała.
Lepiej wcześniej niż w trakcie? Prosimy zapytać o przegląd środowiska.
Zgłoś cyberincydentGdzie działamy
Obszar działania: powiat Heinsberg
Siedziba znajduje się w Heinsbergu, dostęp zdalny jest możliwy od razu. Na miejscu działamy w całym powiecie.
Miejscowości w obszarze działania
- Heinsberg
- Erkelenz
- Hückelhoven
- Wegberg
- Geilenkirchen
- Wassenberg
- Gangelt
- Linnich
Tuż poza powiatem? Prosimy mimo to zadzwonić, dla dostępu zdalnego odległość nie ma znaczenia.
- Siedziba
- Wasacon IT-Dienstleistungen
Am Diebsweg 22, 52525 Heinsberg - Telefon
- +49 2452 860 83 73
Krótkie odpowiedzi
Konkretnie: częste pytania w nagłym wypadku
Pytania, które w kryzysie padają najpierw, z odpowiedziami, zanim trzeba będzie szukać.
Nie pochopnie. Zapłata nie gwarantuje ani odszyfrowania, ani usunięcia skopiowanych danych, a finansuje kolejny atak. Najpierw sprawdzamy, co dają kopie zapasowe i znane narzędzia deszyfrujące, i zalecamy zgłoszenie incydentu policji.
Odłączyć tak, wyłączać w miarę możliwości nie. Działający system zawiera ulotne ślady, których potrzebuje analiza śledcza. Prosimy wypiąć kabel sieciowy i zostawić urządzenie włączone, aż przejmą je specjaliści.
Typowe oznaki to logowania o nietypowych porach, zablokowane konta, nowe reguły przekazywania w skrzynkach, nagle wolne systemy, ostrzeżenia antywirusa albo przeniesione lub zaszyfrowane pliki. W razie wątpliwości wystarczy krótki telefon, weryfikacja daje pewność.
To zależy od skali i nie da się tego rzetelnie podać ryczałtem. W pierwszej rozmowie zawężamy sytuację i sposób działania, dzięki czemu wiedzą Państwo, czego się spodziewać, zanim cokolwiek się zacznie.
Tak. Wiele da się od razu ograniczyć i przeanalizować zdalnie. Gdy potrzebne są ręce przy urządzeniu, przyjeżdżamy do firmy, w całym powiecie Heinsberg.
Tak. Pogotowie IT jest otwarte także dla firm, których Wasacon dotąd nie obsługuje. To, czy po interwencji nastąpi stała opieka, zależy wyłącznie od Państwa.
To zależy od dotkniętych danych. Jeśli chodzi o dane osobowe, RODO przewiduje krótkie terminy zgłoszenia. Decyzję podejmuje inspektor ochrony danych lub prawnik, my dostarczamy do niej dokumentację techniczną.