Wat je leert
Leerdoelen
- Breng veelvoorkomende toegangspunten en laterale beweging in kaart
- Geef voorrang aan gecoördineerde inperking
- Bepaal welk bewijs nodig is voordat je de dienstverlening herstelt
Beperk de routes die een aanvaller kan gebruiken
Inventariseer blootgestelde externe toegang, dwing sterke authenticatie af en pak kwetsbare systemen aan. Scheid gewone accounts van beheerrechten. Eén gestolen inloggegeven mag geen onbeperkte toegang geven tot werkstations, servers en back-ups. Segmentatie en monitoring helpen beweging te beperken en te detecteren, maar geen van beide vervangt onderhouden toegangscontrole.
Coördineer de inperking
Wordt er versleuteling of een geloofwaardige inbraak gedetecteerd, gebruik dan het incidentplan en een vertrouwd communicatiekanaal. Bepaal welke systemen getroffen zijn en welke risico lopen. Isolatie moet worden afgestemd met het responsteam, vooral bij gedeelde of kritieke diensten. Bewaar logs, berichten en een tijdlijn. Vermijd geïmproviseerde opschoonacties die bewijs vernietigen of een aanvaller opnieuw verbinden met schone systemen.
Herstel naar een verdedigbare toestand
Een back-up is input voor herstel, geen bewijs dat de aanvaller weg is. Breng de initiële toegang, de omvang en de persistentie in kaart; herstel getroffen identiteiten en systemen. Zet terug in een geïsoleerde omgeving, controleer gegevens en afhankelijkheden tussen applicaties, en monitor voordat je gebruikers weer aansluit. Bepaal de herstelvolgorde op basis van bedrijfsprioriteiten en gemeten RPO/RTO-doelstellingen.
Leer van de gebeurtenis
Leg vast wat er bij elke beslissing bekend was, wie de inperking heeft goedgekeurd en hoe het herstel is gevalideerd. Zet gaten om in toegewezen verbeteringen. Een tabletop-oefening en een gemeten hersteltest zijn nuttiger dan een ongeteste bewering dat herstel “geregeld” is.
Toegepast voorbeeld
Plaats het in context
Een fictief productieteam ontdekt versleutelde netwerkshares. Het isoleert de getroffen segmenten, beschermt het back-upbeheer en zet een prioritaire applicatie terug in een schone omgeving, nadat het gecompromitteerde identiteiten en afhankelijkheden heeft gecontroleerd.
Illustratief scenario om van te leren, geen bewering over een geverifieerd incident bij een klant.Veelgemaakte fouten
- Back-ups verbinden met gecompromitteerd beheer
- Teruggezette bestanden gelijkstellen aan volledig herstel
- Geen tijdlijn van beslissingen bijhouden
Jouw praktische checklist
Vinkjes in de checklist zijn tijdelijk en worden niet vastgelegd als voortgang in je account.
Korte samenvatting
Paraatheid voor ransomware combineert beperkte toegang, vroeg melden, inperking met oog voor bewijs en getest herstel.