Ransomware Golden Hour: De første 60 minutter der redder jeres IT-infrastruktur

Klokken er 06.14. IT-vagten modtager en kritisk alarm: Den primære hypervisor overbelaster sine disk-I/O, mens filservere i hastigt tempo omdøber filer til endelsen .locked. På dette præcise tidspunkt er angrebet ikke lige begyndt, det er trådt ind i sin afsluttende eksekveringsfase. Trusselsaktørerne har sandsynligvis brugt uger på at kortlægge netværket, eksfiltrere forretningskritiske data og sabotere online backups. Nu tikker uret ubønhørligt.

I akutmedicin refererer "The Golden Hour" til den første afgørende time, hvor den rette indsats afgør patientens overlevelse. I IT-sikkerhed gælder nøjagtig samme logik. De første 60 minutter efter opdagelsen af et ransomware-angreb afgør organisationens skæbne: Enten inddæmmer I skaden og sikrer digitale beviser, eller også begår I de klassiske fejl, der umuliggør hændelsesanalysen og tvinger driften i knæ.

Hvad skal man gøre, og hvad må man absolut ikke gøre i den første time?#

Kort sagt: I den første time skal berørte systemer isoleres fysisk eller logisk uden at slukke for strømmen for at bevare RAM-indholdet. Skift straks al ledelseskommunikation til en uafhængig out-of-band kanal, og aktivér krisestaben uden panik.

Når krypteringen ruller, er den umiddelbare reaktion hos mange teknikere ofte at trække strømstikket på servere eller klienter. Det er den absolut største fejl.

Fatale fejl der skal undgås med det samme

• Sluk eller genstart aldrig kompromitterede maskiner: Slukker man en maskine, slettes indholdet i RAM (arbejdshukommelsen) uigenkaldeligt. Netop denne RAM indeholder midlertidige krypteringsnøgler, Command & Control (C2) IP-adresser, injicerede malware-processer og flygtige digitale beviser, som incident response-analytikere er dybt afhængige af. Desuden vil en genstart af et system, hvor centrale systemfiler allerede er krypteret, gøre det umuligt at boote maskinen igen.
• Brug ikke intern e-mail, Teams eller virksomhedens IP-telefoni: Hvis jeres Active Directory er kompromitteret, er jeres mailsystem og interne samarbejdsværktøjer det sandsynligvis også. Angriberen kan lytte med på krisemøderne og justere sin taktik i realtid.
• Forsøg ikke at forhandle på egen hånd eller betale straks: Enhver forhastet henvendelse signalerer til angriberne, at de ramte systemer er vitale for jeres forretning, hvilket øger presset og kravet til løsesummen betragteligt.

Hvordan isoleres infrastrukturen uden at ødelægge digitale beviser?#

Kort sagt: Højeste prioritet er øjeblikkelig afbrydelse af netværksforbindelser via Ethernet-kabler, deaktivering af Wi-Fi eller VLAN-isolering i switche, mens udstyret forbliver tændt for at fastholde flygtige beviser i arbejdshukommelsen.

Isolering af IT-miljøet betyder ikke, at man skal slå hovedafbryderen fra i serverrummet. Formålet er at standse lateral bevægelse (eksempelvis via SMB, RDP eller WMI) og samtidig fastfryse maskinernes tilstand til digital efterforskning.

Nødprotokol for isolering

1. Fysisk netværksfrakobling: Træk netværkskablerne (RJ45) ud af de ramte servere, og deaktiver Wi-Fi på bærbare enheder. Ved et omfattende angreb skal netværksteamet isolere de berørte VLANs eller afbryde WAN- og VPN-forbindelser mellem lokationer.

2. Luk indgående fjernadgange: Tilbagekald omgående VPN-adgange, remote desktop gateways og aktive administrative sessioner. Trusselsaktører etablerer ofte flere samtidige bagdøre for at bevare fodfæstet.

3. Brug dvaletilstand frem for at slukke (hvis proceduren er indøvet): Hvis IT-teamet behersker at tvinge en kontrolleret dvaletilstand (hibernation), gemmes RAM-indholdet i en fil på disken (hiberfil.sys), før maskinen standser, hvilket bevarer hukommelsestilstanden. Er I i tvivl, skal maskinen blot forblive tændt og isoleret fra netværket.

4. Frakobl uafhængige backups: Frakobl fysisk offline-backups, isoler uberørte storage-systemer og stands automatiske cloud-synkroniseringer for at forhindre, at krypterede filer overskriver sunde versioner.

Hvis I vil træne jeres tekniske teams og IT-ledelsen i disse svære beslutninger under pres uden risiko for infrastrukturen, lader vores 3D-krisestyringsspil Super CISO Destroyer deltagerne navigere i det realistiske pres, en CISO oplever under et massivt cyberangreb.

Hvordan struktureres modtrækket og krisestaben?#

Teknisk inddæmning er kun en del af opgaven. Uden en fast ledelsesstruktur mister selv det dygtigste team overblikket på under en time.

Etablering af en sikker out-of-band kommunikationskanal

Før krisestaben samles, skal kommunikationsvejen sikres. Benyt en foruddefineret, end-to-end krypteret beskedtjeneste oprettet uden tilknytning til virksomhedens brugerkatalog, eller benyt mobiltelefoner uden for firmanetværket. Forbyd brug af interne samarbejdsværktøjer som Teams eller Microsoft 365, indtil kernesystemernes integritet er bekræftet.

Krisestabens opgaver i den første time

• Overordnet koordinering: Udpeg én kriselæser, der samler fakta, fører en præcis hændelseslog på papir og afskærmer det tekniske team fra eksterne forstyrrelser.
• Juridiske og lovmæssige krav: Forbered underretning til relevante myndigheder (herunder Datatilsynet inden for 72-timers fristen ifølge GDPR, samt CFCS i henhold til NIS 2-forpligtelser for berørte enheder) og orientér jeres cyberforsikringsselskab. For finansielle institutioner skal Finanstilsynet og DORA-kravene ligeledes aktiveres.
• Kommunikationsberedskab: Udarbejd de første interne talepunkter til medarbejderne for at forhindre rygtedannelse på sociale medier, og brief reception samt kundesupport om håndtering af eksterne henvendelser.

Håndteringen af den første kritiske time ved et ransomware-angreb kan ikke improviseres midt i krisen. Den skal forberedes, dokumenteres og testes jævnligt af direktionen og det tekniske beredskab. Ønsker I at vurdere jeres kriseberedskab og træne organisationen mod realistiske trusler? Kontakt vores rådgivere for en dialog om skræddersyede træningsforløb.

BRAIN SECURITY I PRAKSIS · SuperCISO Destroyer

Læs videre: relaterede artikler og løsninger fra Brain Security#

Relaterede artikler om dette emne

• Cyberkrisekommunikation: Sådan taler I med medarbejdere, kunder og pressen (Cyber Crisis & Ransomware) : Håndtér krisestyring ved cyberangreb professionelt: Lær at kommunikere klart med medarbejdere, kunder og medier uden fatale fejl.
• BCP og DRP: Hvorfor et beredskab uden stresstest er en farlig illusion (Cyber Crisis & Ransomware) : Test jeres BCP og DRP under et realistisk cyberangreb. Forebyg nedbrud, skjulte afhængigheder og operationelt kaos for direktionen og IT.
• Shadow IT: Sådan håndterer du uautoriserede værktøjer uden at blokere forretningen (Cyber Crisis & Ransomware) : Forstå risiciene ved Shadow IT, og opdag hvordan IT-sikkerhed og forretningsbehov forenes gennem dialog, risikostyring og kontinuerlig træning.
• AI-drevet spear-phishing: Hvorfor stavefejl ikke længere afslører svindel (Phishing & Social Engineering) : Lær at spotte avancerede spear-phishing-angreb genereret af kunstig intelligens uden sprogfejl. Vigtige signaler og råd til CISO og IT-sikkerhedsansvarlige.

Udforsk Brain Securitys løsninger på vores hjemmeside

• Relateret løsning : Super CISO Destroyer : Hurtigt 2-minutters arkadespil for CISO’er og sikkerhedsteams.
• Se use cases efter sikkerhedsmål og branche
• Sammenlign vores formater til cyber- og AI-bevidsthed
• Udforsk hele det interaktive katalog fra Brain Security
• Tal med vores team om jeres behov (demo og opsætning)