Ransomware er ikke længere en trussel, der kun rammer store virksomheder. De fleste angreb er automatiserede og rammer det, der er sårbart — ikke det, der er værdifuldt. En håndværksvirksomhed med tolv ansatte i Midtjylland er lige så udsat som en koncern, og har typisk færre ressourcer til at komme tilbage.

Denne artikel handler ikke om at forebygge. Den handler om det øjeblik, hvor det er sket, og hvor beslutningerne skal træffes hurtigt og i den rigtige rækkefølge — typisk mens telefonen ringer, medarbejdere står i døren, og ingen har det fulde billede.

Læs den nu, mens der er ro. Det er den eneste gang, den kan læses ordentligt.

Minut 0 til 5: isolér

Målet er at stoppe spredningen. Ransomware breder sig gennem netværket, og hvert minut tæller.

  • Tag de berørte maskiner af netværket — træk kablet ud, slå WiFi fra.
  • Sluk dem ikke. Hukommelsen kan indeholde spor og i visse tilfælde nøgler. Isolér i stedet.
  • Afbryd forbindelsen til fælles drev og til NAS-enheder.
  • Overvej at afbryde internetforbindelsen helt, hvis omfanget er ukendt.
  • Tag backup-systemet af nettet, hvis det er muligt uden at afbryde en igangværende sikring.

Det sidste punkt er vigtigt. Moderne ransomware går målrettet efter backuppen først, netop fordi det er den, der ellers redder virksomheden.

Minut 5 til 15: alarmér de rigtige

Ring til jeres IT-leverandør på det nummer, der står på papiret — ikke i en mail, for mailen kan være utilgængelig, og ikke i et system, der kan være krypteret.

Orientér ledelsen. Udpeg én person, der koordinerer, så beslutninger ikke træffes i fem parallelle spor. Det er den enkeltbeslutning, der oftest mangler, og som gør de første timer kaotiske.

Skriv samtidig en simpel log: hvad blev opdaget hvornår, af hvem, og hvad er der gjort. Brug papir, hvis det er nødvendigt. Den log bliver værdifuld over for både forsikring, politi og Datatilsynet, og den kan ikke rekonstrueres bagefter.

Minut 15 til 30: afklar omfanget

Hvilke systemer er ramt? Er serverne berørt, eller kun klienter? Er backuppen intakt — og er den adskilt fra det netværk, der er ramt? Hvor langt tilbage går den seneste brugbare sikring?

Og det vigtigste spørgsmål: er der tegn på, at data er hentet ud, og ikke blot krypteret?

Det sidste er afgørende for de juridiske forpligtelser. Krypterede data er et driftsproblem. Udhentede persondata er en anmeldelsespligtig hændelse, og de fleste angribere i dag henter data ud, netop for at have et pressionsmiddel ud over krypteringen.

Minut 30 til 60: beslut retning

Nu skal der tages stilling til gendannelse, anmeldelse og kommunikation.

  • Gendannelse: Gendan fra backup til rene systemer. Gendan ikke til den samme maskine, før den er sat op fra bunden.
  • Politi: Anmeld. Det er ofte en forudsætning for forsikringsdækning.
  • Datatilsynet: Er der personoplysninger involveret, løber der en frist på 72 timer fra det tidspunkt, I blev bekendt med bruddet.
  • Forsikring: Har I cyberforsikring, skal de kontaktes tidligt. Nogle policer kræver, at deres beredskab bruges, og at der ikke handles uden om dem.
  • Kunder og samarbejdspartnere: Forbered en kort, ærlig besked. Tavshed fortolkes altid værre end fakta.
  • Medarbejdere: Sig hvad der sker, og hvad de skal gøre — herunder at de ikke skal tænde deres maskiner.

Skal man betale?

Anbefalingen fra myndigheder er nej, og der er gode grunde: der er ingen garanti for at få en nøgle, betaling finansierer den næste bølge, i mange tilfælde bliver data alligevel offentliggjort, og en virksomhed der har betalt en gang bliver ofte ramt igen.

Beslutningen ligger hos ledelsen, men den bør træffes med rådgivning — ikke i panik den første time. Vær desuden opmærksom på, at betaling i visse tilfælde kan være ulovlig, hvis modtageren er omfattet af sanktioner.

De fem klassiske fejl

  • At slukke maskinerne. Ødelægger spor og gør efterforskning sværere.
  • At gendanne oven i det inficerede. Så bliver den nye data også krypteret, ofte inden for få timer.
  • At opdage, at backuppen var tilgængelig fra samme netværk. Derfor skal der være en kopi, der er adskilt eller uforanderlig.
  • At kommunikere for sent. Rygter er værre end nyheder, og kunder der ringer forgæves bliver hurtigt vrede.
  • At tro, at det er overstået, når driften kører. Angriberen kan have efterladt adgang. Alle kodeord skal skiftes, og der skal gennemgås for bagdøre og nye konti.

Det der skal ligge klar på forhånd

En beredskabsplan behøver ikke være et 40-siders dokument. Én side, printet og hængt op på kontoret, som indeholder:

  • Telefonnummer til IT-leverandøren og til den ansvarlige internt.
  • Hvem der har mandat til at tage systemer af nettet — og at de må gøre det uden at spørge først.
  • Hvor backuppen ligger, og hvem der kan gendanne.
  • Nummer og policenummer til forsikringen, samt nummer til politiets anmeldelse.
  • Prioriteret liste over, hvilke systemer der skal op først.
  • Et udkast til besked til medarbejdere og til kunder.
  • Datoen for, hvornår planen sidst blev testet.

Grunden til, at den skal være på papir, er enkel: hvis planen ligger i det system, der er krypteret, findes den ikke. Vi har set det ske, og det er en dyr erkendelse at nå frem til klokken syv om morgenen.

Beslut prioriteringen nu, ikke under krisen

Hvilket system skal op først? Svaret er ikke teknisk — det er forretningsmæssigt. Hvad skal virke, for at I kan tage imod en ordre, sende en vare, eller behandle en kunde?

Uden den beslutning bliver rækkefølgen tilfældig og bestemt af, hvad der teknisk er lettest. Med den kan I være delvist i drift på en dag i stedet for helt nede i tre.

Test den én gang om året

Sæt to timer af. Spil scenariet igennem ved et bord, uden at røre noget. Hvem ringer til hvem? Findes nummeret uden adgang til mail? Kan I faktisk gendanne en fil fra backup lige nu?

Første gang finder de fleste to eller tre huller — og det er hele pointen. Et hul fundet ved et bord er gratis; det samme hul fundet klokken syv om morgenen koster penge.

Det der reelt reducerer risikoen

Til sidst, kort, det der forebygger: MFA på alle konti, automatisk patching, backup der er uforanderlig eller fysisk adskilt, moderne sikkerhedsovervågning på enhederne med automatisk isolering, styring af lokale administratorrettigheder, og segmentering så én maskine ikke er hele netværket.

Særligt automatisk isolering er værd at fremhæve. Forskellen mellem én krypteret maskine og hele netværket er ofte, om der var noget, der reagerede inden for sekunder frem for om morgenen.

Netdk står klar

Vores kunder har 24/7 overvågning med automatisk isolering af en maskine, der begynder at opføre sig som ransomware. Vi hjælper også med at lave beredskabsplanen på den ene side og med at teste den ved en bordøvelse.

Vi dækker Aarhus, Randers, Silkeborg, Viborg, Skanderborg, Lystrup og Odder med on-site support inkluderet i aftalen — og ved en hændelse er det netop de dage, hvor det betyder noget, at der kan komme en person.

Næste skridt

Har I en plan, der ligger printet ude på kontoret? Hvis ikke, så ring på 70 23 57 70 — vi laver den sammen med jer på en time.