Os incidentes de ransomware não esperam pelo momento conveniente — a sexta-feira à tarde e as duas da manhã são desproporcionadamente frequentes, porque os atacantes sabem que ao fim de semana a resposta é mais lenta. O que separa um mau dia de um acontecimento que acaba com uma empresa não é a sorte; é saber se o trabalho de base foi feito antes de o ataque começar. Esta é a sequência de resposta que seguimos quando o ambiente de um cliente é comprometido, e a preparação que determina como tudo termina.
A primeira hora: conter antes de investigar
O instinto de diagnosticar de imediato o que aconteceu é compreensível — e errado. O primeiro passo é o isolamento: desligar da rede os sistemas afetados para travar a propagação lateral, antes de gastar tempo a perceber toda a extensão do problema. Cada minuto passado a investigar com a rede ainda ligada é um minuto em que o processo de encriptação continua a avançar sobre outros sistemas. Primeiro isolamos, depois caracterizamos.
Não toque ainda nos backups — verifique primeiro
A prioridade seguinte é confirmar o que é realmente recuperável e, em particular, confirmar que as próprias cópias de backup não foram comprometidas. Este é o fator que mais determina o desfecho do incidente: se os backups forem imutáveis e estiverem comprovadamente limpos, a recuperação é uma questão de horas ou dias. Se os backups estavam acessíveis a partir da rede comprometida e foram encriptados ou apagados juntamente com a produção, as opções de recuperação reduzem-se drasticamente — e é exatamente por isso que uma arquitetura de backup imutável e isolada (air-gapped) vale o investimento antes de um incidente, e não durante.
Comunicação — interna e externa
Em simultâneo com a contenção técnica, alguém tem de gerir a comunicação: o que os colaboradores podem e não podem fazer durante a interrupção, o que os clientes ou parceiros precisam de saber caso o incidente os afete, e se as obrigações legais ou de conformidade exigem uma notificação formal. Este trabalho é muitas vezes subestimado no planeamento de incidentes e torna-se caótico quando é improvisado no momento, em vez de atribuído com antecedência.