RESOURCE / PL

Ransomware — karta decyzji na pierwszą godzinę

Karta do zapisania hosta, czasu, izolacji, udziałów, kont, kopii, osoby decyzyjnej i kontaktu zewnętrznego.

Numer / nazwa incydentu:
Osoba decyzyjna:
Osoba prowadząca notatkę:

Objaw i czas

  • Host / urządzenie / właściciel:
  • Czas zgłoszenia i strefa:
  • Pierwszy znany objaw i czas:
  • Co już zrobiono przed użyciem karty:
  • Fakt / hipoteza / brak zostały oznaczone osobno.

Izolacja czy wyłączenie

  • Odłączono sieć hosta bez logowania uprzywilejowanym kontem.
  • Sprawdzono, czy szyfrowanie lub niszczenie danych nadal trwa.
  • Wybrano: pozostawić włączony i izolowany / kontrolowanie wyłączyć / eskalować.

Decyzja, czas, osoba i powód:

Wyłączenie usuwa pamięć ulotną. Może jednak ograniczyć szkodę, gdy szyfrowanie lub niszczenie danych trwa, a hosta nie da się szybko i bezpiecznie odizolować od sieci oraz dostępnej pamięci masowej. Nie wyłączaj urządzeń hurtowo bez zgody osoby uprawnionej do podjęcia decyzji.

Udziały i usługi

  • Udziały widoczne z hosta:
  • Nowe zmiany plików nadal widoczne: tak / nie / nie wiadomo.
  • Właściciel usługi zdecydował o ograniczeniu zapisu lub odłączeniu.
  • Zapisano wpływ na działalność i czas zmiany.

Konta uprzywilejowane

  • Konta używane na hoście:
  • Aktywne sesje / tokeny wymagające unieważnienia:
  • Reset lub blokadę wykonano z czystego stanowiska.
  • Zachowano dostępne logi i zapisano czas każdej zmiany.

Kopie zapasowe

  • Repozytorium kopii odseparowano od podejrzanego środowiska.
  • Nie podłączono kopii do zainfekowanego hosta.
  • Najnowszy punkt odtwarzania, który według dostępnych dowodów poprzedza niepożądane zmiany, oraz status jego weryfikacji:
  • Osoba uprawniona do decyzji o odtwarzaniu:

Kontakty

  • Właściciel firmy / usługi:
  • Osoba techniczna / dostawca:
  • Bank, ubezpieczyciel lub właściwa instytucja — jeśli dotyczy:
  • Kontakt zewnętrzny, czas, zakres przekazanych faktów:

Stan na koniec karty

Potwierdzone hosty / konta / usługi:
Nieustalony zakres:
Następna decyzja, osoba i czas:

Kontekst decyzji opisuje pierwsza godzina ransomware. Użyj również checklisty IR oraz — do zachowania faktów i hipotez — arkusza podstawowej analizy. Karta nie zastępuje planu reakcji, specjalisty ani obowiązków organizacji.

Chcesz to wdrożyć albo omówić zakres?

Zasób zostaje otwarty. Formularz jest od wdrożenia, nie od bramki e-mail.

Zapytanie jest zapisywane na serwerze. Dostaniesz krótkie potwierdzenie z hello@tomek.st. Powiadomienie idzie też na Telegram i e-mail operatora.