Что произошло
Инцидент сопровождался заявлениями о масштабной краже данных и вымогательстве. Исходный код, исследовательские данные и внутренние системы тоже являются ценными целями.
Почему это важно
Ransomware редко начинается с самого шифрования. Обычно ему предшествуют внешний доступ, кража учётных данных, перемещение по сети и сбор данных.
Что стоит проверить
- Публичные сервисы и своевременность патчей
- Удалённый доступ и VPN
- Пути кражи учётных данных и lateral movement
- Изоляцию резервных копий
- Покрытие EDR и сценарии реагирования
Что это означает на практике
Ransomware почти всегда является финальной стадией более длинной цепочки. До шифрования обычно есть первичный доступ, закрепление, кража учётных данных, повышение привилегий, перемещение по сети и попытка добраться до резервных копий или ценных данных. Поэтому защита только от самого шифровальщика оставляет слишком много слепых зон.
При аудите полезно моделировать путь от внешнего сервиса или обычной учётной записи к критическим функциям. Проверяются удалённый доступ, сегментация, привилегии, защита резервных копий, EDR-покрытие и журналирование. Цель не в «запуске ransomware», а в безопасном подтверждении звеньев, которые сделали бы такой сценарий возможным.
Что даёт аудит
На аудите полезно проверять не отдельный индикатор, а весь путь: внешний сервис, идентификацию, права, данные, соседние системы и способность команды заметить попытку злоупотребления.