Ransomware er sjelden ett klikk. Det er en kjede: innledende tilgang, etablering, eventuell dataeksfiltrasjon, og til slutt kryptering eller utpressing. Sophos hjelper med å bryte kjeden tidlig – hvis noen faktisk følger opp signalene.
Signaler som betyr noe
- Masseskriving eller mistenkelig filkryptering på endepunkt
- Blokkering av kjente ransomware-familier
- Uvanlig lateral trafikk inne på nettverket
- Forsøk på å nå kommando- og kontrollservere
- Forsøk på å slå ut eller blindgjøre EDR før kryptering
- Plutselige endringer i admin-verktøy eller fjernstyring
Hva som bør skje i praksis
- Contain: isolér berørte enheter og begrens skade
- Assess: vurder omfang – én PC, flere, eller hele filserveren?
- Eradicate: fjern trussel, lukk inngang (e-post, RDP, stjålet økt eller leverandørverktøy)
- Recover: gjenopprett fra rene, testede backuper
- Learn: harden MFA, patching, e-postfiltre og leverandørtilgang
Hvorfor «vi har antivirus» ikke er nok
Signaturer og blokkeringer hjelper. Men uten menneskelig vurdering, isolering og oppfølging blir mange alarmer støy. NITD kobler Sophos til overvåking og helpdesk slik at signal blir handling. Pågår det nå? Se Under angrep? – ring 69 81 10 00 og trykk 9.
Se også backup som siste forsvar, leverandørkjede og Sophos-leveransen.