Netwerk en beveiliging
Ransomware: wat doe je in de eerste uren?
Kort antwoord
Haal besmette apparaten van het netwerk, maar zet ze niet uit. Wis niets, betaal niet meteen en schakel hulp in: je ICT-beheerder, je cyberverzekeraar als je die hebt, en de politie voor aangifte. Controleer of de back-ups intact zijn voordat je iets herstelt. Zijn er persoonsgegevens geraakt, dan meld je dat uiterlijk 72 uur na ontdekking bij de Autoriteit Persoonsgegevens. Herstellen doe je pas als duidelijk is hoe de aanvaller binnenkwam.
Wat doe je meteen?
De eerste reflex is alles uitzetten en opnieuw installeren. Doe dat niet.
- Haal besmette apparaten van het netwerk. Kabel eruit, wifi uit. Zo stopt de verspreiding.
- Laat ze aan staan. In het geheugen staan sporen die verdwijnen als je uitschakelt, en soms de sleutel zelf.
- Koppel de back-ups los. Een externe schijf, de verbinding met de back-upopslag. Wat de aanvaller nog niet heeft bereikt, moet onbereikbaar worden.
- Bel hulp. Je ICT-beheerder en, als je een cyberverzekering hebt, de verzekeraar. Die heeft vaak een vast team dat je moet inschakelen voordat je zelf iets doet.
- Leg vast wat je ziet. Foto’s van de melding, de naam van de versleutelde bestanden, het tijdstip. Dat is nodig voor aangifte, de verzekeraar en het onderzoek.
Wat doe je juist niet?
| Niet doen | Waarom |
|---|---|
| Apparaten uitzetten of opnieuw installeren | Je wist de sporen die laten zien hoe het is gebeurd |
| Met de aanvaller in gesprek gaan zonder hulp | Elke reactie geeft informatie prijs |
| Betalen onder tijdsdruk | De klok in de losgeldbrief is een onderhandelingsmiddel |
| Een back-up terugzetten op een besmet netwerk | Hij wordt opnieuw versleuteld |
| Het stilhouden | Bij een datalek geldt een meldplicht, en klanten horen het liever van jou |
Wie moet je inlichten?
- De politie. Doe aangifte. Het helpt de opsporing en verzekeraars vragen erom.
- De Autoriteit Persoonsgegevens, als er persoonsgegevens zijn geraakt en er een risico is voor de betrokkenen.
- De betrokken personen zelf, als het risico voor hen hoog is.
- Je verzekeraar, volgens de voorwaarden van de polis.
- Klanten en leveranciers die er last van hebben of via jou risico lopen.
- De toezichthouder van je sector, als je onder de Cyberbeveiligingswet valt. Die kent eigen termijnen voor het melden van incidenten; zie NIS2.
Hoe kom je weer aan het werk?
In deze volgorde, en niet sneller.
- Vaststellen hoe de aanvaller binnenkwam. Zonder dit zet je alles terug in een omgeving met dezelfde open deur.
- Vaststellen wat geraakt is. Welke systemen, welke accounts, vanaf wanneer.
- Controleren of de back-ups schoon zijn. Aanvallers zitten vaak weken binnen voordat ze versleutelen. Een back-up van gisteren kan al besmet zijn.
- Schoon opbouwen. Systemen opnieuw installeren, gegevens terugzetten uit een kopie van vóór de inbraak.
- Alle wachtwoorden wijzigen. Ook van beheeraccounts en van koppelingen tussen systemen.
- Stap voor stap weer aansluiten, met extra bewaking in de eerste weken.
Het meest gebruikte systeem eerst: meestal mail en de administratie.
Waarom maakt de back-up het verschil?
Omdat het de enige uitweg is die niet via de aanvaller loopt. Maar alleen een back-up die aan drie eisen voldoet.
- Buiten bereik. Op aparte opslag, met eigen toegang die los staat van de accounts in je netwerk.
- Onveranderbaar. Een vaste periode niet te wissen of te overschrijven, ook niet door een beheerder.
- Getest. Een back-up waar nooit iets uit is teruggezet, is een aanname.
De NAS in de meterkast die aan hetzelfde netwerk hangt, voldoet aan geen van de drie. Meer hierover bij back-up en herstel en in back-up voor het mkb.
Hoe verklein je de kans?
Met de saaie maatregelen, want daar komen aanvallers door binnen als ze ontbreken.
- Tweestapsverificatie op elk account, zeker op alles wat van buiten bereikbaar is
- Updates voor firewall, VPN en servers zodra ze er zijn
- Geen beheerrechten voor dagelijks werk
- Een netwerk in delen, zodat één besmette laptop niet overal bij kan
- Een back-up zoals hierboven
- Een plan op papier: wie belt wie, en waar staan de telefoonnummers als de mail eruit ligt
Hoe iemand reageert op een verdachte mail, staat in phishing: wat als iemand heeft geklikt. De maatregelen zelf richten wij in bij cybersecurity voor het mkb.
Wij doen geen forensisch onderzoek na een aanval; daar zijn gespecialiseerde bedrijven voor, en je verzekeraar heeft er meestal een vaste partij voor. Wat wij doen is zorgen dat je er klaar voor bent en helpen met het schoon opbouwen daarna.