Säker återställning efter ransomwareattacker

Sammanfattning

Här undersöktes hur en säker återställningspunkt kunde identifieras i en backupkedjaefter en ransomwareattack. Problemet som behandlades var att skadlig kod kundeetableras i systemet redan innan krypteringen aktiverades vilket innebar att ävensäkerhetskopior riskerade att vara infekterade. För att undersöka detta genomfördes ettexperiment i en kontrollerad virtuell miljö där en ransomwareattack simulerades mot enklientmaskin som säkerhetskopierades vid flera tillfällen. Efter attacken genomfördes enanalys av backupkedjan där återställningspunkterna skannades efter skadlig kod för attavgöra vilka som kunde användas för en säker återställning. Resultatet visade att det varmöjligt att identifiera en säker återställningspunkt genom analys och skanning avbackupkedjan. Infekterade återställningspunkter kunde skiljas från opåverkade vilketmöjliggjorde en korrekt återställning av systemet utan kvarvarande skadlig kod. Studienvisade även att flera återställningspunkter och en genomtänkt backupstrategi varavgörande för en lyckad återställning. Slutsatsen var att backup i sig inte var tillräckligt,utan att analys och verifiering av återställningspunkter utgjorde en kritisk del avåterställningsprocessen efter en ransomwareattack.