ช่างเป็นสิ่งที่ไม่ได้รักษา
เหตุการณ์ที่เกิดขึ้นจริงมีค่าใช้จ่ายเท่าไร
ข้อมูลนี้ได้มาจากข้อมูลการตอบสนองต่อเหตุการณ์ภายในของเราและรายงานสาธารณะที่ได้รับการยืนยันในช่วงปี 2024–2025 — ครอบคลุมหลายอุตสาหกรรมและหลายภูมิภาค
ก่อนที่คุณจะตื่นตระหนก
วัดแรงระเบิด
ตอบคำถามสี่ข้อ เราจะสร้างคะแนนความรุนแรงแบบเรียลไทม์และสี่ขั้นตอนแรกที่ทีมของคุณควรดำเนินการทันที — ก่อนที่ใครจะเริ่มพิมพ์ด้วยความโกรธ
▸ การกระทำสี่ประการแรก
- แยกโฮสต์ที่ได้รับผลกระทบออกจากเครือข่าย — ห้ามปิดเครื่อง
- เก็บรักษาหน่วยความจำและสำเนาเงาของไดรฟ์บนโฮสต์อย่างน้อยหนึ่งเครื่อง
- เพิกถอนข้อมูลประจำตัวที่ใช้ในช่วง 72 ชั่วโมงที่ผ่านมา; หมุนเวียนบัญชีบริการ
- เปิดสะพานการตอบสนองด้วย PWN•ALL ก่อนที่จะแตะข้อมูลสำรอง
สี่ระยะ
สะพานหนึ่ง
เราดำเนินการทุกเหตุการณ์บนสะพานการตอบสนองเดียวที่ได้รับการตรวจสอบ — ทีมของคุณ, นักวิเคราะห์ DFIR ของเรา, ระยะเวลาที่แชร์, และเอกสารยืนยันทุกขั้นตอน
บรรจุ
การแยกเครือข่ายในระดับเครือข่ายโดยไม่ทำลายหลักฐาน เราหยุดการเคลื่อนไหวด้านข้างที่สวิตช์, บล็อก C2, แช่แข็งบัญชีที่มีสิทธิ์พิเศษ และรักษาหน่วยความจำบนโฮสต์ที่เป็นจุดหมุน
ขอบเขต
การคัดแยกทางนิติวิทยาศาสตร์ของสินทรัพย์ที่เข้ารหัสทุกชิ้น, เวกเตอร์การเข้าถึงเริ่มต้น, การคงอยู่, และร่องรอยการนำข้อมูลออกไป. เราสามารถระบุสายพันธุ์, วิธีการปฏิบัติการของผู้ดำเนินการ, และระยะเวลาที่อยู่ในระบบได้.
กู้คืน
การสร้างห้องสะอาดใหม่, การตรวจสอบความสมบูรณ์ของข้อมูลสำรอง, การจับคู่ตัวถอดรหัสกับคลังข้อมูลภายในของเรา, และ — ในกรณีที่มีกุญแจ — การถอดรหัสข้อมูลการผลิตเป็นขั้นตอน
ฮาร์เดน
การแก้ไขปัญหาที่ต้นเหตุ การทำความสะอาดข้อมูลประจำตัว การติดตั้ง EDR/MFA ในกรณีที่ไม่มีการใช้งาน และการจัดทำรายงานเป็นลายลักษณ์อักษรที่คณะกรรมการ ผู้ประกันภัย และหน่วยงานกำกับดูแลของคุณสามารถอ่านและเข้าใจได้จริง
ทุกสายพันธุ์มี
ตะเข็บอ่อน เราพบแล้ว
ห้องสมุดวิจัยตัวถอดรหัสและข้อมูลการเจรจาต่อรองของเราได้รับการอัปเดตจากกรณีจริงที่เราปิดทุกสัปดาห์ หากมีวิธีใดในการกู้คืนโดยไม่ต้องจ่ายเงิน เราจะค้นหาวิธีนั้นก่อนเสมอ
LockBit • BlackCat • Play
- ตัวควบคุมโดเมน & การกำหนดเป้าหมาย Veeam
- การลบสำเนาเงาผ่าน vssadmin/WMI
- การเคลื่อนย้ายข้อมูลออกเป็นระยะผ่าน MEGA/Rclone
- การกู้คืนกุญแจบางส่วนหากสามารถทำได้
อากิระ • ราชวงศ์ • ไรซีดา
- ESXi หยุดและเข้ารหัสที่ชั้น VMFS
- แรนซัมแวร์ Linux ELF บนอุปกรณ์
- การกู้คืนปริมาณระดับดาต้าสโตร์
- การตรวจสอบความสมบูรณ์ของฝั่งไฮเปอร์ไวเซอร์
Cl0p • Karakurt • RansomHub
- การขโมยข้อมูลล้วนๆ ไม่มีการเข้ารหัส
- การตรวจสอบและลบเนื้อหาที่ละเมิด
- การประสานงานการเปิดเผยข้อมูลทางกฎหมาย
- การสื่อสารของผู้ดำเนินการที่จัดการโดยเรา
นักวิเคราะห์กำลัง
ดูนาฬิกา
ทันทีที่คุณโทรเข้ามา สะพานข้อมูลร่วมกันจะเปิดใช้งานโดยอัตโนมัติ พร้อมแสดงการดำเนินการที่มีการบันทึกเวลา การควบคุมหลักฐาน และกระดานแสดงระดับความรุนแรงแบบเรียลไทม์ ผู้ให้บริการประกันภัยและทีมกฎหมายของคุณสามารถเข้าร่วมได้เฉพาะการอ่านเท่านั้น
ค่ามัธยฐานจากกรณีการให้บริการภายในองค์กร, 2024–2026. “ควบคุมได้แล้ว” = การเข้าถึงของผู้โจมตีถูกยกเลิก และการเข้ารหัส/การนำข้อมูลออกถูกหยุด — ยังไม่เป็นการกู้คืนข้อมูลอย่างสมบูรณ์
ไม่มีปริศนา ไม่มีความเงียบ
ทุกเหตุการณ์ของ PWN-ALL ดำเนินการบนแม่แบบสะพานเดียวกันที่หน่วยงานกำกับดูแลและบริษัทประกันภัยไซเบอร์ของคุณยอมรับอยู่แล้ว คุณจะเห็นสิ่งที่เราเห็น คุณอนุมัติทุกการกระทำที่ทำลายล้าง ไม่มีอะไรถูกเข้ารหัส ลบ หรือชำระเงินโดยไม่ได้รับการอนุมัติจากคุณ
หลังจากการควบคุมสถานการณ์แล้ว คุณจะได้รับรายงานการควบคุมทรัพย์สิน, ไทม์ไลน์ที่เชื่อมโยงกับ MITRE ATT&CK และแผนการเสริมความแข็งแกร่งในระยะเวลา 30/60/90 วัน — ไม่ใช่ไฟล์ PDF ที่เต็มไปด้วยภาพหน้าจอ
คำถาม
คนถามตอนตีสาม
เราควรจ่ายค่าไถ่หรือไม่?
แทบไม่เคยเป็นขั้นตอนแรกที่ถูกต้อง เราใช้การเจรจาเป็นเครื่องมือสุดท้ายเท่านั้น ในขณะที่กำลังประเมินตัวเลือกการกู้คืนข้อมูล และทำเช่นนั้นได้ก็ต่อเมื่อได้รับการอนุมัติทางกฎหมายและไม่มีข้อห้ามจากมาตรการคว่ำบาตร จากทุกกรณีที่เราจัดการกับแรนซัมแวร์ในช่วงปี 2024–2026 ประมาณ 94% ของกรณีสามารถกู้คืนข้อมูลได้ทั้งหมดหรือบางส่วนโดยไม่ต้องจ่ายเงิน — ผ่านการสำรองข้อมูลที่สะอาด การวิจัยเครื่องมือถอดรหัส หรือการสร้างข้อมูลใหม่บางส่วน ผลลัพธ์ขึ้นอยู่กับความสมบูรณ์ของข้อมูลสำรอง สายพันธุ์ของแรนซัมแวร์ และเครื่องมือถอดรหัสที่มีอยู่
คุณสามารถวิ่งบนสะพานได้เร็วแค่ไหน?
ข้อตกลงระดับการให้บริการ (SLA) ของเราคือภายใน 60 นาทีนับจากครั้งแรกที่โทรหาผู้เชี่ยวชาญบนสะพานร่วมกับทีมของคุณ คำแนะนำในการควบคุมสถานการณ์มักจะเริ่มภายใน 15 นาทีแรก ในขณะที่การประเมินขอบเขตดำเนินการไปพร้อมกัน
เราปิดทุกอย่างแล้ว นั่นไม่ดีเหรอ?
มันไม่ใช่วิธีที่ดีที่สุด — หน่วยความจำที่เปลี่ยนแปลงได้เก็บกุญแจ, กระบวนการที่ถูกฉีดเข้าไป, และร่องรอยของผู้ปฏิบัติงาน — แต่สามารถกู้คืนได้ อย่าบูตอะไรกลับมาทำงานอีกจนกว่าเราจะติดต่อกันได้แล้ว เรามีขั้นตอนสำหรับการคัดแยกแบบเย็น
คุณทำงานกับบริษัทประกันไซเบอร์ของเราหรือไม่?
ใช่ PWN-ALL ถูกออกแบบมาให้สามารถเชื่อมต่อกับแผงอินฟราเรดมาตรฐานได้โดยตรง เราจัดเตรียมข้อมูลการดำเนินการที่มีการบันทึกเวลา ควบคุมค่าใช้จ่าย และรายงานสรุปในรูปแบบที่บริษัทประกันส่วนใหญ่ยอมรับให้กับผู้รับประกันภัย
บริษัทของคุณให้บริการตอบสนองต่อเหตุการณ์แรนซัมแวร์เท่านั้นหรือไม่?
ไม่ครับ ทีม DFIR ยังรับมือกับกรณีการขโมยข้อมูลและการขู่กรรโชกโดยไม่ใช้การเข้ารหัส การโจมตีอีเมลธุรกิจและการฉ้อโกงการชำระเงิน การยึดครองบัญชี การโจมตี Microsoft 365 / Google Workspace และระบบคลาวด์ กรณีการโจมตีจากภายในองค์กร รวมถึงแอปพลิเคชันเว็บหรือเซิร์ฟเวอร์ที่ถูกโจมตีด้วยเช่นกัน แรนซัมแวร์เป็นกรณีที่ได้รับความสนใจมากที่สุด — แต่ไม่ใช่กรณีเดียว
หากข้อมูลถูกขโมยไปพร้อมกับการเข้ารหัสล่ะ?
เราทำการกำหนดขอบเขตการนำข้อมูลออกแยกต่างหาก: อะไรที่ถูกนำออกไป, จากที่ไหน, เป็นระยะเวลาเท่าใด จากนั้นเราจะประสานงานการเปิดเผยข้อมูล, ด้านกฎหมาย, และการตรวจสอบเว็บไซต์ที่มีการรั่วไหลและการสื่อสารกับผู้ดำเนินการ (หากเหมาะสม)
อย่ารอ
เช้าวันจันทร์
ทุกชั่วโมงที่คุณล่าช้า ข้อมูลสำรองจะถูกลบ หลักฐานจะหมดอายุ และผู้ดำเนินการจะย้ายลึกเข้าไปอีก PWN-ALL ตอบกลับในวันเดียวกัน วันหยุดสุดสัปดาห์ วันหยุดนักขัตฤกษ์ — นาฬิกาไม่สนใจ และเราก็เช่นกัน
50% ของการโจมตีสิ้นสุดลงด้วยการเข้ารหัส อย่ารอให้รู้ว่าครึ่งไหน