Kijk terug in de geschiedenis
Oude back-ups worden opnieuw gescand zodra er nieuwe malware-indicatoren bekend zijn.
Werkt met
Na ransomware zoeken we het laatste herstelpunt waar de aanvaller nog niet in zat.
Ransomware zit vaak dagen of weken in je netwerk voordat het iets versleutelt. Je back-upgeschiedenis dient dan als tijdlijn. Zo zien we wanneer het binnenkwam, welke herstelpunten geraakt zijn en wat veilig terug kan.
Cyber recovery werkt bovenop onze Beheerde back-up van je servers.
Een aanvaller die wacht tot je schone back-ups verlopen, wacht tevergeefs.
Zodra een herstelpunt verdacht is, houden we het laatste schone punt vast, zodat de bewaartermijn het nooit kan opruimen.
Na een ransomware-aanval is de nieuwste back-up vaak de verkeerde.
Aanvallers zitten vaak dagen in een netwerk voordat ze iets versleutelen. Met je back-upgeschiedenis bepalen we wanneer ze binnenkwamen. Zo zet je terug vanaf een echt schoon punt.
01 / 05
Nieuwe indicatoren komen binnen
Elke dag verschijnen nieuwe dreigingsindicatoren. Komt er een binnen, dan controleren we elk herstelpunt dat je nog hebt, ook dat van vorige week. Een schoon resultaat van gisteren gaat uit van de kennis van gisteren.
02 / 05
Kijk terug in de geschiedenis
Die vergelijking draait op onze eigen infrastructuur, tegen onze index van je back-ups. Je productieservers worden dus niet extra belast. Hier duikt de loader op in elk herstelpunt vanaf 17 oktober.
03 / 05
Bepalen wanneer het begon
Op 20 oktober om 03:14 werden ruim achttienduizend bestanden herschreven en schoot de entropie omhoog: het typische patroon van versleuteling. Samen met de eerste treffer geeft dat een tijdlijn: sluimerend vanaf 17 oktober, actief vanaf 20 oktober.
04 / 05
Controleren in isolatie
We starten de server zoals hij op 16 oktober was, in een afgeschermde sandbox zonder netwerk. Geen loader, geen geplande taak, geen verkeer naar buiten. Dit punt is betrouwbaar.
05 / 05
Terugzetten zonder de besmetting
De server komt terug vanaf 16 oktober. Werk van na die datum kan gericht worden teruggezet. Elk gemarkeerd bestand blijft buiten het herstel. Je incidentleider geeft het akkoord.
Je zet de aanvaller niet mee terug. We kiezen het herstelpunt op basis van wat we in de back-ups vonden. Dat voorkomt een tweede storing.
Technische details
- Nieuwe indicatoren (bestandshashes, bestandspatronen, netwerkindicatoren) vergelijken we achteraf met alle bewaarde herstelpunten, op onze infrastructuur.
- Wijzigingsanalyse over de back-upgeschiedenis: aantal gewijzigde bestanden en entropie per punt, om het begin van de versleuteling te dateren.
- Machines uit oudere back-ups kunnen we opstarten in een geïsoleerde omgeving zonder netwerktoegang. Zo bevestigen we een herstelpunt voordat we het gebruiken.
Voorbeeldincident. Geen scan kan bewijzen dat een systeem helemaal vrij is van dreigingen. Inperken en opschonen blijven bij je incidentresponsteam. Wij zorgen voor het herstel.
Zo werkt het, van alarm tot een schone restore.
Alarm
Je belt ons, of wij zien afwijkende wijzigingen in je back-ups.
wijzigingsanalyseTerugkijken
We scannen oudere herstelpunten opnieuw met de nieuwste dreigingsindicatoren, op onze eigen systemen.
geen belasting van productieAfbakenen
Waar nodig starten we oude versies van een server afgeschermd op, om te zien wanneer het begon.
afgeschermde omgeving, zonder netwerkKiezen
Samen kiezen we het laatste schone herstelpunt. Besmette bestanden blijven erbuiten.
gemarkeerde bestanden en herstelpuntenTerugzetten
We zetten terug, controleren het resultaat met checksums en werken samen met je incidentresponsteam.
integriteitscontrole
Wat merk je ervan: Je zet terug vanaf een punt dat je kunt vertrouwen, zodat de aanvaller niet met je data mee terugkomt.
Zet je de verkeerde back-up terug, dan zet je de aanvaller ook terug.
Malware of ongewenste wijzigingen kunnen al in een recente back-up zitten. Voordat je terugzet, moet je weten wanneer de aanval begon en welke herstelpunten nog bruikbaar zijn.
Verklein de tijdlijn
We starten historische systemen geïsoleerd op om te zien wanneer de verdachte activiteit begon.
Bewust kiezen
Getroffen bestanden worden gemarkeerd en bekende malware komt niet mee terug.
Het onderzoek draait op onze eigen infrastructuur.
We indexeren en scannen back-ups in ons datacenter. Je team krijgt extra bewijs, zonder extra belasting op productiesystemen die al onder druk staan.
Het hashingsysteem waarmee we malware en ransomware achteraf opsporen in oudere back-ups, hebben we samen met de Universiteit Maastricht ontwikkeld.
Oudere herstelpunten
Opnieuw gescand met de indicatoren van vandaag.
Eerste verdachte wijziging
Het onderzoeksvenster wordt kleiner.
Herstelbeslissing
Voorbeeld van een onderzoekKiezen, uitsluiten en controleren.
Dreigingsanalyse helpt je bepalen wat je terugzet. Geen enkele scan kan bewijzen dat een systeem vrij is van elke dreiging. Inperken, opschonen en goedkeuren blijven onderdeel van het gezamenlijke incidentplan.
De laatste verdedigingslinie Beheerde back-up Disaster recovery Meldplicht onder NIS2Technical papers
De techniek erachter.
Korte papers in het Engels voor engineers die de details lezen: hoe het werkt en wat we op ons eigen platform hebben gemeten.
Alle technical papers
Technical paper 05 · Ransomware
The last clean point
Every restore point checked for signs of ransomware. A clean restore that brings you back without losing the work since.
Download pdf2 pagina's · 185 kB
Technical paper 06 · Beveiligingsmodel
Nothing listening
A fully managed service with real separation of duties: customers have no access to backup or restore, so there is no account to phish.
Download pdf2 pagina's · 178 kB
Technical paper 03 · Integriteit van back-ups
A restore point is a promise
A restore point exists only after every byte is verified. Time-locked storage that nobody can release early, and no silent fallbacks.
Download pdf2 pagina's · 193 kBWat het voor jou betekent.
Voor de directie
Na een aanval beslis jij wanneer het bedrijf weer opstart. Wij tonen aan welk herstelpunt veilig is, zodat je niet nog eens stilvalt.
Voor IT-partners
Help een klant na een aanval zonder je hele team van ander werk te halen.
Vragen die we vaak krijgen
Staat je vraag er niet bij? Bel ons op +31 (0)85 482 3400.
Vervangt dit incidentrespons?
Nee, het is ondersteunend. We stemmen het herstel af met je incidentrespons-, security- en IT-teams. Inperken en opschonen worden apart geregeld.
Kun je een dreiging die vandaag ontdekt wordt ook in een oude back-up terugvinden?
Ja. Een nieuwe scan vindt bekende indicatoren ook in historische back-ups. De uitkomst hangt af van de beschikbare indicatoren, hoe ver je back-upgeschiedenis teruggaat en de omvang van de scan.
Kunnen jullie precies vaststellen wanneer de aanval begon?
We bakenen de periode af en tonen de eerste sporen in de beschikbare herstelpunten. Hoe nauwkeurig dat lukt, hangt af van back-upfrequentie, bewaartermijn en wat de aanval achterliet.
Gebeurt het nu? Bel ons.
Anders bekijken we vooraf samen je back-upgeschiedenis en wat daarin te vinden is.