Większość organizacji buduje cyberbezpieczeństwo tak, aby w codziennej pracy wszystko świeciło się na zielono. Incydent ransomware brutalnie weryfikuje takie podejście. Wtedy nie liczy się liczba narzędzi, lecz to, czy w pierwszych godzinach potrafisz odpowiedzieć na kluczowe pytania:

skąd przyszedł atak, co dokładnie zostało przejęte, od kiedy środowisko nie jest już zaufane i czy po odtworzeniu systemów atakujący nadal ma dostęp.

Punktem wyjścia do naszej dyskusji będzie rzeczywisty incydent ransomware w Sanok Rubber Company – notowanej na GPW grupie przemysłowej o międzynarodowej skali działania, tysiącach hostów i krytycznych systemach produkcyjnych.

Tomasz Królicki i Tomasz Piecuch byli bezpośrednio zaangażowani w reakcję na atak – od pierwszego sygnału, przez decyzje podejmowane pod presją czasu, aż po odbudowę środowiska i wyciąganie wniosków.

Podczas spotkania krok po kroku przeanalizujemy, co wydarzyło się naprawdę:

• Jak doszło do włamania i dlaczego wektor ataku pozostał niewidoczny,
• Które zabezpieczenia „działały”, ale nie dostarczyły odpowiedzi w kluczowym momencie,
• Jak brak odpowiedniego logowania i widoczności utrudnił ustalenie skali kompromitacji i persistence threat,
• Dlaczego backup zadziałał, ale i tak okazał się jednym z najbardziej czasochłonnych elementów odzyskiwania,
• Jakie decyzje organizacyjne i techniczne musiały być podejmowane w warunkach niepewności.

To spotkanie nie będzie prezentacją narzędzi ani checklistą „best practices”.

To zamknięta dyskusja typu roundtable, oparta na realnym doświadczeniu organizacji, która przeszła przez pełnoskalowy atak ransomware.

Wątki do wspólnej rozmowy:

• Jak zaprojektować widoczność (network, logs, endpoint), aby w trakcie incydentu móc odtworzyć przebieg ataku, a nie tylko raport po fakcie?
• Które elementy architektury bezpieczeństwa zawodzą najczęściej w pierwszych godzinach ataku?
• Jak przygotować procedury odzyskiwania, by ograniczyć przestój biznesu, a nie tylko „odzyskać dane”?
• Jakie role, decyzje i kompetencje muszą być ustalone wcześniej, aby uniknąć improwizacji pod presją czasu?
• Co realnie zmienia się w podejściu do bezpieczeństwa po takim incydencie – technicznie i organizacyjnie?

Partnerem merytorycznym dyskusji jest NetWitness, wspierający organizacje w budowie realnej widoczności i reagowaniu na zaawansowane incydenty bezpieczeństwa.