Known-good restore point
Определение
Known-good restore point (проверенная чистая точка) — точка восстановления, для которой есть доказательства, что она сделана до вредоносного изменения и прошла нужные проверки. Самая свежая копия может уже содержать разрушительное изменение, поэтому берут точку раньше подтверждённой границы компрометации.
Также ищут: проверенная чистая точка · доверенная точка восстановления · known-clean recovery point
Зачем это знать
Восстановление самой свежей заражённой точки быстро вернёт проблему. Выбор требует хронологии инцидента и проверки восстановленной точки, а не догадки.
Карта понятия
Что подтверждено
Доверие к восстановленным данным строится на доказательствах целостности, журнале аудита и проверках, а не на одной временной метке резервной копии.
Граница применимости: Подтверждение восстановления после разрушительного инцидента.
Самая свежая точка восстановления может уже содержать разрушительное изменение; выбирать нужно точку до подтверждённой границы компрометации и затем проверять её.
Граница применимости: Выбор точки восстановления после атаки вымогателей.
Что проверить
- Постройте хронологию инцидента.
- Исключите точки после компрометации.
- Подтвердите целостность и проверки приложения.
Первоисточники
- Data Integrity: Recovering from Ransomware and Other Destructive Events
Практическое руководство по восстановлению после destructive events с контролем integrity, audit trail и доверием к восстановленным данным.
- #StopRansomware Guide
Требует offline encrypted backups, регулярной проверки доступности и целостности и учитывает попытки ransomware удалить доступные копии.
Утверждения: 01
- Ransom:Linux/Babuk.F!MTB threat description
Для ransomware recovery рекомендует immutable/air-gapped backup и восстановление устройств в изолированной clean-room environment.
Утверждения: 02