Il segreto per scoprire come sei stato hackerato di solito risiede nella preparazione prima dell'attacco piuttosto che dopo, configurando tutti i sistemi per inviare i registri ad un server di registro centrale, ad esempio. Questo perché molti tipi di pacchetti malware eliminano i registri per coprire le loro tracce e rendere difficile il ripristino; se i sistemi inoltrano i loro registri a un server centrale, aiuta a conservare il record. Se non c'è una registrazione centralizzata è possibile che non ci sia nulla da trovare, ma ecco come attaccherei comunque il problema.
L'obiettivo finale dovrebbe essere quello di stabilire una linea temporale, di quali sistemi sono stati violati, come sono stati violati, come si è diffusa l'infezione e quanto tempo è trascorso fino a quando l'attacco non è stato rilevato ei sistemi sono stati prelevati off-line. Tutte le informazioni che raccogli dovrebbero entrare in questa timeline. Una volta completata la cronologia, è possibile utilizzare la cronologia per ricostruire la sequenza di eventi e il probabile impatto.
Se il tuo ufficio si trova su una linea ADSL, è improbabile che tu disponga di server esterni, molto probabilmente tutte le connessioni provengono dall'interno della rete. Ciò significa che è improbabile che qualcuno abbia penetrato la tua rete dall'esterno, molto probabilmente qualcuno è stato infettato dall'apertura di un file malware inviato tramite e-mail (molto probabilmente un PDF) o che è stato indotto a navigare in un sito compromesso. È anche possibile che qualcuno abbia inserito il malware su una chiavetta USB o altro tipo di supporto rimovibile. I router ADSL sono in genere carenti in fase di registrazione (se sono addirittura configurati per farlo), quindi vorrei innanzitutto concentrarmi sui registri antivirus e Windows e utilizzare qualsiasi registro di router disponibile da integrare.
Se hai un server AD centrale, un server AV e simili, il lavoro sarà più facile. In caso contrario, dovrai esaminare le singole macchine interessate. Non hai indicato quanti sistemi sono stati violati, quindi questo può essere facile o difficile da fare a seconda della scala del problema. Vorrei iniziare con i registri AV, prevedendo che l'AV rilevasse il malware ma non proteggesse i sistemi. Se non trovi nulla, guarda i log di sistema. Tieni d'occhio i lettori java o adobe che iniziano e arresti anomali / riavvii imprevisti. Eventi del genere puntano a infezioni di successo.
Dopo aver determinato quali sistemi sono stati interessati e quindi è possibile esaminare i registri del router ADSL (a condizione che ce ne siano), e vedere cosa hanno fatto i sistemi infetti prima e dopo l'infezione. Il precedente consentirà di determinare in che modo il sistema è stato infettato (scaricando un'email, visitando un sito Web specifico) e il dopo potrebbe far luce sul malware (ovvero su quali sistemi di comando e controllo è connesso il malware) e su cosa ha fatto . È improbabile che tu sia in grado di determinare esattamente quali informazioni sono state perse, ma almeno sapendo che il malware era, per quanto tempo i sistemi sono stati infettati e quante informazioni sono state trasferite puoi avere un'idea dell'impatto.