Cybersnap liest die Snapshots, die in Ihrer Speicher- oder Virtualisierungsumgebung bereits existieren, prüft ihren Inhalt in drei Stufen und zeigt, bei welchen Wiederherstellungspunkten die durchgeführten Prüfungen keine Angriffsspuren ergeben haben. Ohne Agent in der Produktion, vor der Wiederherstellung.
Schadcode kann auf einem Server liegen, ohne dass Geschäftsdaten verschlüsselt sind. Ein Angreifer kann aktiv sein, bevor Schaden sichtbar wird. Jede Prüfstufe beantwortet eine andere Frage. Das Modul Ransom Recovery deckt alle drei Stufen ab; Damage Prevention erweitert Stufe 3 um Früherkennung und langsam verlaufende Angriffe.
Massenänderungen: Tausende Dateien im selben Zeitfenster geändert.
Endungen und Erpresserschreiben: bekannte Ransomware-Familien.
Entropie: verschlüsselter Inhalt sieht zufällig aus. Allein kein Beweis.
Getarnte Dateien: sieht aus wie Daten, ist ausführbar.
YARA-X-Regeln: Muster im Inhalt, auch wenn der Dateiname geändert wurde.
Kompromittierungsindikatoren: Spuren vor der sichtbaren Verschlüsselung.
Fingerabdruck und Regel: Fingerabdruck für identischen Inhalt, Regel für Muster. Ergänzen sich.
Ergebnis: welche Datei, welche Regel, in welchem Wiederherstellungspunkt.
Persistenz: Dienste, geplante Aufgaben, Autostart.
Forensische Artefakte: Ereignisprotokolle, Dienstkonfigurationen. Was definiert war und was wirklich lief.
Zeitachse: wann die Spuren zuerst auftraten und was sich danach änderte.
Eine Wiederherstellung auf einen Punkt vor der Verschlüsselung kann die verdächtige Datei und ihren Startmechanismus gleich mit zurückbringen.
Findet eine ausführbare Datei, die sich als Datendatei ausgibt.
Findet darin ein Muster, das einer Erkennungsregel entspricht.
Findet den Mechanismus, der die Datei ausführen soll.
Zeigt, dass die Befunde vor der Verschlüsselung lagen.
Pro Server, auf Basis von Belegen.
Vor der Rückkehr in die Produktion: Validierung des Kandidaten in der isolierten Cyber Sandbox.
Die Scan-Engine sammelt Belege. Das Team entscheidet.
Datenprüfung, Beweissammlung, Bedrohungsbewertung. Gleicher Input, gleiches Ergebnis. Die drei Prüfstufen sind die Prüfpfade dieser Engine.
Erhält Befunde und Metadaten: Erkennungsmethode, Dateien und Pfade, Schweregrad, Historie, Rolle des Servers, Betriebssystem, Infrastruktur. Liefert eine begründete Interpretation, eine Einschätzung von Fehlalarmen und Richtungen für die weitere Untersuchung. Keine Rohdateien.
Erkennt fehlende Informationen und formuliert einen Untersuchungsvorschlag.
Erlaubte Aktionen, Fähigkeiten, Umfang, Laufzeitbudget.
Nur Aktionen, die alle vorgesehenen Prüfungen bestanden haben. Liefert neue Befunde.
Bestätigt, abgeschwächt oder präzisiert.
Eine Empfehlung, den Schweregrad zu senken, löscht keinen Befund.
CyberSnap AI Research pflegt die Erkennungsinhalte: YARA-X-Regeln, Ransomware-Muster, Indikatoren, Untersuchungsrezepte. Bedrohungsinformationen werden KI-gestützt bewertet und gegen Proben validiert. Ausgeliefert wird versioniert, mit Rollback. Die erweiterte Anbindung an Kundenumgebungen befindet sich in kontrollierter Entwicklung.
Ein System, die vorhandenen Snapshots, ein Ergebnisgespräch.