Ransomware on core banking (ransomware)
Objectives
- ตรวจว่า IR communications tree เรียกได้ครบทีมภายใน 30 นาที
- ตรวจว่าการตัดสินใจปิด service ถูกส่งถึง CIO/CISO/Legal โดยผู้ที่ได้รับมอบหมาย
- วัดว่า runbook มีขั้นตอน isolate + preserve evidence ก่อนกู้คืน
Roles
- Facilitator — อ่าน inject, ควบคุมเวลา, บันทึกการตัดสินใจ
- CISO — ผู้ตัดสินใจหลักด้านความมั่นคง
- IR Lead — coordinate operational response
- Legal — ตรวจว่าจำเป็นต้องแจ้งหน่วยงานกำกับหรือไม่
- PR — จัดการสื่อสารกับลูกค้าและสื่อ
- IT Operations — ทำงานตาม decision ที่ได้รับ
Injects timeline
| +min | ชื่อ | เนื้อหา |
|---|---|---|
| 0 | ผู้ใช้แจ้งว่า core banking ช้า | call center รายงานว่า UI ช้าและมี error รหัส 500 บาง transaction |
| 15 | SOC แจ้ง mass file rename | SIEM แสดง alert file .LOCKED บน 3 file server |
| 30 | Ransom note ปรากฏ | message บน admin console ระบุ 100 BTC |
| 45 | สื่อขอความเห็น | นักข่าวสายไอทีโทรมาถามข้อมูล |
| 60 | ธปท. ติดต่อ | ได้รับ email จากทีมกำกับดูแลถามสถานการณ์ |
Decisions to capture
- ปิด service ทั้งหมดหรือบางส่วน + เวลาที่ตัดสินใจ
- ประกาศต่อสาธารณะเมื่อใด + ใครเป็นผู้อนุมัติ
- แจ้ง ธปท. เมื่อใด + ผ่านช่องทางใด
- จ่าย/ไม่จ่าย ransom + เหตุผลอ้างอิงนโยบาย
AAR prompts
- ขั้นตอนใดที่ทีมทำได้ตาม runbook
- ขั้นตอนใดที่ต้องอาศัย tribal knowledge
- จุดใดที่การสื่อสารช้ากว่าเป้าหมาย
- control ใดที่ควรเสริมก่อน tabletop ครั้งถัดไป
ที่มา: NIST SP 800-84 (Test, Training, and Exercise Programs)