AppCheck Pro가 랜섬웨어 행위를 탐지하여 AppCheck CMS로 위협 로그를 전송하면 이벤트가 발생합니다.

Overview

Priority	High
Type	Stream
Log schema	appcheck-cms-threat
Message	랜섬웨어 실행 탐지: $host_ip
Output field order	_log_time, host_ip, scanner, signature, action, object_type, object_path, md5, agent_id
MITRE Techniques	T1204.002 User Execution: Malicious File
MITRE tactics	TA0002 Execution

Query

host_ip 값과 signature 값이 유효한 모든 위협 로그에 대해 탐지합니다.

Target logger models

• AppCheck CMS syslog

Threat analysis

• 공격자는 암호화된 파일을 해제하는데 필요한 복호화 키에 대해 몸값 지불을 요구할 수 있습니다.
• 공유 드라이브나 취약점 등을 이용하여 랜섬웨어가 내부 네트워크의 다른 시스템으로 전파될 수 있습니다.

False positives

• 각 단말에 설치된 AppCheck Pro가 정상 행위를 랜섬웨어 행위로 오탐할 수 있습니다.

Response actions

• 먼저 실제로 파일이 암호화되거나 몸값을 요구하는 메시지가 남아있는지 랜섬웨어 감염 징후를 확인합니다.
• 더 이상 랜섬웨어가 전파되지 못하도록 해당 호스트를 네트워크에서 즉시 격리합니다.
• 시스템 전원을 끄고 디스크를 분리하여 추가적인 손상을 방지합니다.
• 감염 시스템에서 랜섬웨어를 제거하고, 백업 파일을 이용하여 데이터를 복원합니다.
• 랜섬웨어 감염 경로를 확인하여 동일한 방식으로 재발하지 않도록 조치합니다.