- определить векторы распространения (по сети через уязвимости, протоколы удаленного доступа (RDP), вложения через эл.почту, через внешний носитель или общий диск
- установить границы заражения, а для этого проверить
- журналы МСЭ (NGFW)
- журналы антивируса
- системы мониторинга серверов
- логи DNS
- логи прокси-сервера
были ли обращения к командным серверам.
Если у вас есть SIEM - это сильно поможет!
Если есть EDR / XDR - можно проверить по системе, где есть файлы найденных типов и даже попробовать получить информацию, были ли массовые попытки редактирования данных
3. Изоляция систем через механизмы EDR/EPP и через NGFW за счет сегментации.