# 🔄 Ripristino Servizi - INC-2024-047

← Torna all'Incidente
ℹ️ Processo di Ripristino (RC.RP-01)
Ripristino graduale dei servizi secondo priorità BIA. Ogni sistema deve essere verificato per integrità, funzionalità e sicurezza prima del ripristino in produzione. Monitoraggio intensivo post-ripristino per 72 ore.
Priorità Ripristino (secondo BIA Org.08)

Priorità | Sistema/Servizio | RTO Dichiarato | Stato | ETA Ripristino | Azioni
--- | --- | --- | --- | --- | ---
P1 - Critico | Server ERP-PROD-01 Sistema gestionale principale | ≤4h | 🔄 In ripristino | 2024-03-08 14:00 |
P1 - Critico | Applicazione SAP ERP Software gestionale | ≤4h | ⏸️ In attesa server | 2024-03-08 16:00 |

Checklist Ripristino Server ERP-PROD-01

### 1. Valutazione Pre-Ripristino

- Minaccia completamente rimossa ed eradicata
- Nessun indicatore di compromissione residuo
- Backup verificato e integro (hash matching)
- Strategia di ripristino definita: Ripristino da backup immutabile

### 2. Ripristino Sistema

- Ripristino da backup immutabile avviato (2024-03-07 10:00)
- Sistema operativo ripristinato e verificato
- Applicazione ERP ripristinata e configurata
- Database ripristinato e verificato integrità
- Patch di sicurezza applicati (ultimi aggiornamenti)
- Configurazione hardening applicata (baseline CIS)

### 3. Verifica Integrità e Sicurezza

- Integrità dati verificata (confronto checksum con backup)
- Test funzionali applicativi completati con successo
- Scansione antimalware completa (nessuna minaccia rilevata)
- Verifica assenza IoC residui
- Configurazione EDR verificata e attiva
- Log attivi e integrati nel SIEM

### 4. Ripristino Accessi

- Reset credenziali per tutti gli account potenzialmente compromessi
- MFA verificata e funzionante per tutti gli account admin
- Riattivazione accessi graduale per ruolo (admin → power user → user)
- Monitoraggio accessi post-ripristino attivato

### 5. Ripristino Connettività

- Regole firewall aggiornate (IP C2 bloccati permanentemente)
- Segmentazione rete verificata
- Test connettività end-to-end completati
- Monitoraggio traffico anomalo attivo

### 6. Validazione Finale

- Sign-off tecnico: Team Incident Response
- Sign-off business: Responsabile Divisione
- Sign-off sicurezza: CISO
- Dichiarazione di ripristino completato

Progresso Ripristino
9%
Piano Monitoraggio Post-Ripristino

#### 📊 Monitoraggio Intensivo (72 ore)

- Monitoraggio continuo 24/7 da SOC
- Soglie di alerting ridotte (maggiore sensibilità)
- Threat hunting mirato ogni 8 ore
- Report giornaliero stato sistema
- Verifica integrità file system ogni 12 ore

#### 📈 Monitoraggio Elevato (30 giorni)

- Monitoraggio continuo con priorità alta
- Threat hunting settimanale
- Report settimanale a CISO
- Verifica periodica IoC
- Analisi comportamentale utenti e processi

Metrica | Baseline Pre-Incidente | Target Post-Ripristino | Frequenza Check
--- | --- | --- | ---
CPU Usage | 45-60% | 45-60% (±5%) | Ogni 5 minuti
Memory Usage | 70-75% | 70-75% (±5%) | Ogni 5 minuti
Network Traffic | 2-5 Gbps | 2-5 Gbps | Continuo
Failed Login Attempts | <5/ora | <3/ora | Real-time
Processi Anomali | 0 | 0 | Ogni 15 minuti
Connessioni Esterne Sospette | 0 | 0 | Real-time

Comunicazioni Ripristino Completato

#### 📧 Template Comunicazione Interna

Oggetto: Ripristino Servizio ERP Completato
Gentili colleghi,
Vi informiamo che il servizio ERP è stato completamente ripristinato e risulta nuovamente operativo a partire dalle ore [DATA/ORA].
Azioni richieste agli utenti:
• Effettuare reset password al primo accesso
• Verificare che MFA sia attiva
• Segnalare immediatamente qualsiasi comportamento anomalo
Il sistema è sotto monitoraggio intensivo per le prossime 72 ore.
Per qualsiasi problema contattare l'helpdesk.
Grazie per la collaborazione.
IT Security Team

#### 📡 Aggiornamento CSIRT Italia

Aggiornare la notifica CSIRT con informazioni sul ripristino completato:

- Data/ora ripristino completato
- Servizi ripristinati
- Downtime totale effettivo vs RTO
- Misure di hardening applicate
- Piano di monitoraggio post-ripristino