Ik vraag me af of de Uni van Maastricht gebruik maakt van de File System Resource Manager (FSRM) in Windows Server. Best een krachtige tool, al helemaal als je gebruik maakt van het script van fsrm.experiant.ca (website). Je kan het zo inrichten dat de lijst met bekende ransomware extensies automatisch wordt bijgewerkt. Huidige .clop extensie staat al in de lijst. De meeste Ransomware krijgt zo geen kans ook maar iets te wijzigen. Daarnaast zouden ze via FSRM wat honeypot shares kunnen maken (moet eigenlijk ieder groot bedrijf/organisatie doen..). Er zijn op internet genoeg goed werkende voorbeelden te vinden. Je kunt via een powershell script regelen dat wanneer een gebruiker ook maar iets in de honeypot aanpast, hij gelijk wordt gedisconnect van alle shares (en geblockt blijft). Het uitschakelen van VSSAdmin.exe is trouwens ook een goed idee. De meeste Ransomware gebruikt dit proces om de shadow copies te verwijderen (Ik weet niet of Clop Ransomware ook zo werkt). Als VSSAdmin is uitgeschakeld behoud je ...