لدى Logistique Sahel Atlas، كل ملفات الاستغلال تنتهي بـ «.lsa3» والتشفير مستمر

Logistique Sahel Atlas (LSA) تستغل ثلاثة مستودعات تبريد في أكادير وتنظّم كل ليلة جولات الشاحنات نحو مراكش والدار البيضاء. خطط الشحن وأذونات التسليم و بطاقات الحرارة توجد على مجلد المشاركة exploitation في الخادم srv-fichiers (Samba، عضو في النطاق LSA.LAN الذي يديره dc-01). تُجرى نسخة كل ساعة نحو الـ NAS nas-01 (مشاركة SMB موصولة على srv-fichiers)، وكل 6 ساعات يرسل sauv-01 لقطة restic نحو تخزين كائنات MinIO s3-immuable مع Object Lock (رُكّب في مارس بعد تدقيق). الحواسيب والخوادم ترسل سجلاتها إلى Wazuh (wazuh-01).

هذا الصباح عند 07:30، وجد فريق النهار مئات الملفات المعاد تسميتها بـ .lsa3 وملف LISEZ-MOI-LSA3.txt في كل مجلد. شاحنات 09:00 ليست لديها خطة شحن. ويريد المدير «استعادة كل شيء من الـ NAS، فورًا»، ويقسم المسؤول المحاسبي أن حاسوبه «مطفأ منذ مساء أمس».

أنت محلّل SOC مناوب، على poste-soc، مع وصول SSH بصلاحيات root إلى الخوادم. مهمتك: الاحتواء (إيقاف التشفير من مصدره، وتحييد الوصول المستعمل)، وتحديد الحاسوب المصدر من السجلات، ثم استعادة آخر حالة سليمة من النسخة غير القابلة للتعديل (immuable). لا أي إجراء هجومي: لا «نهاجم مضادًا»، بل نحتوي ونستعيد.