Restaurer après un rançongiciel : choisir le bon point

Crise — Les fichiers du partage /srv/partage ont été chiffrés (extension .lock3d). La cellule de crise situe le début du chiffrement le 27/09 à 23:40 (journaux EDR). Le dépôt restic est configuré (RESTIC_REPOSITORY, RESTIC_PASSWORD_FILE déjà exportés dans la session).

1. restic snapshots --path /srv/partage : choisissez le dernier instantané sain (antérieur au chiffrement) → answer instantane <id>
2. Vérifiez qu'il ne contient pas de fichiers chiffrés : restic ls <id> | grep lock3d (aucune ligne attendue)
3. Restaurez-le dans /srv/restauration (sudo restic restore <id> --target /srv/restauration) — jamais par-dessus les données infectées
4. Perte de données maximale pour ce partage (heures:minutes, entre l'instantané choisi et le début du chiffrement) → answer perte <hh:mm>