ГК Softline – о том, что следует делать в первые минуты после кибератаки
Softline составила чек-лист, который содержит обязательные действия в случае инцидента. Что важнее – восстановить бизнес или сохранить доказательства? Лучше всего действовать по двум направлениям сразу.
Первое направление – расследование и сдерживание. Если инфраструктура скомпрометирована, стоит немедленно «заморозить» её – отключить от интернета и остановить бизнес-процессы. В Softline мы советуем сразу высадить команду инженеров, которые будут проверять каждый сервер и рабочую станцию, искать индикаторы компрометации, снимать образы серверов и исследовать оставшиеся лог-файлы. По этим следам в дальнейшем и будет раскручиваться цепочка атаки.
Второе направление – восстановление продуктивности. Хотя в этот момент бизнес простаивает, компания может воспользоваться мощностями в защищенном облаке. Если сохранены бэкапы данных, в зеленой зоне разворачивается чистая инфраструктура: поднимаются из дистрибутивов инфраструктурные службы, бизнес-критичные информационные системы и все закрывается сетевым экраном со строгими правилами доступа и иными необходимыми средствами защиты. То есть пока одна команда расследует инцидент, вторая восстанавливает работу, и пользователи начинают функционировать в новой безопасной среде.
После завершения расследования команда возвращается к старой инфраструктуре. Рабочие станции, как правило, проще переустановить, чем исследовать на предмет компрометации. Серверы же проверяются поэкземплярно с использованием EDR- и NTA-решений и, если признаков заражения нет, их переводят в изолированный сегмент сети и затем подключают к новой инфраструктуре. Стоит подчеркнуть, что данный подход не является универсальным решением, а лишь одним из возможных сценариев.
В Softline мы рекомендуем компаниям разворачивать абсолютно чистую инфраструктуру, которая изначально не была скомпрометирована, на отдельных мощностях, например, в новом облаке. И сразу до переноса данных из скомпрометированной инфраструктуры следует устанавливать и настраивать средства защиты. Прежде всего, это межсетевой экран, сконфигурированный по принципу белого списка. Это лишает злоумышленников возможности взаимодействовать с удаленными командными центрами, даже если их код где-то остался. Далее нужно провести полное сканирование на уязвимости. Также должны проверяться и устанавливаться все актуальные обновления.
Руководителям в сфере ИБ важно помнить, что речь идет о постоянном управлении рисками, а не о выработке противодействия отдельной атаке. Рекомендуется обеспечить стопроцентное покрытие всей восстановленной инфраструктуры современными EDR-системами, которые отслеживают поведенческие аномалии.
