Подкаст «НЕ ЗАЩИЩЕНЫ» | Это случилось. Первые 24 часа после взлома

Итак, компания поняла: произошло что-то серьёзное. Что делать в первые часы? С чего начинать работу и нужно ли сразу привлекать помощь?

Обсуждаем типичный ход событий: как в компании обнаруживают атаку, что в это время происходит с инфраструктурой, какие шаги предпринимают команды и на чём обычно теряется больше всего времени.

Гости подкаста:
• Валерия Шотт, ведущий аналитик группы криминалистики, «Инфосистемы Джет»
• Руслан Амиров, директор департамента сервисов мониторинга и реагирования, «Инфосистемы Джет»

00:00 — Вступление
01:28 — Что происходит с бизнесом после кибератаки
03:02 — Киберкриминалисты vs восстановление инфраструктуры
03:44 — Кейс с повторным шифрованием: почему расследование началось через 6 дней
05:44 — Как компании узнают, что их взломали
07:10 — Когда SOC понимает, что это уже атака
09:20 — Какие первые признаки атаки видны в логах
11:20 — Что делать в первые 30–60 минут, если хакер уже внутри
13:37 — Почему нельзя просто выключать серверы
16:56 — Что бизнесу нужно спасать в первую очередь
17:47 — Резервные копии: главный шанс на восстановление
21:51 — Если всё уничтожено: второй сценарий первого дня
22:37 — Как выглядит первый день после полного уничтожения инфраструктуры
25:35 — Как выбрать, какие бизнес-процессы восстанавливать первыми
27:18 — Как не дать злоумышленнику вернуться
29:12 — Нужно ли восстанавливать полную цепочку атаки
32:11 — Как расследование и восстановление идут параллельно
38:19 — Какие роли нужны команде реагирования
41:52 — Зачем нужен чек-лист во время инцидента
43:51 — Когда команда может наконец расслабиться
45:03 — Восстанавливаться без расследования: нормально или рискованно?
46:50 — Почему атаки становятся успешными