Inddæmning, eliminering og genoprettelse

Når en hændelse er bekræftet og afgrænset, går håndteringen gennem tre på hinanden følgende faser: Inddæmning (stop skaden i at sprede sig), afhjælpning (fjern alle angriberens adgangspunkter fra miljøet) og genoprettelse (gendan systemerne til normal drift, og kontrollér integriteten). Hver fase har særskilte mål og kriterier for kontrol. Det er en almindelig fejl at gå videre til genoprettelse, før afhjælpningen er afsluttet, fordi det kan føre til geninfektion fra angriberens resterende mekanismer til vedvarende adgang.

Inddæmning foregår i to trin. Kortvarig inddæmning skaber øjeblikkelig stabilisering – berørte systemer isoleres fra netværket, angriberens IP-adresser blokeres i firewallen, og kompromitterede konti deaktiveres – for at stoppe aktive skader. Langsigtet inddæmning indfører mere holdbare kontroller, som giver organisationen mulighed for at fortsætte driften, mens undersøgelse og afhjælpning foregår – for eksempel ved at segmentere den kompromitterede netværkszone i stedet for at tage den helt offline.

Et afgørende princip er: Bevar beviserne, før du afhjælper problemet. Analytikere bør indsamle flygtige data (hukommelsesdump, kørende processer, aktive netværksforbindelser) og retsmedicinske diskafbildninger, FØR de udfører handlinger, der ændrer systemets tilstand. Genstart af et system, kørsel af værktøjer til fjernelse af malware eller genafbildning uden først at indsamle beviser ødelægger de retsmedicinske oplysninger, der er nødvendige for at forstå angrebets tidslinje, og kan også ødelægge juridiske beviser, der er nødvendige for at retsforfølge angribere eller opfylde krav om lovpligtige meddelelser.

Afhjælpning fjerner alle spor af angriberen fra miljøet. Det er mere komplekst end blot at slette malwarefiler. Angribere, der ønsker vedvarende adgang, etablerer flere adgangspunkter: planlagte opgaver, registreringsdatabasenøgler til opstart, nye brugerkonti, web shells på servere, ændret firmware og uautoriserede OAuth-appgodkendelser. En komplet tjekliste for afhjælpning skal håndtere alle teknikker, som angriberen har brugt, baseret på beviserne fra undersøgelsesfasen. Ufuldstændig afhjælpning fører til geninfektion – ofte inden for få timer efter, at systemerne er sat i produktion igen.

For slutpunkter, der er kompromitteret af avanceret malware eller rootkits, foretrækkes genafbildning (sletning og geninstallation fra en kendt ren afbildning) ofte frem for at forsøge at rense det inficerede system. Rootkits kan skjule sig på steder, som antivirus ikke kan nå, og avanceret malware kan have ændret systembinære filer, der er vanskelige at identificere og gendanne. Valget mellem rensning og genafbildning afhænger af: hvor avanceret malwaren er, hvor følsomme dataene på systemet er, og om der findes kendte rene afbildninger til hurtig genudrulning.

Afhjælpning skal omfatte lukning af sårbarheden, der blev brugt til den første adgang – ellers kan den samme angriber (eller en anden) trænge ind igen ad den samme vej. Almindelige sårbarheder ved første adgang omfatter: software med manglende programrettelser, hvor CVE'er udnyttes via internetvendte tjenester, svag eller manglende MFA på systemer til fjernadgang (VPN, RDP), phishing (som kræver træning i sikkerhedsbevidsthed og forbedring af e-mailfiltrering) samt kompromittering af forsyningskæden (som kræver en sikkerhedsgennemgang af leverandøren). Udbedr sårbarhederne og hærd systemerne, før de sættes i produktion igen.

Genoprettelse bringer berørte systemer tilbage til normal drift fra en kendt god tilstand. Trin i genoprettelsen omfatter: gendannelse fra rene sikkerhedskopier (kontrollér sikkerhedskopiernes integritet før gendannelse), genopbygning af systemer fra standardafbildninger, omkonfiguration af netværkskontroller (fjern midlertidige begrænsninger fra inddæmningen), genaktivering af deaktiverede konti (med nulstilling af adgangskoder) og gradvis tilbageføring af systemer til produktion i stedet for at gøre det hele på én gang. En gradvis tilbageføring gør det muligt at overvåge tegn på geninfektion i hver fase.

Ransomware angriber specifikt systemer med sikkerhedskopier for at forhindre genoprettelse uden betaling. Et effektivt forsvar af sikkerhedskopier kræver: sikkerhedskopier uden for organisationens område, som ikke er forbundet med hovednetværket, uforanderlige sikkerhedskopier (Object Lock, WORM-lagring), som ikke kan krypteres eller slettes, air-gappede sikkerhedskopier til kritiske systemer og afprøvede procedurer for gendannelse. Sikkerhedskopiers integritet bør kontrolleres regelmæssigt – en sikkerhedskopi, der ikke kan gendannes, er ikke en sikkerhedskopi. Organisationer bør kende datoen for den seneste rene sikkerhedskopi for at kunne fastlægge gendannelsespunktet.

Efter afhjælpning og genoprettelse bør skærpet overvågning fortsætte i en længere periode (typisk 30-90 dage). Nogle avancerede angribere installerer sekundære bagdøre, der aktiveres, efter at deres primære adgang er blevet opdaget og fjernet. Skærpet overvågning omfatter: øget følsomhed i SIEM-alarmer for kendte IoC'er fra angriberen, overvågning af DNS-forespørgsler til domæner, der ligner angriberens infrastruktur, overvågning af kommunikation med alle IP-adresser, der blev observeret under hændelsen, samt alarmer ved enhver aktivitet fra nyoprettede konti.

Håndtering af kommunikation under en hændelse er lige så kritisk som den tekniske håndtering. Intern kommunikation holder organisationen samordnet og forhindrer rygter. Ekstern kommunikation til kunder, partnere, tilsynsmyndigheder og eventuelt medierne skal kontrolleres omhyggeligt – for tidlige, unøjagtige eller juridisk problematiske oplysninger skaber yderligere ansvar. Al ekstern kommunikation bør gennemgås af juridisk rådgivning, før den udsendes. Lovpligtige meddelelser (GDPR-kravet på 72 timer, HIPAA-kravet på 60 dage) har strenge frister, der regnes fra datoen for opdagelsen og ikke fra datoen for bekræftelsen.

En hændelse er ikke afsluttet, når den akutte krise er ovre – den er afsluttet, når alle kontrolkriterier er opfyldt: Alle kendte adgangspunkter for angriberen er fjernet og kontrolleret, sårbarheden ved den første adgang er udbedret, alle berørte systemer er gendannet og kontrolleret som rene, skærpet overvågning er på plads, de nødvendige lovpligtige meddelelser er sendt, og en gennemgang efter hændelsen er planlagt. For tidlig afslutning af en hændelse er en almindelig fejl, der giver angriberens skjulte vedvarende adgang mulighed for at udvikle sig til en ny hændelse.

I denne lektion har du lært, at inddæmning stopper aktive skader gennem isolation, blokeringer i firewallen og deaktivering af konti, at afhjælpning kræver fjernelse af ALLE angriberens adgangspunkter, herunder mekanismer til vedvarende adgang, og ikke kun malwarefiler, og at genoprettelse skal bruge sikkerhedskopier fra før kompromitteringsdatoen og omfatte skærpet overvågning i mere end 30 dage. Nu ser vi nærmere på gennemgang efter hændelsen og indhøstede erfaringer.