Strategier for inddæmning og eliminering

Handl hurtigt, når du opdager en hændelse. Her er almindelige indledende trin:

• Identificér berørte systemer: Fastslå præcist, hvilke servere, programmer eller brugerkonti der er kompromitteret.
• Afbryd forbindelsen/isolér: Tag kompromitterede systemer offline, eller adskil dem fra hovednetværket.
• Blokér skadelige IP'er: Opdatér firewalls for at blokere kendte IP-adresser, der tilhører angribere.
• Deaktivér konti: Suspendér brugerkonti, der viser tegn på kompromittering.

Prioritér kritiske systemer først for at beskytte dine mest værdifulde aktiver.

Netværkssegmentering er en effektiv teknik til begrænsning. Den går ud på at opdele netværket i mindre, isolerede zoner.

Hvis ét segment kompromitteres, kan angriberen ikke let springe videre til et andet. Under en hændelse kan du hurtigt flytte kompromitterede systemer til et segment i karantæne eller blokere trafik mellem segmenter.

Det bruger teknologier som VLAN'er (virtuelle lokale netværk) og firewallregler til at kontrollere trafikstrømmen.

Forestil dig, at en webserver er inficeret. Du kan for eksempel:

• Blokere ekstern adgang: Deaktivere dens offentlige IP-adresse eller ændre firewallreglerne.
• Isolere internt: Oprette et specifikt VLAN til servere i »karantæne« og flytte den inficerede server dertil, så den ikke kan kommunikere med andre interne systemer.

Det sikrer, at angriberen ikke kan bruge serveren som udgangspunkt for yderligere angreb.

Når sikkerhedsbruddet er begrænset og ikke længere spreder sig, går du videre til fjernelse. Det er her, du fjerner de skadelige elementer fra dine systemer.

Formålet med fjernelsen er at eliminere hændelsens grundlæggende årsag og sikre, at truslen er helt væk og ikke kan dukke op igen.

Denne fase omfatter ofte grundig oprydning og installation af sikkerhedsopdateringer.

Vigtige metoder til fjernelse omfatter:

• Ryd op fra sikkerhedskopier: Gendan systemer fra kendte, gode og inficerede-fri sikkerhedskopier, der blev taget før hændelsen.
• Genskab systemer fra diskbilleder: Slet og geninstallér operativsystemer og programmer fra pålidelige kilder.
• Installér sikkerhedsopdateringer: Installér straks eventuelle manglende sikkerhedsopdateringer, som angriberen kan have udnyttet.
• Fjern malware: Brug værktøjer mod malware til at scanne efter og fjerne skadelig software.

Grundighed er afgørende her for at forhindre geninfektion.

Angribere efterlader ofte bagdøre eller opnår vedvarende adgang. Fjernelsen skal håndtere disse:

• Skift legitimationsoplysninger: Nulstil alle kompromitterede adgangskoder (brugerkonti, tjenestekonti og API-nøgler).
• Fjern bagdøre: Søg efter og fjern uautoriserede brugerkonti, skadelige scripts eller skjulte adgangspunkter.
• Gennemgå konfigurationer: Kontrollér system- og programkonfigurationer for uautoriserede ændringer, som angriberen har foretaget.

Antag, at alt, hvad angriberen har haft adgang til, er kompromitteret.

Hvordan ved du, at truslen virkelig er væk? Du skal bekræfte det!

• Scan igen: Kør omfattende sikkerhedsscanninger (f.eks. sårbarhedsscannere og anti-malware) på alle berørte og potentielt berørte systemer.
• Overvåg: Overvåg logfiler og netværkstrafik nøje for tegn på fortsat ondsindet aktivitet.
• Registrering af indtrængen: Brug IDS/IPS til at registrere mistænkelige mønstre eller nye forsøg.

Fortsæt først til gendannelse, når du er sikker på, at truslen er fjernet fuldstændigt.

Vi har gennemgået de vigtige trin begrænsning og fjernelse i håndteringen af sikkerhedshændelser.

• Begrænsning fokuserer på at stoppe spredningen og begrænse skaden gennem isolation, netværkssegmentering og blokering af ondsindet adgang.
• Fjernelse indebærer en grundig fjernelse af truslen ved at rense systemer, installere rettelser til sårbarheder og fjerne bagdøre.

Disse faser er afgørende for at stabilisere dine systemer og forberede en sikker gendannelse.