Zabezpieczenie, eliminacja zagrożenia i odtwarzanie

Po potwierdzeniu incydentu i określeniu jego zakresu reakcja przebiega przez trzy kolejne fazy: powstrzymywanie (zatrzymanie rozprzestrzeniania się szkód), likwidację zagrożenia (usunięcie wszystkich punktów dostępu atakującego ze środowiska) oraz odzyskiwanie (przywrócenie normalnego działania systemów i weryfikację ich integralności). Każda faza ma odrębne cele i kryteria weryfikacji. Przejście do odzyskiwania przed zakończeniem likwidacji zagrożenia jest częstym błędem, który prowadzi do ponownego zainfekowania systemów przez pozostałe mechanizmy utrzymywania dostępu atakującego.

Powstrzymywanie przebiega w dwóch etapach. Powstrzymywanie krótkoterminowe zapewnia natychmiastową stabilizację — odizolowanie zaatakowanych systemów od sieci, zablokowanie adresów IP atakującego na zaporze oraz wyłączenie przejętych kont — aby zatrzymać trwające szkody. Powstrzymywanie długoterminowe polega na wdrożeniu trwalszych zabezpieczeń, które pozwalają organizacji kontynuować działalność podczas dochodzenia i likwidacji zagrożenia — na przykład przez segmentację przejętej strefy sieci zamiast całkowitego odłączania jej od sieci.

Kluczowa zasada brzmi: należy zachować dowody przed podjęciem działań naprawczych. Analitycy powinni przechwycić dane ulotne (zrzut pamięci, uruchomione procesy, aktywne połączenia sieciowe) oraz wykonać obrazy dysków do celów analizy kryminalistycznej PRZED podjęciem jakichkolwiek działań, które zmieniłyby stan systemu. Ponowne uruchomienie systemu, uruchomienie narzędzi do usuwania złośliwego oprogramowania lub ponowne przygotowanie obrazu systemu bez wcześniejszego zabezpieczenia dowodów niszczy zapis kryminalistyczny niezbędny do odtworzenia osi czasu ataku, a także może zniszczyć dowody prawne potrzebne do postawienia atakującym zarzutów lub spełnienia wymogów dotyczących powiadomień określonych przepisami.

Likwidacja zagrożenia usuwa wszelką obecność atakującego ze środowiska. Jest to bardziej złożone niż zwykłe usunięcie plików złośliwego oprogramowania. Atakujący, którzy chcą utrzymać dostęp, tworzą wiele punktów wejścia: zadania zaplanowane, klucze uruchamiania w rejestrze, nowe konta użytkowników, web shelle na serwerach, zmodyfikowane oprogramowanie układowe oraz nieautoryzowane zgody aplikacji OAuth. Kompletna lista kontrolna likwidacji zagrożenia musi uwzględniać każdą technikę zastosowaną przez atakującego, zgodnie z dowodami zebranymi podczas fazy dochodzenia. Niepełna likwidacja zagrożenia prowadzi do ponownego zainfekowania systemów — często w ciągu kilku godzin od przywrócenia ich do środowiska produkcyjnego.

W przypadku punktów końcowych przejętych przez zaawansowane złośliwe oprogramowanie lub rootkity często preferuje się ponowne przygotowanie obrazu (wymazanie systemu i ponowną instalację ze znanego, czystego obrazu) zamiast próby oczyszczenia zainfekowanego systemu. Rootkity mogą ukrywać się w miejscach niedostępnych dla programów antywirusowych, a zaawansowane złośliwe oprogramowanie może modyfikować pliki binarne systemu, których identyfikacja i przywrócenie są trudne. Wybór między czyszczeniem a ponownym przygotowaniem obrazu zależy od: zaawansowania złośliwego oprogramowania, wrażliwości danych znajdujących się w systemie oraz dostępności znanych, czystych obrazów umożliwiających szybkie ponowne wdrożenie.

Likwidacja zagrożenia musi obejmować usunięcie luki wykorzystanej do uzyskania początkowego dostępu — w przeciwnym razie ten sam atakujący (lub ktoś inny) może ponownie wejść tą samą drogą. Typowe luki wykorzystywane do uzyskania początkowego dostępu to: niezałatane luki CVE w oprogramowaniu, wykorzystywane za pośrednictwem usług dostępnych z Internetu, słabe uwierzytelnianie wieloskładnikowe lub jego brak w systemach dostępu zdalnego (VPN, RDP), phishing (wymaga szkoleń z zakresu świadomości bezpieczeństwa i ulepszenia filtrowania poczty) oraz przejęcie łańcucha dostaw (wymaga przeglądu zabezpieczeń dostawcy). Przed przywróceniem systemów do środowiska produkcyjnego należy je zaktualizować i wzmocnić ich zabezpieczenia.

Odzyskiwanie przywraca zaatakowane systemy do normalnego działania na podstawie znanego, prawidłowego stanu. Etapy odzyskiwania obejmują: przywracanie z czystych kopii zapasowych (po wcześniejszej weryfikacji ich integralności), odbudowę systemów na podstawie wzorcowych obrazów, ponowną konfigurację mechanizmów kontroli sieci (usunięcie tymczasowych ograniczeń wprowadzonych podczas powstrzymywania), ponowne włączenie wyłączonych kont (po zresetowaniu haseł) oraz stopniowe przywracanie systemów do środowiska produkcyjnego, zamiast przywracania wszystkich naraz. Stopniowe przywracanie systemów pozwala monitorować każdą fazę pod kątem oznak ponownego zainfekowania.

Ransomware atakuje w szczególności systemy kopii zapasowych, aby uniemożliwić odzyskanie danych bez zapłacenia okupu. Skuteczna ochrona kopii zapasowych wymaga: kopii zapasowych przechowywanych poza siedzibą i niepołączonych z główną siecią, niezmiennych kopii zapasowych (Object Lock, pamięć WORM), których nie można zaszyfrować ani usunąć, kopii zapasowych odseparowanych fizycznie od sieci dla systemów krytycznych oraz przetestowanych procedur przywracania. Integralność kopii zapasowych należy regularnie weryfikować — kopia, której nie można przywrócić, nie jest kopią zapasową. Organizacje powinny znać datę utworzenia ostatniej czystej kopii zapasowej, aby określić punkt odzyskiwania.

Po likwidacji zagrożenia i odzyskaniu systemów należy przez dłuższy czas kontynuować zwiększone monitorowanie (zwykle przez 30–90 dni). Niektórzy zaawansowani atakujący instalują dodatkowe tylne furtki, które aktywują się po wykryciu i usunięciu ich głównego sposobu dostępu. Zwiększone monitorowanie obejmuje: zwiększenie czułości alertów SIEM dotyczących znanych IoC atakującego, monitorowanie zapytań DNS do domen podobnych do infrastruktury atakującego, obserwowanie komunikacji z każdym adresem IP zaobserwowanym podczas incydentu oraz generowanie alertów dotyczących wszelkiej aktywności nowo utworzonych kont.

Zarządzanie komunikacją podczas incydentu ma takie samo znaczenie jak reakcja techniczna. Komunikacja wewnętrzna pozwala zachować spójność działań organizacji i zapobiega powstawaniu plotek. Komunikacja zewnętrzna skierowana do klientów, partnerów, organów regulacyjnych i potencjalnie mediów musi być ściśle kontrolowana — przedwczesne, niedokładne lub problematyczne pod względem prawnym ujawnienie informacji powoduje dodatkową odpowiedzialność. Wszystkie komunikaty zewnętrzne powinny zostać przejrzane przez doradcę prawnego przed opublikowaniem. Powiadomienia wymagane przepisami (72-godzinny termin zgodnie z RODO, 60-dniowy termin zgodnie z HIPAA) mają ściśle określone terminy liczone od daty wykrycia, a nie od daty potwierdzenia incydentu.

Incydent nie zostaje zamknięty w momencie ustąpienia bezpośredniego kryzysu — można go zamknąć dopiero po spełnieniu wszystkich kryteriów weryfikacji: usunięciu i potwierdzeniu usunięcia wszystkich znanych punktów dostępu atakującego, załataniu luki wykorzystanej do uzyskania początkowego dostępu, przywróceniu wszystkich zaatakowanych systemów i potwierdzeniu ich oczyszczenia, wdrożeniu zwiększonego monitorowania, wysłaniu wymaganych powiadomień do organów regulacyjnych oraz zaplanowaniu przeglądu po incydencie. Przedwczesne zamknięcie incydentu jest częstym błędem, który pozwala na rozwinięcie się utrzymywanego przez atakującego dostępu o niskim poziomie w drugi incydent.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji nauczyli się Państwo, że: powstrzymywanie zatrzymuje trwające szkody za pomocą izolacji, blokad na zaporze i wyłączania kont, likwidacja zagrożenia wymaga usunięcia WSZYSTKICH punktów dostępu atakującego, w tym mechanizmów utrzymywania dostępu, a nie tylko plików złośliwego oprogramowania, a odzyskiwanie musi korzystać z kopii zapasowych pochodzących sprzed daty przejęcia systemu i obejmować zwiększone monitorowanie przez co najmniej 30 dni. Następnie omówimy przegląd po incydencie i wyciąganie wniosków.