Usuwanie zagrożenia, przywracanie działania i wnioski

Eliminacja usuwa zagrożenie ze wszystkich zaatakowanych systemów. Po potwierdzeniu zakresu incydentu przez powstrzymywanie eliminacja zapewnia, że nie pozostały żadne mechanizmy utrzymywania dostępu — złośliwe oprogramowanie, backdoory, przejęte dane uwierzytelniające ani nieautoryzowane konta.

Kompleksowa eliminacja obejmuje:

• Usunięcie całego złośliwego oprogramowania i implantów wykrytych podczas dochodzenia
• Usunięcie nieautoryzowanych kont użytkowników i kluczy SSH dodanych przez atakującego
• Usunięcie zadań cron, kluczy uruchamiania w rejestrze i zadań harmonogramu dodanych przez atakującego
• Załatanie luki, która umożliwiła uzyskanie początkowego dostępu
• Zresetowanie wszystkich przejętych danych uwierzytelniających
• Odtworzenie poważnie zaatakowanych systemów ze sprawdzonych obrazów

W przypadku poważnie zaatakowanych systemów odtworzenie ich z czystego obrazu jest bardziej niezawodne niż próba usunięcia wszystkich artefaktów złośliwego oprogramowania. Rootkity i trwałe implanty mogą przetrwać próby czyszczenia. Ryzyko przeoczenia czegoś jest zbyt wysokie w przypadku systemów o znaczeniu krytycznym.

Po wyczyszczeniu należy zweryfikować:

• Ponowne przeskanowanie za pomocą wielu narzędzi AV/EDR
• Mechanizmy utrzymywania dostępu (autoruns, cron, usługi)
• Obecność nowych kont użytkowników lub kluczy SSH
• Ruch sieciowy pod kątem połączeń zwrotnych C2
• Integralność najważniejszych plików binarnych

Przywracanie bezpiecznie przywraca systemy do normalnego działania. Zbyt szybkie przywrócenie działania bez potwierdzenia eliminacji zagrożenia grozi ponowną infekcją. Najważniejsze działania:

• W razie potrzeby odtworzenie systemów ze zweryfikowanych, czystych kopii zapasowych
• Stopniowe przywracanie systemów do działania z rozszerzonym monitorowaniem
• Weryfikacja integralności systemów i ich prawidłowego działania
• Monitorowanie oznak powrotu atakującego

Odtwarzanie z kopii zapasowych:

• Zweryfikujcie integralność kopii zapasowej (porównanie skrótów)
• Odtwarzajcie dane w czystym środowisku (nie w tym samym zaatakowanym środowisku)
• Przetestujcie odtworzone systemy przed przywróceniem ich do środowiska produkcyjnego
• W przypadku ransomware: przed odtworzeniem plików upewnijcie się, że złośliwe oprogramowanie zostało usunięte

Po przywróceniu działania należy zwiększyć intensywność monitorowania:

• Rozszerzone rejestrowanie zdarzeń w odtworzonych systemach przez co najmniej 30 dni
• Alerty dotyczące aktywności odpowiadającej TTPs atakującego
• Przegląd przepływów sieciowych pod kątem nietypowych połączeń
• Ponowna weryfikacja mechanizmów kontroli dostępu i uprawnień

Przegląd po incydencie (wyciągnięte wnioski) powinien odbyć się w ciągu 1–2 tygodni. Uczestnicy: zespół IR, właściciele zaatakowanych systemów, kierownictwo. Cel: zrozumienie głównej przyczyny, wzmocnienie zabezpieczeń i aktualizacja procedur.

RCA odpowiada na pytanie: dlaczego do tego doszło?

• Jaki był początkowy wektor ataku?
• Jakie mechanizmy kontroli zawiodły lub były nieobecne?
• Jak długo atakujący pozostawał w środowisku przed wykryciem?
• W jaki sposób atakujący poruszał się lateralnie?
• Do jakich danych uzyskano dostęp lub jakie dane wyeksfiltrowano?

Najważniejsze metryki IR do śledzenia:

• MTTD — średni czas wykrycia
• MTTR — średni czas reakcji/przywrócenia działania
• MTTC — średni czas powstrzymania
• Liczba zaatakowanych systemów
• Zakres ujawnienia danych

Rezultaty wyciągniętych wniosków:

• Aktualizacja playbooków IR o nowe zaobserwowane TTPs
• Wdrożenie brakujących mechanizmów wykrywania
• Załatanie zidentyfikowanych luk
• Zaplanowanie szkoleń dotyczących wykrytych braków
• Aktualizacja szablonów komunikacji

Eliminacja usuwa wszystkie artefakty pozostawione przez atakującego: złośliwe oprogramowanie, backdoory, nieautoryzowane konta i mechanizmy utrzymywania dostępu C2. W przypadku poważnie zaatakowanych systemów należy je odtworzyć, a nie czyścić. Przywracanie odtwarza działanie systemów ze zweryfikowanych, czystych kopii zapasowych przy rozszerzonym monitorowaniu. Przegląd po incydencie pozwala ustalić główną przyczynę, zmierzyć MTTD/MTTR i usprawnić przyszłe reagowanie dzięki zaktualizowanym playbookom oraz nowym mechanizmom wykrywania.