Cykl IR: przygotowanie, identyfikacja i powstrzymanie

Reagowanie na incydenty (Incident Response, IR) to zorganizowane podejście do obsługi incydentów bezpieczeństwa i zarządzania nimi. Celem jest minimalizacja szkód, skrócenie czasu przywracania działania oraz zapobieganie powtórzeniu się incydentu. Kluczowe znaczenie ma posiadanie udokumentowanego planu IR jeszcze przed wystąpieniem incydentu.

Najważniejsze frameworki IR:

• NIST SP 800-61: Przygotowanie → Wykrywanie/Analiza → Powstrzymywanie/Eliminacja/Przywracanie → Działania po incydencie
• SANS PICERL: Przygotowanie, Identyfikacja, Powstrzymywanie, Eliminacja, Przywracanie, Wyciągnięte wnioski
• CISA: Ogólnie zgodne z NIST

Działania przygotowawcze:

• Udokumentowanie zasad i procedur IR
• Zbudowanie i przeszkolenie zespołu IR (CIRT)
• Wdrożenie narzędzi do rejestrowania zdarzeń i wykrywania zagrożeń
• Ustalenie kanałów komunikacji i ścieżek eskalacji
• Przeprowadzanie ćwiczeń typu tabletop i symulacji
• Utworzenie runbooków dla typowych rodzajów incydentów

Przygotujcie się, zanim wystąpią incydenty:

• Centralny system SIEM do analizy logów
• Stacja robocza do informatyki śledczej z blokadami zapisu i narzędziami do tworzenia obrazów
• Z wyprzedzeniem wskazane osoby kontaktowe z działów prawnego i HR
• Umowa retainerowa IR z zewnętrzną firmą zajmującą się informatyką śledczą
• Zweryfikowane i dostępne kopie zapasowe offline

Identyfikacja polega na wykryciu i potwierdzeniu, że wystąpił incydent. Źródła wykrywania:

• Alerty SIEM i zdarzenia IDS/IPS
• Zgłoszenia użytkowników ("mój komputer dziwnie się zachowuje")
• Strumienie danych wywiadowczych o zagrożeniach
• Wykrywanie anomalii (nietypowe godziny logowania, transfery danych)
• Powiadomienia od podmiotów zewnętrznych (organów ścigania, partnerów)

Klasyfikujcie incydenty według ważności, aby ustalić priorytet reakcji:

• P1/Krytyczny: aktywne naruszenie, eksfiltracja danych, ransomware
• P2/Wysoki: przejęte konto uprzywilejowane, wykryte złośliwe oprogramowanie
• P3/Średni: naruszenie zasad, podejrzana aktywność
• P4/Niski: nieudane próby logowania, drobna błędna konfiguracja

Powstrzymywanie zatrzymuje rozprzestrzenianie się szkód bez niszczenia dowodów. Wyróżniamy dwa rodzaje:

• Powstrzymywanie krótkoterminowe: izolowanie zaatakowanych systemów (kwarantanna sieciowa)
• Powstrzymywanie długoterminowe: usuwanie złośliwych artefaktów przy zachowaniu ciągłości działania

Działania powstrzymujące:

• Izolacja sieci: kwarantanna VLAN, reguły blokowania zapory sieciowej
• Blokada konta: wyłączenie przejętych danych uwierzytelniających
• EDR kill: zakończenie złośliwych procesów za pomocą EDR
• DNS sinkhole: przekierowanie domen C2, aby zapobiec połączeniom zwrotnym
• Zachowanie dowodów PRZED wyczyszczeniem systemu

Podczas poważnych incydentów należy stosować przejrzystą strukturę dowodzenia:

• Incident Commander — koordynacja całości działań
• Technical Lead — dochodzenie i usuwanie skutków
• Communications Lead — powiadomienia wewnętrzne i zewnętrzne
• Legal/Compliance — obowiązki regulacyjne

Skuteczne reagowanie na incydenty obejmuje równoległe powstrzymywanie, dochodzenie i komunikację — a nie działania wykonywane sekwencyjnie. Gdy zespół techniczny powstrzymuje zagrożenie, dział prawny przygotowuje powiadomienia, a kierownictwo komunikuje się z interesariuszami. Czas ma znaczenie: każda godzina niepowstrzymanego dostępu powoduje większe szkody.

Podczas incydentu należy udokumentować wszystko:

• Oś czasu zdarzeń wraz ze znacznikami czasu
• Wszystkie podjęte działania (kto, co i kiedy)
• Zebrane dowody i łańcuch dowodowy
• Podjęte decyzje i ich uzasadnienie

Ta dokumentacja jest niezbędna w postępowaniach prawnych i podczas przeglądu po incydencie.

Cykl życia IR według NIST obejmuje: Przygotowanie, Identyfikację, Powstrzymywanie, Eliminację, Przywracanie i Działania po incydencie. Przygotowanie jest najważniejszą fazą — zespół, narzędzia i runbooki należy zbudować, zanim wystąpią incydenty. Identyfikacja potwierdza wystąpienie incydentu. Powstrzymywanie zatrzymuje rozprzestrzenianie się zagrożenia przy zachowaniu dowodów. Każde działanie należy dokumentować wraz ze znacznikiem czasu.