Устранение угроз, восстановление и извлечённые уроки

Устранение удаляет угрозу из всех затронутых систем. После того как локализация подтверждает масштаб инцидента, устранение гарантирует отсутствие механизмов закрепления — вредоносного ПО, бэкдоров, скомпрометированных учетных данных или несанкционированных учетных записей.

Полное устранение включает:

• Удалите все обнаруженные в ходе расследования вредоносные программы и импланты
• Удалите несанкционированные учетные записи пользователей и ключи SSH, добавленные атакующим
• Удалите добавленные атакующим задания cron, ключи автозапуска реестра и запланированные задания
• Установите исправление уязвимости, которая обеспечила первоначальный доступ
• Сбросьте все скомпрометированные учетные данные
• Пересоздайте серьезно скомпрометированные системы из заведомо чистых образов

Для серьезно скомпрометированных систем пересоздание из чистого образа надежнее попытки удалить все вредоносные артефакты. Руткиты и устойчивые импланты могут пережить попытки очистки. Для критически важных систем риск что-либо пропустить слишком высок.

После очистки проверьте:

• Повторно просканируйте систему с помощью нескольких инструментов AV/EDR
• Проверьте механизмы закрепления (автозапуск, cron, службы)
• Проверьте наличие новых учетных записей пользователей или ключей SSH
• Отслеживайте сетевой трафик на предмет обратных подключений к серверам управления
• Проведите проверки целостности критически важных двоичных файлов

Восстановление безопасно возвращает системы к нормальной работе. Поспешное восстановление без подтверждения устранения угрозы создает риск повторного заражения. Основные действия:

• При необходимости восстановите системы из проверенных чистых резервных копий
• Постепенно возвращайте системы в сеть с усиленным мониторингом
• Проверьте целостность и правильную работу систем
• Отслеживайте признаки возвращения атакующего

Восстановление из резервных копий:

• Проверьте целостность резервной копии (сравните хеши)
• Восстановите данные в чистой среде, а не в той же скомпрометированной среде
• Проверьте восстановленные системы до их возвращения в рабочую среду
• В случае программы-вымогателя убедитесь, что вредоносное ПО удалено до восстановления файлов

После восстановления усильте мониторинг:

• Включите расширенное журналирование на восстановленных системах не менее чем на 30 дней
• Настройте оповещения о любой активности, соответствующей тактикам, техникам и процедурам атакующего
• Проверяйте сетевые потоки на наличие необычных подключений
• Повторно проверьте средства контроля доступа и права доступа

Разбор после инцидента (извлечение уроков) следует провести в течение 1–2 недель. Участники: команда IR, владельцы затронутых систем и руководство. Цель — понять первопричину, улучшить защиту и обновить процедуры.

RCA отвечает на вопрос: почему это произошло?

• Каким был исходный вектор атаки?
• Какие средства контроля не сработали или отсутствовали?
• Как долго атакующий присутствовал в системе до обнаружения?
• Как атакующий перемещался по сети?
• К каким данным был получен доступ и какие данные были похищены?

Основные метрики IR, которые следует отслеживать:

• MTTD — среднее время обнаружения
• MTTR — среднее время реагирования/восстановления
• MTTC — среднее время локализации
• Количество затронутых систем
• Масштаб раскрытия данных

Результаты разбора:

• Обновите планы реагирования IR с учетом новых наблюдавшихся тактик, техник и процедур
• Внедрите недостающие средства обнаружения
• Установите исправления для выявленных уязвимостей
• Запланируйте обучение по выявленным пробелам
• Обновите шаблоны коммуникаций

Почему серьезно скомпрометированную систему часто предпочитают пересоздать из чистого образа, а не пытаться очистить?

Устранение удаляет все артефакты атакующего: вредоносное ПО, бэкдоры, несанкционированные учетные записи и механизмы закрепления для управления и контроля. Серьезно скомпрометированные системы следует пересоздавать, а не очищать. Восстановление возвращает системы в рабочее состояние из проверенных чистых резервных копий при усиленном мониторинге. Разбор после инцидента выявляет первопричину, измеряет MTTD/MTTR и улучшает реагирование в будущем благодаря обновленным планам и новым средствам обнаружения.