Реагирование на инциденты и восстановление

Реагирование на инцидент строится на подготовке, а не на импровизации. Документированный сценарий реагирования на вымогательское ПО, известные роли и отработанные процедуры превращают хаос в управляемый процесс.

Реагирование проходит общепринятые этапы: подготовка, выявление, локализация, устранение, восстановление и извлечение уроков. В этом уроке каждый этап рассматривается в контексте атаки вымогательского ПО.

Атака вымогательского ПО — это кризис для всего бизнеса, а не только IT-проблема. В группу входят представители разных направлений:

• Руководитель инцидента для координации и принятия решений
• Специалисты по безопасности и IT для технической работы
• Юридический отдел для решения вопросов, связанных с обязанностями при утечке и риском санкций
• Отдел коммуникаций для внутренних и внешних сообщений
• Руководство для принятия бизнес-решений

Используйте внеполосную связь: злоумышленник может читать Вашу электронную почту и чаты.

Прежде чем предпринимать широкие действия, разберитесь, с чем Вы столкнулись.

• Какой штамм вредоносной программы используется и какие системы затронуты?
• Где произошло проникновение (исходная точка заражения) и каким образом?
• Были ли выведены данные, что указывает на утечку?

Сохраните судебные доказательства: создайте образы памяти и дисков и сохраните журналы до очистки, чтобы ответить на эти вопросы и выполнить юридические требования. Не уничтожайте следы в спешке при устранении последствий.

Локализация останавливает распространение атаки и одновременно сохраняет доказательства. Изолируйте, не выключайте вслепую, поскольку отключение питания может уничтожить данные энергозависимой памяти и в некоторых штаммах запустить ловушки.

Во время локализации немедленно защитите ресурсы, которые понадобятся Вам для восстановления.

• Проверьте, что Ваши неизменяемые и автономные резервные копии целы и недоступны злоумышленнику
• Защитите систему идентификации (контроллеры домена): злоумышленники часто получают привилегированные учетные записи
• Сбросьте учетные данные привилегированных и служебных учетных записей
• Отключите системы резервного копирования от скомпрометированной сети, пока не убедитесь в их безопасности

Если сейчас потерять резервные копии, Вы потеряете и путь к восстановлению.

Устранение угрозы полностью лишает злоумышленника доступа. Неполная очистка создает условия для повторного заражения.

• Удалите вредоносное ПО, скрытые точки доступа и механизмы закрепления (службы, запланированные задачи)
• Определите и закройте способ первоначального доступа
• Сбросьте все потенциально скомпрометированные учетные данные, включая служебные учетные записи
• Ищите оставшиеся точки закрепления, прежде чем объявлять систему чистой

Предполагайте, что злоумышленник получил широкий доступ. Если он получил доступ к контроллерам домена, может потребоваться полная перестройка системы идентификации.

Восстанавливайте системы в чистой, заново развернутой сети, а не в скомпрометированной. Расставляйте приоритеты по важности для бизнеса.

• Пересоздавайте системы из надежных резервных копий или чистых образов, а не из зашифрованных систем
• Сначала восстанавливайте базовую инфраструктуру (систему идентификации, DNS), затем критически важные службы
• Проверяйте восстановленные системы перед их повторным подключением
• Возвращайте службы по контролируемым этапам, следя за повторным заражением

Решение о выплате выкупа принимают руководство и юристы, а не технические специалисты; оно должно основываться на консультации с юристами и, возможно, правоохранительными органами.

• Выплата может быть ограничена законодательством о санкциях, направленным против определенных групп
• Средства расшифровки ненадежны, работают медленно и могут вообще не предоставляться
• Украденные данные все равно могут опубликовать

Обоснованная стратегия, основанная на хороших резервных копиях и планировании IR, — восстановиться без выплаты выкупа. Рано обратитесь в правоохранительные органы: они могут предоставить сведения или средства расшифровки.

Если данные были выведены, инцидент является утечкой данных и влечет нормативные и договорные обязательства.

• Определите требования к уведомлению (регуляторов, клиентов, партнеров) и сроки
• Задокументируйте хронологию и решения для аудиторов и страховщиков
• Координируйте внешние сообщения через один канал
• Заранее обратитесь к страховщику по киберстрахованию в соответствии с условиями полиса

Юридические вопросы и коммуникации должны решаться параллельно с техническим восстановлением, а не после него.

После восстановления проведите разбор инцидента без поиска виноватых, чтобы превратить болезненный опыт в улучшения.

• Как злоумышленники проникли в систему и почему это не обнаружили раньше?
• Какие механизмы защиты сработали, а какие пробелы позволили атаке распространиться?
• Какие улучшения обнаружения или резервного копирования помогли бы?
• Обновите сценарий действий и назначьте повторную проверку

Самый важный результат — конкретный список действий с ответственными и сроками, чтобы следующая атака столкнулась с более сильной защитой.

Непроверенный план не выдерживает давления. Отработайте его до того, как он понадобится.

• Кабинетные учения проводят группу через смоделированную атаку
• Проверяйте восстановление в большом масштабе, а не только отдельных файлов
• Убедитесь, что внеполосная связь и списки контактов действительно работают
• Измеряйте время восстановления, чтобы проверить целевые значения RTO/RPO

Группы, которые проводят учения, восстанавливаются за несколько дней; группы без такой подготовки могут потратить несколько недель.

Теперь Вы можете реагировать на подтвержденную атаку вымогательского ПО.

• Следуйте этапам: подготовьтесь, выявите, локализуйте, устраните, восстановите, извлеките уроки
• Активируйте межфункциональную группу и используйте внеполосную связь
• Изолируйте, не выключайте вслепую; сохраняйте доказательства и защищайте резервные копии и систему идентификации
• Полностью устраните угрозу, затем восстановитесь в чистой сети из надежных резервных копий
• Считайте вывод данных утечкой с юридическими обязанностями; решение об оплате должно приниматься руководством только в крайнем случае
• Отрабатывайте план, чтобы восстановление занимало дни, а не недели

Курс завершен: теперь Вы умеете предотвращать атаки вымогательского ПО, обнаруживать их и восстанавливаться после них.