Cyber Security Academy · Урок

Действия по реагированию

Изолируйте угрозы и устраняйте последствия

«Действия по реагированию» — бесплатный урок Cyber Security Academy на CoddyKit. Это урок 3 из 4. Ты можешь прочитать весь урок бесплатно ниже — а потом практиковать его прямо в браузере с встроенным редактором кода и ИИ-репетитором 24/7. Это часть пути обучения Cyber Security Academy, и твой прогресс синхронизируется между веб-версией и приложением CoddyKit. Курс Cyber Security Academy содержит 4 уроков всего.

От обнаружения к реагированию

Обнаружение угрозы — лишь половина задачи. Реагирование — это действия, которые выполняются для остановки атаки и устранения её последствий.

Быстрое реагирование ограничивает ущерб и предотвращает распространение угрозы.

Изоляция узла

Изоляция (сетевая локализация) отключает заражённую конечную точку от сети.

Компьютер по-прежнему может обмениваться данными с консолью EDR для расследования, но не может распространять вредоносное ПО или передавать данные наружу.

Завершение вредоносных процессов

Аналитики могут удалённо остановить вредоносный процесс.

Завершение процесса прекращает текущую активность злоумышленника, например шифрование или кражу данных, пока продолжается более глубокая очистка.

Помещение файлов в карантин

Карантин перемещает подозрительный файл в безопасное место с ограниченным доступом.

Файл больше не может быть запущен, но сохраняется как доказательство и может быть восстановлен, если окажется безопасным.

Блокирование индикаторов

После того как угроза становится понятной, команды блокируют её индикаторы компрометации (ИОК) повсюду.

хэши вредоносных файлов
опасные IP-адреса и домены

Это сразу защищает все остальные конечные точки.

Автоматическое реагирование

Некоторые действия можно выполнять автоматически при срабатывании оповещения.

Например, конечная точка может изолировать себя сразу после обнаружения поведения программы-вымогателя — ещё до того, как человек прочитает оповещение.

Удалённое расследование

Перед очисткой аналитики удалённо собирают доказательства.

собирают списки запущенных процессов
извлекают подозрительные файлы для анализа
открывают удалённую оболочку на конечной точке

Это помогает составить ясную картину атаки.

Устранение угрозы

Устранение угрозы удаляет угрозу и отменяет внесённые ею изменения.

удаление вредоносных файлов
удаление записей, обеспечивающих сохранение угрозы
отмена опасных изменений конфигурации

Откат и восстановление

Некоторые инструменты EDR могут откатывать изменения, внесённые вредоносным ПО, например восстанавливать файлы, зашифрованные программой-вымогателем.

Если откат невозможен, компьютер заново разворачивают из чистого образа.

Цикл реагирования на инцидент

Реагирование является частью более широкого цикла:

выявить угрозу
локализовать её (изолировать)
устранить её (ликвидировать последствия)
восстановить систему
извлечь уроки

Документирование извлечённых уроков

После инцидента команды анализируют произошедшее.

Они фиксируют, как злоумышленник проник в систему, и обновляют средства обнаружения и политики, чтобы такая же атака больше не смогла добиться успеха.

Быстрая проверка

Проверьте, насколько хорошо Вы понимаете действия по реагированию.

Краткое повторение

Действия EDR по реагированию включают:

изоляцию узла, завершение процессов и помещение файлов в карантин
блокирование ИОК и автоматическую локализацию
устранение угрозы, откат и документирование извлечённых уроков

Эти шаги следуют циклу выявления, локализации, устранения и восстановления.

Часто задаваемые вопросы

Урок «Действия по реагированию» бесплатный?

Да — полный текст урока «Действия по реагированию» бесплатно доступен здесь в веб-версии. Чтобы практиковать его интерактивно (встроенный редактор кода и ИИ-репетитор 24/7) и разблокировать остальной курс Cyber Security Academy, подпишись на CoddyKit PRO. Курс Cyber Security Academy содержит 4 уроков всего.

Чему я научусь в уроке «Действия по реагированию»?

Изолируйте угрозы и устраняйте последствия Ты практикуешь Cyber Security Academy с помощью реального кода, который запускаешь прямо в браузере, и ИИ-репетитор 24/7 отвечает на твои вопросы во время урока.

Нужен ли мне опыт, чтобы начать Cyber Security Academy?

Предыдущий опыт не требуется. Cyber Security Academy на CoddyKit структурирован для всех уровней — от новичков до продвинутых, поэтому ты можешь начать отсюда или с самого начала и учиться в своем темпе. Это урок 3 из 4.

Сколько времени занимает урок «Действия по реагированию»?

Большинство уроков CoddyKit занимают около 5–10 минут. Каждый из них компактный и интерактивный, поэтому ты постоянно делаешь прогресс и продолжаешь с того же места в веб-версии и приложении.

Можно ли писать и запускать код в этом уроке Cyber Security Academy?

Да. Каждый урок Cyber Security Academy включает встроенный редактор кода, поэтому ты пишешь и запускаешь реальный код прямо в браузере и получаешь моментальную обратную связь от AI — локальная установка не требуется.

Все уроки этого курса

← Назад к Cyber Security Academy