Strategier för begränsning och eliminering

Agera snabbt när ni upptäcker en incident. Här är vanliga inledande åtgärder:

• Identifiera berörda system: Fastställ exakt vilka servrar, program eller användarkonton som har komprometterats.
• Koppla bort/isolera: Ta komprometterade system offline eller separera dem från huvudnätverket.
• Blockera skadliga IP-adresser: Uppdatera brandväggarna så att kända angripar-IP-adresser blockeras.
• Inaktivera konton: Stäng av användarkonton som visar tecken på att ha komprometterats.

Prioritera kritiska system för att först skydda era mest värdefulla tillgångar.

Nätverkssegmentering är en effektiv teknik för begränsning. Den innebär att nätverket delas upp i mindre, isolerade zoner.

Om ett segment utsätts för intrång kan angriparen inte enkelt ta sig vidare till ett annat. Under en incident kan ni snabbt flytta komprometterade system till ett isolerat segment eller blockera trafik mellan segment.

Detta använder tekniker som VLAN (Virtual Local Area Networks) och brandväggsregler för att styra trafikflödet.

Föreställ er att en webbserver har infekterats. Ni kan:

• Blockera extern åtkomst: Inaktivera dess offentliga IP-adress eller ändra brandväggsreglerna.
• Intern isolering: Skapa ett särskilt VLAN för ”isolerade” servrar och flytta den infekterade servern dit, så att den inte kan kommunicera med andra interna system.

Detta säkerställer att angriparen inte kan använda servern som språngbräda för ytterligare attacker.

När intrånget har begränsats och inte längre sprids går ni vidare till undanröjning. Då tar ni bort de skadliga elementen från systemen.

Målet med undanröjningen är att eliminera incidentens grundorsak och säkerställa att hotet är helt borta och inte kan återkomma.

Denna fas omfattar ofta grundlig rensning och uppdatering.

Viktiga metoder för undanröjning är:

• Rensa från säkerhetskopior: Återställ systemen från säkerhetskopior som är kända som fungerande och som togs före incidenten.
• Skapa nya systemavbilder: Radera och installera om operativsystem och program från betrodda källor.
• Installera uppdateringar: Installera omedelbart alla saknade säkerhetsuppdateringar som angriparen kan ha utnyttjat.
• Ta bort skadlig kod: Använd verktyg mot skadlig kod för att söka efter och ta bort skadlig programvara.

Det är viktigt att vara grundlig för att förhindra återinfektion.

Angripare lämnar ofta bakdörrar efter sig eller skaffar bestående åtkomst. Undanröjningen måste hantera detta:

• Byt autentiseringsuppgifter: Återställ alla komprometterade lösenord (användarkonton, tjänstekonton och API-nycklar).
• Ta bort bakdörrar: Sök efter och ta bort obehöriga användarkonton, skadliga skript eller dolda åtkomstpunkter.
• Granska konfigurationer: Kontrollera system- och programkonfigurationer efter obehöriga ändringar som angriparen har gjort.

Utgå från att allt som angriparen har rört är komprometterat.

Hur vet du att hotet verkligen är borta? Du måste verifiera det!

• Skanna igen: Kör omfattande säkerhetsskanningar (t.ex. sårbarhetsskanning och antiskadlig kod) på alla berörda och potentiellt berörda system.
• Övervaka: Övervaka loggar och nätverkstrafik noggrant för tecken på fortsatt skadlig aktivitet.
• Intrångsdetektering: Använd IDS/IPS för att upptäcka misstänkta mönster eller nya försök.

Gå vidare till återställning först när du är säker på att hotet har eliminerats fullständigt.

Vi har gått igenom de kritiska stegen inneslutning och eliminering vid hantering av säkerhetsincidenter.

• Inneslutning fokuserar på att stoppa spridningen och begränsa skadan genom isolering, nätverkssegmentering och blockering av skadlig åtkomst.
• Eliminering innebär att hotet tas bort fullständigt genom att rensa systemen, åtgärda sårbarheter och eliminera bakdörrar.

Dessa faser är avgörande för att stabilisera systemen och förbereda en säker återställning.