กำจัดภัย กู้คืน และบทเรียนที่ได้รับ

การกำจัดภัยคุกคาม คือการลบภัยคุกคามออกจากระบบทั้งหมดที่ได้รับผลกระทบ หลังจากการจำกัดวงยืนยันขอบเขตแล้ว การกำจัดภัยคุกคามจะทำให้แน่ใจว่าไม่มีกลไกการคงอยู่เหลืออยู่ ไม่ว่าจะเป็นมัลแวร์ แบ็กดอร์ ข้อมูลรับรองที่ถูกเจาะ หรือบัญชีเถื่อน

การกำจัดภัยคุกคามอย่างละเอียดประกอบด้วย:

• ลบมัลแวร์และโปรแกรมฝังตัวทั้งหมดที่พบจากการสืบสวน
• ลบบัญชีผู้ใช้เถื่อนและคีย์ SSH ที่ผู้โจมตีเพิ่มไว้
• ลบงาน cron คีย์เรียกใช้ของรีจิสทรี และงานตามกำหนดเวลาที่ผู้โจมตีเพิ่มไว้
• ติดตั้งแพตช์สำหรับช่องโหว่ที่ทำให้เข้าถึงระบบได้ในครั้งแรก
• เปลี่ยนข้อมูลรับรองที่ถูกเจาะทั้งหมด
• สร้างระบบที่ถูกเจาะอย่างรุนแรงขึ้นใหม่จากอิมเมจที่ทราบว่าปลอดภัย

สำหรับระบบที่ถูกเจาะอย่างรุนแรง การสร้างระบบใหม่จากอิมเมจที่สะอาดมีความน่าเชื่อถือมากกว่าการพยายามลบองค์ประกอบมัลแวร์ทั้งหมด รูทคิตและโปรแกรมฝังตัวที่คงอยู่ถาวรอาจรอดพ้นจากความพยายามล้างระบบได้ ความเสี่ยงที่จะพลาดบางสิ่งสูงเกินไปสำหรับระบบสำคัญ

หลังจากล้างระบบแล้ว ให้ตรวจสอบดังนี้:

• สแกนซ้ำด้วยเครื่องมือ AV/EDR หลายรายการ
• ตรวจสอบกลไกการคงอยู่ (การเริ่มทำงานอัตโนมัติ งานตามกำหนดเวลา และบริการ)
• ตรวจสอบบัญชีผู้ใช้หรือคีย์ SSH ใหม่
• เฝ้าระวังการรับส่งข้อมูลเครือข่ายเพื่อหาการติดต่อกลับไปยังเซิร์ฟเวอร์ควบคุมและสั่งการ
• เรียกใช้การตรวจสอบความถูกต้องสมบูรณ์กับไบนารีสำคัญ

การกู้คืน คือการทำให้ระบบกลับมาดำเนินงานตามปกติอย่างปลอดภัย การเร่งกู้คืนโดยไม่ยืนยันว่ากำจัดภัยคุกคามแล้ว อาจทำให้ติดเชื้อซ้ำได้ กิจกรรมสำคัญ:

• กู้คืนจากสำเนาสำรองที่ตรวจสอบแล้วว่าสะอาดเมื่อจำเป็น
• ทยอยนำระบบกลับมาออนไลน์พร้อมการเฝ้าระวังที่เข้มข้นขึ้น
• ตรวจสอบความถูกต้องสมบูรณ์และการทำงานที่เหมาะสมของระบบ
• เฝ้าระวังสัญญาณการกลับมาของผู้โจมตี

การกู้คืนจากสำเนาสำรอง:

• ตรวจสอบความถูกต้องสมบูรณ์ของสำเนาสำรอง (เปรียบเทียบค่าแฮช)
• กู้คืนไปยังสภาพแวดล้อมที่สะอาด (ไม่ใช่สภาพแวดล้อมเดิมที่ถูกเจาะ)
• ทดสอบระบบที่กู้คืนแล้วก่อนนำกลับเข้าสู่การใช้งานจริง
• สำหรับแรนซัมแวร์: ตรวจสอบให้แน่ใจว่าลบมัลแวร์แล้วก่อนกู้คืนไฟล์

หลังการกู้คืน ให้เพิ่มความเข้มข้นของการเฝ้าระวัง:

• เพิ่มความละเอียดของการบันทึกข้อมูลในระบบที่กู้คืนแล้วเป็นเวลาอย่างน้อย 30 วัน
• แจ้งเตือนเมื่อมีกิจกรรมใดตรงกับยุทธวิธี เทคนิค และกระบวนการของผู้โจมตี
• ตรวจสอบกระแสข้อมูลเครือข่ายเพื่อหาการเชื่อมต่อที่ผิดปกติ
• ตรวจสอบการควบคุมการเข้าถึงและสิทธิ์อีกครั้ง

การทบทวนหลังเกิดเหตุการณ์ (บทเรียนที่ได้รับ) ควรดำเนินการภายใน 1–2 สัปดาห์ ผู้เข้าร่วม: ทีม IR เจ้าของระบบที่ได้รับผลกระทบ และฝ่ายบริหาร เป้าหมาย: ทำความเข้าใจสาเหตุรากฐาน ปรับปรุงการป้องกัน และปรับปรุงขั้นตอน

RCA ตั้งคำถามว่า: เหตุการณ์นี้เกิดขึ้นได้อย่างไร

• ช่องทางการโจมตีเริ่มต้นคืออะไร
• มาตรการควบคุมใดล้มเหลวหรือขาดหายไป
• ผู้โจมตีอยู่ในระบบนานเท่าใดก่อนถูกตรวจพบ
• ผู้โจมตีเคลื่อนที่ไปยังระบบอื่นภายในเครือข่ายได้อย่างไร
• ข้อมูลใดถูกเข้าถึงหรือลักลอบนำออกไป

ตัวชี้วัด IR ที่สำคัญซึ่งควรติดตาม:

• MTTD — เวลาเฉลี่ยในการตรวจจับ
• MTTR — เวลาเฉลี่ยในการตอบสนอง/กู้คืน
• MTTC — เวลาเฉลี่ยในการจำกัดวง
• จำนวนระบบที่ได้รับผลกระทบ
• ขอบเขตการเปิดเผยข้อมูล

ผลลัพธ์จากบทเรียนที่ได้รับ:

• ปรับปรุงคู่มือการรับมือ IR ด้วยยุทธวิธี เทคนิค และกระบวนการใหม่ที่สังเกตพบ
• ติดตั้งความสามารถด้านการตรวจจับที่ยังขาดหายไป
• ติดตั้งแพตช์สำหรับช่องโหว่ที่พบ
• จัดกำหนดการฝึกอบรมเกี่ยวกับช่องว่างที่พบ
• ปรับปรุงแม่แบบการสื่อสาร

เหตุใดการสร้างระบบที่ถูกเจาะอย่างรุนแรงขึ้นใหม่จากอิมเมจที่สะอาดจึงมักเป็นทางเลือกที่ดีกว่าการพยายามล้างระบบ

การกำจัดภัยคุกคามจะลบร่องรอยทั้งหมดของผู้โจมตี ได้แก่ มัลแวร์ แบ็กดอร์ บัญชีเถื่อน และการคงอยู่ของการควบคุมและสั่งการ สำหรับระบบที่ถูกเจาะอย่างรุนแรง ควรสร้างระบบใหม่แทนการล้างระบบ การกู้คืนจะนำระบบกลับมาดำเนินงานจากสำเนาสำรองที่ตรวจสอบแล้วว่าสะอาด พร้อมการเฝ้าระวังที่เข้มข้นขึ้น การทบทวนหลังเกิดเหตุการณ์จะระบุสาเหตุรากฐาน วัด MTTD/MTTR และปรับปรุงการรับมือในอนาคตผ่านคู่มือที่ปรับปรุงแล้วและการตรวจจับรูปแบบใหม่