Reakcja na incydent

Reakcja na incydent (IR) to ustrukturyzowany proces obsługi incydentu bezpieczeństwa od jego wykrycia po odzyskanie. Dyscyplina ta wyłoniła się ze wzorców reagowania w sytuacjach kryzysowych i została skodyfikowana w standardach takich jak NIST SP 800-61 i SANS PICERL. Fazy ​​​​są przewidywalne; trudność polega na wykonywaniu pod presją.

Sześć faz

1. Przygotowanie. Zbuduj zespół, narzędzia i elementy Runbook, zanim cokolwiek się stanie. Większość słabo przygotowanych organizacji nie zdaje sobie sprawy, że jest niedostatecznie przygotowana, dopóki nie znajdą się w środku incydentu.
2. Identyfikacja. Wykryj, że coś jest nie tak. Często najtrudniejsza faza — większość naruszeń pozostaje niewykryta przez miesiące.
3. Ochrona. Ogranicz szkody. Powstrzymaj atakującego przed dalszym rozprzestrzenianiem się. Zabezpieczenie krótkoterminowe (izolowanie systemów, których dotyczy problem) i zabezpieczenie długoterminowe (czysta rekonstrukcja przed ponownym podłączeniem).
4. Eradication. Usuń obecność atakującego — złośliwe oprogramowanie, mechanizmy trwałości, naruszone dane uwierzytelniające. W tym przypadku odpowiedzią jest raczej przebudowa niż czyszczenie.
5. Recovery. Przywracanie systemów do normalnego działania. Uważnie monitoruj ponowne pojawienie się zagrożenia.
6. Lwyciągnięte wnioski. Dokumentuj, co się stało, co zadziałało, co nie i co należy zmienić. Faza ta zostaje pominięta pod presją terminu; dzięki temu przyszłe incydenty będą mniej groźne.

Pierwsza godzina

Kiedy podejrzewasz incydent, pierwsza godzina ma nieproporcjonalne znaczenie:

• Sprawdź, czy alert jest prawdziwy. Fałszywe alarmy marnują zasoby; natychmiastowe podjęcie działań w przypadku alertu o błędnym odczytaniu może pogorszyć sytuację.
• Aktywuj zespół IR. Jeśli go nie masz, Twój kierownik IT, zewnętrzna firma IR i doradca muszą szybko zadzwonić.
• Zachowaj dowody. Nie czyść systemów przed wykonaniem migawek kryminalistycznych. Migawka dysku, pamięci, stanów dziennika.
• Komunikuj się z zachowaniem dyscypliny. Nie rozmawiaj przez e-mail ani czat, który może czytać osoba atakująca. Używaj kanałów pozapasmowych, dopóki nie potwierdzisz, co jest czyste.
• Nie psuj rzeczy szybciej, niż je rozumiesz. Ciągnięcie kabli sieciowych powstrzymuje atakującego, ale także przerywa dochodzenie, jeśli najpierw nie przechwycisz stanu.

Ochrona wzorce

• Izolacja sieci zainfekowanych hostów — wyłącz ich port przełącznika, przenieś je do kwarantanny VLAN, zakończ sesję VPN.
• Rotacja danych uwierzytelniających dla dowolnego konta, które mogło zostać ujawnione. Zwłaszcza konta usług.
• Wyłącz wektory trwałości — zaplanowane zadania, usługi, automatyczne uruchamianie, konta z backdoorem — ale dopiero po ich udokumentowaniu, ponieważ często stanowią one jedyny zapis tego, co zrobił atakujący.
• Blokuj miejsca docelowe poleceń i kontroli na zaporze i systemie DNS Layer.
• Wymuś ponowne uwierzytelnienie na wszystkich kontach; unieważnij aktywne sesje i tokeny.

Pomoc zewnętrzna

Incydenty powyżej poziomu standardowego złośliwego oprogramowania zwykle wymagają pomocy specjalistycznej:

• IR firmy (CrowdStrike, Mandiant, Volexity, NCC Group, Coalition Incident Odpowiedź) – płatni pracownicy lub praca na stawkę godzinową. Specjalistyczne narzędzia i rozpoznawanie wzorców z wielu wcześniejszych incydentów.
• Counsel — w przypadku obowiązków powiadamiania o naruszeniu, zaangażowania organów regulacyjnych i kwestii płatności okupu.
• Przewoźnik ubezpieczeniowy — jeśli masz ubezpieczenie cybernetyczne, powiadom natychmiast; często mają zatwierdzone listy dostawców i procedury polityczne.
• Legzekwowanie prawa — FBI zajmujące się oprogramowaniem ransomware z USA (szczególnie w przypadku płatności), lokalna policja, krajowe zespoły CERT. Być może nie rozwiążą Twojego incydentu, ale gromadzą informacje o zagrożeniach.
• ISAC i CERTs — społeczności dzielące się informacjami specyficznymi dla danego sektora. Szybki sposób, aby dowiedzieć się, czy inne organizacje widzą tę samą kampanię.

Komunikacja podczas incydentu

Niektóre z najważniejszych decyzji dotyczą komunikacji:

• Komunikacja wewnętrzna. Podstawa wiedzy niezbędnej do momentu zabezpieczenia, a potem szerzej. Unikaj kanałów publicznych, gdzie osoba atakująca może podsłuchiwać.
• Powiadomienie klienta. Często wymagane prawnie w określonych oknach (72 godziny zgodnie z RODO). Opracowane starannie — na tyle niejasne, aby były dokładne w trakcie dochodzenia, wystarczająco szczegółowe, aby były przydatne.
• Powiadomienie organu regulacyjnego. Specyficzne dla sektora (SEC w przypadku istotnych naruszeń, HIPAA w przypadku opieki zdrowotnej, spółki AG w większości stanów USA).
• Oświadczenie publiczne. Jeśli incydent jest lub stanie się publiczny, należy określić czas i ramy. Nie mów więcej, niż wiesz; nie mów mniej, niż jest uczciwie.

Odzyskiwanie i odbudowa

W przypadku poważnych incydentów zasadą jest raczej odbudowa niż czyszczenie. Atakujący pozostawiają mechanizmy trwałości w miejscach trudnych do znalezienia — klucze rejestru, zaplanowane zadania na nietypowych kontach, zmodyfikowane biblioteki DLL, pliki binarne backdoora ze znacznikami czasu dopasowanymi do legalnych plików. Próba wyczyszczenia głęboko zainfekowanego hosta rzadko kończy się sukcesem. Odbuduj ze znanych, dobrych nośników i przywróć dane po skanowaniu.

Kolejność odbudowy również ma znaczenie: najpierw infrastruktura tożsamości (aby poświadczenia były godne zaufania), następnie systemy produkcyjne, a następnie urządzenia użytkowników. Ponowne uruchomienie laptopa użytkownika w usłudze Active Directory, która może być nadal zagrożona, zapewnia atakującemu nowy punkt odniesienia.

Dla osób fizycznych: zmniejszone IR

Jeśli bezpieczeństwo Twoich kont osobistych zostało naruszone:

1. Do reszty użyj znanego i czystego urządzenia — najlepiej nowej maszyny. Nie naprawiaj niczego w potencjalnie zainfekowanym laptopie.
2. Zresetuj swoje główne hasło e-mail i 2FA z czystego urządzenia. Poczta e-mail kontroluje całą resztę.
3. Zresetuj stamtąd bank i dom maklerski.
4. LZapoznaj się z regułami przekazywania wiadomości e-mail — osoby atakujące często dodają przekazywanie dalej, aby przechwycić resetowanie haseł po zmianie hasła.
5. Przejrzyj połączone aplikacje i uprawnienia OAuth; unieważnij nieznane.
6. Uruchom pełne skanowanie w poszukiwaniu złośliwego oprogramowania na oryginalnym urządzeniu; jeśli coś wydaje się nie tak, wyczyść i zainstaluj ponownie.
7. Monitoruj sprawozdania finansowe przez kilka następnych miesięcy — oszustwo po kradzieży danych uwierzytelniających często zdarza się kilka tygodni później.

LWyciągnięte wnioski

Faza, która zostaje pominięta. Przegląd po incydencie powinien odpowiedzieć:

• Jak atakujący dostał się do środka?
• Jakie kontrole detektywistyczne zawiodły?
• Jakie kontrole detektywistyczne go wychwyciły (ostatecznie)?
• Jakie kontrole zapobiegawcze mogłyby to powstrzymać?
• Jaki jest następny krok? zastosować?

Szczera recenzja jest cenniejsza niż sama odpowiedź. Powtarzające się incydenty w tej samej organizacji zwykle odzwierciedlają niewyciągnięte wnioski.