Kiberincidents: pirmās 30 minūtes

Vispirms nosaukt novēroto

Pierakstiet, ko tieši pamanījāt: nepieejamu sistēmu, negaidītu pieteikšanos, šifrētu failu vai aizdomīgu ziņojumu. Norādiet pamanīšanas laiku, laika joslu, informācijas avotu un skarto resursu. Pamanīšanas laiks var atšķirties no faktiskā uzbrukuma sākuma. Frāze “darbinieks plkst. 09.15 nevar atvērt failus” ir pārbaudāma; pieņēmums par uzbrucēju vai visu uzņēmuma datu zādzību vēl var nebūt pamatots.

Atsevišķi atzīmējiet nezināmo. Piemēram, pagaidām nav noskaidrots, vai problēma skar citus datorus, vai darbojas rezerves kopijas un vai ir notikusi datu iznešana. Šāds ieraksts palīdz nākamajam speciālistam izvēlēties pārbaudes un novērš nepamatotu pieņēmumu pārvēršanos par “faktiem” vadības saziņā.

Noteikt atbildīgo un saziņas kanālu

Iesaistiet organizācijas IT vai drošības atbildīgo un cilvēku, kurš var pieņemt lēmumu par pakalpojumu apturēšanu. Vienam koordinatoram uzticiet kopējo darbību žurnālu. Ja aizdomas skar e-pastu vai organizācijas kontus, izmantojiet iepriekš zināmu tālruni vai citu uzticamu kanālu. Neveidojiet izmeklēšanas grupu kontā, kuru var lasīt uzbrucējs.

• Pārbaudiet, kurš ir sasniedzams un kam ir nepieciešamās pilnvaras.
• Vienojieties par nākamās situācijas apspriedes laiku un atbildīgo par tās sasaukšanu.
• Norādiet vienu drošu vietu darba piezīmēm un ierobežojiet piekļuvi iesaistītajiem.
• Atsevišķi deleģējiet ziņošanas pienākumu un līgumu nosacījumu pārbaudi.

Ierobežot ietekmi ar saprotamu lēmumu

Ja ierīce aktīvi izplata ļaunatūru vai šifrē koplietojamus failus, tīkla izolēšana var mazināt turpmāko kaitējumu. Konkrēto paņēmienu un ietekmi izvērtē pilnvarots administrators. Ražošanas, medicīnas un citām kritiskām sistēmām neplānota atvienošana pati var radīt būtisku apdraudējumu. Saskaņojiet lēmumu ar sistēmas īpašnieku un fiksējiet, kas tika izolēts un kāpēc.

Automātiski nepārstartējiet un neizslēdziet visas aizdomīgās ierīces. Tādējādi var pazust operatīvās atmiņas dati un aktīvo savienojumu pēdas. Vienlaikus pierādījumu saglabāšana nedrīkst aizkavēt cilvēku drošībai nepieciešamu rīcību. Speciālista uzdevums ir samērot turpmāko kaitējumu, darbības nepārtrauktību un izmeklēšanas iespējas konkrētajā situācijā.

Saglabāt to, kas vēl ir pieejams

Saglabājiet sākotnējos brīdinājumus un vēstuļu oriģinālus. Ekrānattēls palīdz izskaidrot novēroto, taču neaizstāj notikumu žurnālus vai oriģinālu ar metadatiem. Vienojieties par ātri izzūdošu mākoņpakalpojumu, identitātes un drošības žurnālu saglabāšanu. Pirms rīku palaišanas vai datu kopēšanas saskaņojiet metodi ar izmeklētāju; arī labu nolūku vadītas darbības maina sistēmas stāvokli.

Darba žurnālā ierakstiet katras darbības laiku, izpildītāju, mērķi un rezultātu. Plašāk par avotiem, izcelsmes pierakstu un materiālu nodošanu: pierādījumu saglabāšanas ceļvedis.

Ja kolēģis jau ir nomainījis paroli vai pārstartējis datoru, fiksējiet to bez vainošanas. Izmeklēšanā šī informācija palīdz atšķirt uzbrukuma pēdas no reaģēšanas laikā radītām izmaiņām.

Kas notiek pēc pirmajām 30 minūtēm

Nākamajās stundās darbs pāriet no sākotnējās organizēšanas uz pārbaudēm un lēmumiem. Turpmākā tabula ir orientieris, nevis universāls grafiks; kritiskā infrastruktūrā un ražošanā katrs solis prasa atsevišķu saskaņošanu ar sistēmas īpašnieku.

Orientējoša secība pirmajās divās stundās

Laika posms	Galvenais uzdevums	Kurš to izlemj
0–30 min	Fiksēt novēroto, noteikt koordinatoru un drošu saziņas kanālu.	Pirmais novērotājs un IT vai drošības atbildīgais.
30–60 min	Novērtēt tvērumu, saskaņot ierobežošanu un sākt darbību žurnālu.	Pilnvarots administrators kopā ar pakalpojuma īpašnieku.
60–90 min	Saskaņot žurnālu un materiālu saglabāšanu, izvērtēt ārējās palīdzības piesaisti.	Koordinators un vadības pārstāvis.
90–120 min	Sagatavot pirmo situācijas kopsavilkumu un izvērtēt ziņošanas pienākumus.	Koordinators, juridiskais un datu aizsardzības atbalsts.

Ja kāds solis vēl nav izpildīts, tas nav iemesls apturēt pārējos. Pierakstiet, kas palicis atvērts, kurš par to atbild un kad jautājums tiks pārskatīts nākamajā situācijas apspriedē.

Nodot nākamo skaidro uzdevumu

Sagatavojiet īsu nodošanas aprakstu: novērotie simptomi, aptuvenais tvērums, kritiskie pakalpojumi, veiktās darbības, pieejamie pierādījumi un neatbildētie jautājumi. DFIR.lv lokālais incidenta apraksta rīks palīdz sakārtot sākotnējo informāciju PDF dokumentā. Tas neko nenosūta un neizveido oficiālu ziņojumu. Detalizētu materiālu nodošanu saskaņojiet atsevišķi, izmantojot drošu kanālu.

Ja incidentu pārņem cita maiņa vai ārējais speciālists, norādiet arī aizliegtās izmaiņas un vēl gaidāmos apstiprinājumus. Tas novērš atkārtotu darbu un palīdz nepazaudēt iepriekš pieņemta lēmuma pamatojumu. Pārņemšanu apstiprina konkrēts cilvēks.