Компания Softline описала действия, которые следует предпринять в первые минуты после кибератаки. По её рекомендации, действовать нужно по двум направлениям сразу: расследование и сдерживание, а также восстановление продуктивности. Об этом сообщает «Код Дурова».
«Если инфраструктура скомпрометирована, стоит немедленно «заморозить« её — отключить от интернета и остановить бизнес-процессы. В Softline советуют сразу высадить команду инженеров, которые будут проверять каждый сервер и рабочую станцию, искать индикаторы компрометации, снимать образы серверов и исследовать оставшиеся лог-файлы», — пишет «Код Дурова».
По этим следам в дальнейшем будет раскручиваться цепочка атаки. Пока одна команда расследует инцидент, вторая восстанавливает работу: при сохранённых бэкапах данных в защищённом облаке разворачивается чистая инфраструктура, поднимаются из дистрибутивов инфраструктурные службы и бизнес-критичные информационные системы, а всё закрывается сетевым экраном со строгими правилами доступа и иными необходимыми средствами защиты. Пользователи начинают функционировать в новой безопасной среде.
После завершения расследования команда возвращается к старой инфраструктуре. Рабочие станции, как правило, проще переустановить, чем исследовать на предмет компрометации. Серверы проверяются поэкземплярно с использованием EDR- и NTA-решений, и если признаков заражения нет, их переводят в изолированный сегмент сети и затем подключают к новой инфраструктуре. Отмечается, что данный подход не является универсальным решением, а лишь одним из возможных сценариев.
В Softline рекомендуют разворачивать абсолютно чистую инфраструктуру, изначально не скомпрометированную, на отдельных мощностях, например в новом облаке. Сразу до переноса данных из скомпрометированной инфраструктуры следует устанавливать и настраивать средства защиты. Прежде всего это межсетевой экран, сконфигурированный по принципу белого списка: это лишает злоумышленников возможности взаимодействовать с удалёнными командными центрами, даже если их код где-то остался. Далее нужно провести полное сканирование на уязвимости, а также проверить и установить все актуальные обновления.
Руководителям в сфере ИБ, по данным Softline, важно помнить, что речь идёт о постоянном управлении рисками, а не о выработке противодействия отдельной атаке. Рекомендуется обеспечить стопроцентное покрытие всей восстановленной инфраструктуры современными EDR-системами, которые отслеживают поведенческие аномалии.