Первый час решает, во сколько обойдётся инцидент. Большая часть ущерба в этот час исходит не от атакующего, а от действий с добрыми намерениями: перезагрузки, очистки, восстановления из резервной копии поверх улик.
Этот список для тех, кто первым заметил проблему. Специальные инструменты не нужны.
1. Запишите время и то, что вы увидели
Прежде всего зафиксируйте время, машину, учётную запись и что именно выглядело странно. Сфотографируйте экран на телефон. Позже никто не вспомнит, появилось ли странное окно до перезагрузки или после, а хронология строится именно из таких деталей.
2. Изолируйте, но не выключайте
Отключите машину от сети: выдерните кабель, выключите Wi-Fi или изолируйте её в консоли EDR. Питание не трогайте.
В памяти хранится то, чего нет на диске: запущенные процессы, сетевые соединения, ключи шифрования. После отключения питания эти улики исчезают.
3. Не входите под администратором
Хочется зайти на поражённую машину под учётной записью администратора домена, «просто посмотреть». Если атакующий ещё там, вы сами отдали ему самый ценный пароль в компании. Используйте локальную учётную запись или не входите вовсе.
4. Сохраните, прежде чем чистить
Не переустанавливайте систему, не запускайте полную очистку антивирусом, не восстанавливайте резервную копию поверх поражённой системы. Если это виртуальная машина, сделайте снимок. Убедитесь, что журналы почты, VPN, межсетевого экрана и контроллеров домена не будут затёрты: продлите срок хранения прямо сейчас.
5. Связывайтесь по каналу, который атакующий не читает
Если почта может быть скомпрометирована, не обсуждайте инцидент по почте. Используйте телефон или мессенджер, не привязанный к корпоративным учётным записям. То же касается вызова команды реагирования.
6. Решает один человек
Назначьте одного координатора. Остальные докладывают ему и ничего не делают с поражёнными системами без его слова. Каждое решение записывается с указанием времени.
Если это ransomware: не вступайте в переговоры и не платите в первый час, не удаляйте зашифрованные файлы и сохраните записку с требованием выкупа. Всё это улики, а часть файлов позже удаётся восстановить.
Что подготовить заранее
| Подготовьте | Зачем |
|---|---|
| Распечатанный список контактов | Адресная книга может остаться на зашифрованном сервере |
| Координатора и его заместителя | Никто не спорит о том, кто принимает решения |
| Retainer-договор с командой реагирования | Время реакции гарантировано, документы уже подписаны |
| Хранение журналов 90 дней и дольше | Обычно атакующий был внутри задолго до того, как вы заметили |
Инцидент нельзя запланировать, но первый час можно отрепетировать. Tabletop-учение занимает полдня и показывает, кто что делает, пока ещё ничего не горит.
