Insident qanchaga tushishini birinchi soat hal qiladi. Shu soatdagi zararning katta qismi hujumchidan emas, yaxshi niyat bilan qilingan ishlardan keladi: kompyuterni o’chirib yoqish, tozalash, dalil ustidan zaxira nusxani tiklash.
Bu ro’yxat muammoni birinchi bo’lib ko’rgan odamlar uchun. Maxsus vosita kerak emas.
1. Vaqtni va ko’rganingizni yozib qo’ying
Hamma narsadan oldin vaqtni, qaysi kompyuter va qaysi hisob ekanini, aynan nima g’alati ko’ringanini yozing. Ekranni telefonda suratga oling. Keyinroq g’alati oyna qayta yuklashdan oldin chiqqanmi yoki keyinmi, hech kim eslamaydi. Voqealar ketma-ketligi esa aynan shunday tafsilotlardan tuziladi.
2. Ajrating, lekin o’chirmang
Kompyuterni tarmoqdan uzing: kabelni sug’uring, Wi-Fi’ni o’chiring yoki EDR konsolida izolyatsiya qiling. Elektr ta’minotiga tegmang.
Xotirada diskda yo’q narsalar turadi: ishlab turgan jarayonlar, tarmoq ulanishlari, shifrlash kalitlari. Kompyuter o’chirilsa, bu dalillar yo’qoladi.
3. Administrator hisobi bilan kirmang
Zararlangan kompyuterga «shunchaki ko’rish uchun» domen administratori hisobi bilan kirgingiz keladi. Hujumchi hali o’sha yerda bo’lsa, kompaniyadagi eng qimmatli parolni o’z qo’lingiz bilan topshirgan bo’lasiz. Lokal hisobdan foydalaning yoki umuman kirmang.
4. Tozalashdan oldin saqlang
Tizimni qayta o’rnatmang, antivirusda to’liq tozalashni ishga tushirmang, zararlangan tizim ustidan zaxira nusxani tiklamang. Virtual mashina bo’lsa, snapshot oling. Pochta, VPN, firewall va domen kontrollerlari loglari o’chib ketmasligiga ishonch hosil qiling: saqlash muddatini hoziroq uzaytiring.
5. Hujumchi o’qiy olmaydigan kanal orqali bog’laning
Pochta buzilgan bo’lishi mumkin bo’lsa, insidentni pochta orqali muhokama qilmang. Telefon yoki korporativ hisoblarga bog’lanmagan messenjerdan foydalaning. Javob jamoasini chaqirishda ham shunday qiling.
6. Qarorni bitta odam qabul qiladi
Bitta koordinator tayinlang. Qolganlar unga hisobot beradi va uning ruxsatisiz zararlangan tizimlarga tegmaydi. Har bir qaror vaqti bilan yozib boriladi.
Agar bu ransomware bo’lsa: birinchi soatda muzokara qilmang va pul to’lamang, shifrlangan fayllarni o’chirmang, to’lov talabi yozilgan faylni saqlab qo’ying. Uchalasi ham dalil, ayrim fayllarni esa keyinroq tiklash mumkin.
Oldindan nimani tayyorlash kerak
| Tayyorlang | Nima uchun |
|---|---|
| Qog’ozga chiqarilgan aloqa ro’yxati | Manzillar kitobi shifrlangan serverda qolgan bo’lishi mumkin |
| Koordinator va uning o’rinbosari | Kim qaror qilishi haqida bahs bo’lmaydi |
| Javob jamoasi bilan retainer shartnoma | Javob vaqti kafolatlangan, hujjatlar oldindan imzolangan |
| Loglarni 90 kun va undan ko’p saqlash | Hujumchi odatda siz sezishingizdan ancha oldin ichkarida bo’lgan |
Insidentni rejalashtirib bo’lmaydi, lekin birinchi soatni mashq qilish mumkin. Tabletop mashq yarim kun oladi va hali hech narsa yonmayotgan paytda kim nima qilishini ko’rsatadi.
