Первые критические часы после взлома IT-инфраструктуры: что делать и как правильно зафиксировать ущерб

Как этого не допустить, порталу BBM рассказал Денис Гойденко, руководитель департамента комплексного реагирования на киберугрозы экспертного центра безопасности Positive Technologies.

Не спешите с «лечением»

Когда становится известно о взломе, у многих возникает естественное желание как можно быстрее остановить происходящее: выключить компьютеры, перезагрузить серверы, удалить подозрительные файлы или срочно переустановить системы. Однако подобные действия далеко не всегда являются правильными.

«Инстинктивная реакция на взлом — немедленно что-то предпринять. Но в большинстве случаев первое правильное действие — остановиться и подумать. Поспешные шаги вроде перезагрузки или выключения машин, переустановки систем или удаления файлов часто наносят больше вреда, чем сама атака: уничтожают данные, нужные для понимания масштаба и вектора проникновения, и при этом не останавливают злоумышленника. Поэтому базовая рекомендация: сначала собрать команду реагирования, оценить картину — и только потом действовать осознанно», — подчеркивает эксперт.

До начала активных действий важно определить, кто будет руководить реагированием, уведомить руководство компании и привлечь внутренних либо внешних специалистов по информационной безопасности.

Когда действовать нужно немедленно

Впрочем, существуют ситуации, когда промедление может привести к еще большим потерям. Один из наиболее опасных сценариев — атака программы-вымогателя, которая в режиме реального времени шифрует корпоративные данные.

«Однако из этого правила есть важные исключения. Классический пример — активное шифрование данных программой-вымогателем. Здесь промедление работает против вас: пока вы оцениваете обстановку, шифровальщик продолжает уничтожать данные. В такой ситуации быстрое отключение пораженных машин может прервать процесс шифрования и спасти ту часть данных, до которой вредонос еще не добрался. То есть необходимо совершить именно то действие, которое в других сценариях было бы ошибкой», — отмечает специалист.

Именно поэтому рекомендовано избегать универсальных рецептов. Каждая атака развивается по собственному сценарию и требует индивидуальной оценки.

Что необходимо сделать в первые часы

Даже если масштаб инцидента пока неизвестен, в первые часы после обнаружения взлома важно выполнить несколько базовых задач:

• зафиксировать время обнаружения инцидента и обстоятельства его выявления;
• определить, какие системы могут быть затронуты;
• ограничить распространение атаки, если это можно сделать без уничтожения цифровых следов;
• сохранить журналы событий (логи), резервные копии и другие данные, которые помогут расследованию;
• уведомить руководство и собрать рабочую группу по реагированию;
• при необходимости привлечь внешних специалистов по расследованию инцидентов.

Почему важно правильно зафиксировать ущерб

Одновременно с техническим расследованием необходимо начинать документировать последствия атаки. Это важно как для внутреннего анализа, так и для взаимодействия со страховыми компаниями, правоохранительными органами или судебными инстанциями.

Что нужно фиксировать:

• перечень затронутых информационных систем;
• время простоя сервисов;
• объем утраченных или зашифрованных данных;
• расходы на восстановление инфраструктуры;
• возможные финансовые потери из-за остановки бизнеса;
• признаки компрометации персональных данных или коммерческой информации.

По возможности следует сохранять скриншоты, журналы событий, сообщения злоумышленников, требования о выкупе, а также не изменять содержимое зараженных систем без необходимости.

Экспертиза должна подключаться сразу

По словам специалистов, наиболее сложные ошибки совершаются именно в первые часы после атаки, когда решения принимаются под давлением времени и нехватки информации.

«Именно поэтому универсального алгоритма не существует. Каждый случай индивидуален, и правильное решение зависит от типа атаки, ее стадии, от того, какие именно системы затронуты и какова их роль в инфраструктуре. Оценить это и выбрать верный шаг под давлением времени может только специалист, сочетающий экспертизу в реагировании на инциденты с конкретным знанием атакованной инфраструктуры. Это ключевой аргумент в пользу того, чтобы подключать такую экспертизу — внутреннюю или внешнюю — в первые же часы, а не пытаться принимать необратимые решения вслепую», — резюмирует эксперт.

Заранее подготовленный план реагирования, распределение ролей внутри компании и контакты внешних специалистов позволяют существенно сократить последствия инцидента. Если же такого плана нет, именно первые часы после обнаружения атаки становятся решающими для минимизации ущерба и успешного восстановления работы бизнеса.