В первые часы после обнаружения атаки одна из главных ошибок — спешка, из-за которой можно потерять важные артефакты и усложнить дальнейшее расследование.
Что делать сразу:
- Зафиксировать время обнаружения и начать журнал действий: кто, что и когда сделал.
- Изолировать затронутые узлы от сети, по возможности не выключая их до фиксации volatile-данных.
- Сохранить логи — SIEM, межсетевые экраны, почта, VPN, Active Directory и другие критичные источники — до того, как сработает ротация.
- Зафиксировать оперативную память и снять образы критичных систем. Здесь лучше сразу подключать специалистов по DFIR/форензике, чтобы не повредить артефакты самим.
- Определить масштаб: какие системы, учетные записи и данные могли быть затронуты.
Чего лучше не делать до фиксации артефактов:
- Перезагружать и выключать узлы без необходимости — можно потерять содержимое оперативной памяти и другие volatile-артефакты.
- Удалять вредоносные файлы и «чистить» систему до того, как все зафиксировано.
- Массово сбрасывать пароли без сценария реагирования. Это может предупредить атакующего и заставить его сменить тактику.
- Переустанавливать системы до снятия необходимых образов.
- Обсуждать инцидент через каналы, которые потенциально могли быть скомпрометированы. Для координации лучше заранее иметь отдельный доверенный канал связи.
Кого подключать:
- руководителя ИБ и ИТ-команду
- руководство и юристов
- специалистов по реагированию и форензике — внутренних или внешних
- ответственного за персональные данные, если есть признаки утечки ПДн
- для субъектов КИИ — ответственных за взаимодействие с ГосСОПКА/НКЦКИ в рамках применимых требований.
При инциденте с персональными данными сроки действительно жесткие: оператор обязан уведомить Роскомнадзор в течение 24 часов о самом инциденте и в течение 72 часов — о результатах внутреннего расследования.
Но самое важное начинается еще до инцидента.
Если в первые часы команда пытается на ходу понять, кто принимает решения, где лежат логи, кого звать в форензику и через какой канал обсуждать происходящее, время уже потеряно.
Хорошее реагирование начинается не с первого алерта, а с заранее подготовленного плана.