Первые 24 часа после инцидента
В первые часы после обнаружения атаки одна из главных ошибок — спешка, из-за которой можно потерять важные артефакты и усложнить дальнейшее расследование.
Что делать сразу:
👉 Зафиксировать время обнаружения и начать журнал действий: кто, что и когда сделал.
👉 Изолировать затронутые узлы от сети, по возможности не выключая их до фиксации volatile-данных.
👉 Сохранить логи — SIEM, межсетевые экраны, почта, VPN, Active Directory и другие критичные источники — до того, как сработает ротация.
👉 Зафиксировать оперативную память и снять образы критичных систем. Здесь лучше сразу подключать специалистов по DFIR/форензике, чтобы не повредить артефакты самим.
👉 Определить масштаб: какие системы, учетные записи и данные могли быть затронуты.
Чего лучше не делать до фиксации артефактов:
🚫 Перезагружать и выключать узлы без необходимости — можно потерять содержимое оперативной памяти и другие volatile-артефакты.
🚫 Удалять вредоносные файлы и «чистить» систему до того, как все зафиксировано.
🚫 Массово сбрасывать пароли без сценария реагирования. Это может предупредить атакующего и заставить его сменить тактику.
🚫 Переустанавливать системы до снятия необходимых образов.
🚫 Обсуждать инцидент через каналы, которые потенциально могли быть скомпрометированы. Для координации лучше заранее иметь отдельный доверенный канал связи.
Кого подключать:
➡️ руководителя ИБ и ИТ-команду
➡️ руководство и юристов
➡️ специалистов по реагированию и форензике — внутренних или внешних
➡️ ответственного за персональные данные, если есть признаки утечки ПДн
➡️ для субъектов КИИ — ответственных за взаимодействие с ГосСОПКА/НКЦКИ в рамках применимых требований.
При инциденте с персональными данными сроки действительно жесткие: оператор обязан уведомить Роскомнадзор в течение 24 часов о самом инциденте и в течение 72 часов — о результатах внутреннего расследования.
Но самое важное начинается еще до инцидента.
Если в первые часы команда пытается на ходу понять, кто принимает решения, где лежат логи, кого звать в форензику и через какой канал обсуждать происходящее, время уже потеряно.
Хорошее реагирование начинается не с первого алерта, а с заранее подготовленного плана.
#ПрактикаИБ #IncidentResponse #ЭкспертизаAxxtel