Зачем айтишник за 30 секунд завод выключил
Глянул на днях вот этот выпуск подкаста "Не защищены" от "Инфосистемы Джет", где Ринат Сагиров (руководит у них центром мониторинга и реагирования) рассказывает, что делать компании сразу после взлома. В 4-м выпуске он общается с людьми, которые сталкивались с реальными атаками: IT-директором российского Great Wall Motor и замдиректором по ИБ "Дом. РФ Технологии".
Там были разные тезисы. Например, что атака обязательно будет в самый неудобный момент - когда в самолёте летите или в выходные отдыхаете (одного из гостей она застала в Питере с женой, другая команда просидела в расследовании всё 8 марта). Что бизнесу в первые дни не нужны детали взлома. И про "написанные кровью" ценные плейбуки, которые в момент икс естественно никто не откроет.
Но больше всего меня зацепила история ИТ-директора Great Wall Motor. На мой взгляд, она хорошо показывает, насколько решение во время атаки может расходиться с привычной айтишной логикой.
Вскрыли компанию, IT-директор получает звонок, у него 5 минут на осознание и 30 секунд на решение. И он решает: выключаем вообще ВСЁ - завод, офис, дистрибуцию и даже сервисы, которые не были скомпрометированы, хотя на тот момент речь шла об одной хакнутой системе. И хорошо, что он смог донести до бизнеса истину: "либо стоим один день, либо теряем всё и восстанавливаемся неделями". Мог и не донести, но тут получилось грамотно "надавить на нужный KPI".
Ретроспективно решение верное. Но смотрите, кто его принимал - Директор по ИТ, у которого главный KPI = доступность систем. То есть, человек своими руками обнулил собственный ключевой показатель, но это стало самым верным решением. Потому что в этот момент важнее сохранить возможность вообще запустить компанию обратно. Кибербез - это наверно единственная корпоративная функция, где хорошая работа выглядит как "ничего не произошло", а правильное действие в кризис внешне похоже на саботаж 🤔
Конечно, выключать всё при любой атаке нужно не всегда. В выпуске отдельно обсуждают, когда можно изолировать только часть инфраструктуры. Но чтобы выбирать между этими вариантами, хорошо бы заранее понимать, как у вас все связано, что можно отрубить, и из чего потом восстанавливаться. Вот тут и нужна та самая скучная база: проверенные бэкапы, знание инфраструктуры и т.д. Потому что в момент атаки будет не до изучения всего этого, мягко говоря.
Дальше у того IT-директора из видоса было три месяца "откровенной паранойи", и коллеги даже подходили и говорили "ну нормально же всё, чо ты начинаешь". Вот тут я его отлично понимаю. У меня пару лет назад чуть не угнали канал - уже влезли, я успел выкинуть вовремя, всё поменял, и вообще потом упоролся по защите, но осадочек такой, что ещё внукам хватит. Теперь проверяю сессии минимум утром и вечером, хотя Телега сама обычно орёт о подозрительных входах. И это какой-то там канал (ладно, не какой-то там, а лучший во всей Телеге!), а там у ребят целый завод с кучей людей и данных.
Короче, обоснованная трезвая паранойя - это единственный реально работающий механизм защиты. Но лучше воплотить ее в понятный план. Какие бы бюджеты, регламенты и NGFW за кучу деняк ни встраивали - риск взлома остается. Поэтому "стелить соломку” стоит до рокового звонка: отработать сценарий реагирования, проверить восстановление и определить того самого везунчика, который в день икс сможет принять решение об остановке сервисов.
P.S. Не просто так даже в 2026 году, когда есть самые разные сценарии атаки и технические средства и т.д., чаще всего всё начинается с фишинга и соц-инженерии.