Incidenskezelési készenlét
Szerződésben rögzített rendelkezésre állás biztonsági incidens esetére, hogy a baj pillanatában már legyen kit hívni.
Mit vállalunk incidens esetén
A támadás megfékezésétől a működő rendszerig
A készenlét ezt a három feladatot fedi le.
A terjedés megállítása
A támadás terjedésének megállítása az érintett rendszereken. A leválasztás nem alapértelmezett válasz, a mértéke attól függ, meddig ér a baj.
Elhárítás
Az incidens elhárítása az érintett környezetben. A kompromittált hitelesítő adatok cseréjénél az időzítés is számít: a túl korai, kapkodó jelszócsere elárulhatja a támadónak, hogy észrevették.
Helyreállítás
Az érintett rendszerek visszaállítása működő állapotba. Hogy ez néhány napig vagy több hónapig tart, azon múlik, van-e izolált, tesztelt mentés.
A készenlét menete
Előtte, közben, utána
A környezetet még az incidens előtt megismerjük, mert éles helyzetben erre nincs idő.
-
Felkészülés
Az elérhetőséget és a reagálási rendet előre egyeztetjük, és megismerjük a környezetet, hogy baj esetén ne nulláról induljunk. Egyedi megállapodással munkaidőn túli elérhetőséget és rögzített reagálási időt is vállalunk.
-
Az incidens alatt
Riasztás után az egyeztetett rend szerint kapcsolódunk be, és elvégezzük az elhárítási és helyreállítási munkát.
-
Lezárás
Írásban összefoglaljuk, mi történt és mit tettünk. Az incidens megmutatja, mi hiányzott a védelemből, a javaslataink ezek pótlására szólnak.
Szállítandó anyagok
Mit kap a szerződés keretében
vállalt tétel
- Előre egyeztetett elérhetőség és reagálási rend
- A környezet előzetes megismerése, hogy baj esetén ne nulláról induljunk
- Elhárítási és helyreállítási munka az incidens során
- Esemény utáni jelentés és javaslatok
Kapcsolódó szolgáltatások
Ami az incidens előtt dől el
Az incidenskezelés annál gyorsabb, minél előbb észlelik a támadást, és minél biztosabb a visszaállás.
Mentés és katasztrófa-helyreállítás
A mentési rendszer felülvizsgálata vagy kialakítása, hogy egy incidens után ténylegesen vissza lehessen állni belőle.
Végpontvédelem (EDR/XDR)
Viselkedésalapú védelem a munkaállomásokon és szervereken, a gyártó menedzselt felügyeletével (MDR).
Naplógyűjtés és riasztás (SIEM)
Felderítés közben a támadó olyasmit csinál, amit normál üzemben senki. Ez észlelhető, ha van naplógyűjtés, és valaki nézi is a riasztásokat.
OT incidenskezelési protokoll
Az üzemben más a sorrend, és mások a szerepkörök, ezért az OT-környezetre külön eljárásrendet alakítunk ki és gyakoroltatunk.
Gyakori kérdések
Amit a legtöbben kérdeznek
Része a készenlétnek az igazságügyi informatikai vizsgálat?
Nem, igazságügyi informatikai vizsgálatot a szolgáltatás nem tartalmaz. Ha van kiberbiztosítás, a biztosító sokszor előírja, melyik szakértői kört lehet bevonni, ezért ezt érdemes még az incidens előtt megnézni a szerződésben.
Mit tegyünk az első órákban, mielőtt bármihez hozzányúlnánk?
A gépeket ne kapcsolják ki, mert a memóriában lévő nyomok (futó folyamatok, hálózati kapcsolatok, néha maga a titkosítási kulcs) kikapcsoláskor véglegesen elvesznek. A hálózatról le lehet választani őket, áramtalanítani nem szabad. Újratelepítésbe se kezdjenek: ha felülírják a bizonyítékot, a belépési pont nem derül ki, és a támadó ugyanazon az úton visszatérhet. Ha a levelezés vagy a chat érintett lehet, váltsanak külön csatornára, mert a támadó olvashatja a válaszlépések tervezését. Az első nap teendőit időrendben az első 24 óráról szóló cikkünkben írtuk le.
Mikor érdemes riasztani?
Már a gyanú pillanatában. Minél később hívnak segítséget, annál kevesebb bizonyíték marad, a naplók pedig jellemzően rövid megőrzési idővel forognak.
Zsarolóvírus esetén ki kell fizetni a váltságdíjat?
Elhamarkodottan semmiképp. A fizetés sem a visszaállítást, sem az ellopott adat törlését nem garantálja, és több esetben visszatérő célponttá teszi a szervezetet. Erről csak a helyreállítási képesség felmérése után szabad dönteni. A támadás menetéről a zsarolóvírus-védelemről szóló cikkünkben írtunk.
