Pirmosios 60 minučių po pažeidimo: ką turėtumėte daryti

Tą akimirką, kai supranti, kad kažkas negerai, nesvarbu, ar tai išpirkos programos pranešimas, įspėjimas iš stebėsenos sistemos, kliento pranešimas apie sukčiavimą, ar keistai veikianti administratoriaus paskyra, instinktas yra arba panikuoti, arba iškart pradėti visą ką traukti iš tinklo. Abi reakcijos yra suprantamos, ir abi gali pabloginti padėtį. Štai, kas iš tiesų padeda tą pirmąją valandą.

Pirma: nesunaikinkite įrodymų perkraudami ar perinstaliuodami paveiktas sistemas, kad ir kaip norėtumėte „tiesiog tai sutvarkyti“. Kriminalistiniai įrodymai apie tai, kaip užpuolikas prasiskverbė ir ką jis palietė, dažnai gyvuoja atmintyje ir žurnaluose, kuriuos perkrovimas gali išvalyti. Jei nesate tikri, ar sistemą saugu palikti veikiančią, izoliuokite ją nuo tinklo, o ne išjunkite. Atjunkite tinklo laidą arba išjunkite tinklo sąsają, ne maitinimą.

Antra: suvaldykite, o ne paniškai išjunkite visą ką. Paveiktų sistemų izoliavimas nuo tinklo sustabdo užpuoliko prieigą, nesunaikinant įrodymų, kurių reikės norint suprasti, kas nutiko. Visos aplinkos išjungimas vienu metu retai yra būtinas ir dažnai padaro daugiau operacinės žalos nei pats incidentas.

Trečia: iš karto pradėkite laiko juostą, net grubią, paprastame tekstiniame faile: ką pastebėjote, kada, ir kokių veiksmų ėmėtės nuo tada. Tai skamba biurokratiškai tuo metu, tačiau per kelias valandas tampa būtina: jūsų pačių reagavimo į incidentus komandai, teisininkams, o galbūt ir reguliavimo institucijoms ar draudikams, kurie paklaus lygiai to pačio.

Ketvirta: pirmiausia į kambarį pasikvieskite tinkamus žmones, o ne netinkamus. Tai reiškia: savo reagavimo į incidentus kontaktą (vidinį ar išorinį), o dažniausiai ir teisininkus, kuo anksčiau, prieš viešą pareiškimą, prieš laiškų siuntimą paveiktiems klientams ir paprastai prieš teisėsaugos įtraukimą, kad šie žingsniai vyktų tinkama tvarka su tinkamomis konsultacijomis. Tai nereiškia, kad apie incidentą reikia pranešti visai įmonei, kol nesuprantate jo apimties. Neapgalvota, neinformuota komunikacija pirmą valandą dažnai sukuria sumaištį, kurią reaguojantys žmonės vėliau turi visą dieną narplioti.

Penkta: laikykite, kad kol kas nežinote pilnos apimties, nes iš tiesų nežinote. Per pirmą valandą kyla pagunda paskelbti, kad „nukentėjo tik šita sistema“. Pirminis matomumas beveik visada yra neišsamus. Vertinkite ankstyvus įvertinimus kaip darbinę hipotezę, kurią reikia patvirtinti tyrimu, o ne kaip galutinę išvadą, kurią reikia skelbti išorei.

Šešta: išsaugokite, o ne patys tirkite, jei tik neturite savo vidinio kriminalistinio pajėgumo. Gerų norų vedamas neįprastų darbuotojų knebinėjimasis yra viena dažniausių priežasčių, kodėl įrodymai užteršiami ar sunaikinami. Jei turite sutartį su reagavimo į incidentus paslaugos teikėju, dabar yra tas momentas jiems paskambinti. Sutarties vertė tiksliai ir yra tame, kad šis skambutis įvyksta penktą minutę, o ne po dienos, kai jūsų komanda pati bando tai išsiaiškinti.

Įmonės, kurios iš pažeidimo išeina geriausioje būklėje, nėra tos, kurios niekada nebuvo pažeistos. Visi anksčiau ar vėliau tampa tikslu. Tai tos, kurios turėjo planą pirmajai valandai, kol jo dar nereikėjo, todėl ta valanda praleista vykdant planą, o ne diskutuojant, ką daryti.