Όταν μια επιχείρηση εντοπίσει ύποπτη δραστηριότητα, παραβίαση λογαριασμού, malware, ransomware ή πιθανή διαρροή δεδομένων, οι πρώτες αποφάσεις μπορούν να επηρεάσουν σημαντικά την έκταση και τη διάρκεια του περιστατικού.
Το Incident Response είναι η οργανωμένη διαδικασία με την οποία μια επιχείρηση προετοιμάζεται για κυβερνοπεριστατικά, τα εντοπίζει, αξιολογεί τι έχει συμβεί, περιορίζει την επίπτωση και επαναφέρει με ασφάλεια τις λειτουργίες της.
Δεν ξεκινά τη στιγμή της επίθεσης. Η αποτελεσματική αντιμετώπιση εξαρτάται σε μεγάλο βαθμό από όσα έχουν οργανωθεί πριν συμβεί το περιστατικό.
Incident Response δεν σημαίνει απλώς «κλείστε τα πάντα»
Δεν υπάρχει μία ενέργεια που είναι σωστή για κάθε cyber incident. Η απομόνωση ενός συστήματος μπορεί να είναι απαραίτητη σε ένα περιστατικό, ενώ σε άλλο μπορεί να χρειάζεται διαφορετική προσέγγιση για να περιοριστεί η ζημιά χωρίς να διακοπούν άσκοπα κρίσιμες λειτουργίες ή να χαθούν χρήσιμα στοιχεία.
Η αντιμετώπιση πρέπει να βασίζεται στη φύση, την έκταση και την επιχειρησιακή επίπτωση του περιστατικού.
1. Προετοιμαστείτε πριν συμβεί το Incident
Ένα Incident Response Plan πρέπει να καθορίζει εκ των προτέρων ποιος κάνει τι όταν εμφανιστεί ένα σοβαρό security event.
Η επιχείρηση πρέπει να γνωρίζει:
- ποιος συντονίζει την τεχνική αντιμετώπιση,
- ποιος ενημερώνει τη διοίκηση,
- ποιος λαμβάνει επιχειρησιακές αποφάσεις,
- ποιοι εξωτερικοί IT, security, νομικοί ή άλλοι συνεργάτες πρέπει να εμπλακούν,
- πώς γίνεται η επικοινωνία αν το εταιρικό email ή άλλα συστήματα δεν είναι διαθέσιμα,
- πού βρίσκονται τα απαραίτητα στοιχεία επικοινωνίας και recovery documentation.
Το σχέδιο πρέπει να είναι διαθέσιμο ακόμη και αν τα συστήματα που χρησιμοποιούνται καθημερινά δεν λειτουργούν.
2. Γνωρίστε τα κρίσιμα συστήματα και δεδομένα
Η αντιμετώπιση ενός incident είναι πολύ δυσκολότερη όταν η επιχείρηση δεν γνωρίζει ποια assets είναι σημαντικά.
Χρειάζεται βασική εικόνα για:
- servers και endpoints,
- cloud υπηρεσίες και κρίσιμες εφαρμογές,
- εταιρικούς και privileged λογαριασμούς,
- σημαντικά δεδομένα,
- βασικές δικτυακές και επιχειρησιακές εξαρτήσεις,
- υπεύθυνους των κρίσιμων υπηρεσιών.
Αυτή η γνώση βοηθά τόσο στο triage όσο και στον καθορισμό προτεραιοτήτων κατά το recovery.
3. Εντοπίστε και αναφέρετε γρήγορα ύποπτα συμβάντα
Ένα security alert δεν είναι πάντα επιβεβαιωμένο incident. Χρειάζεται όμως διαδικασία ώστε οι σημαντικές ενδείξεις να φτάνουν γρήγορα στο κατάλληλο άτομο για αξιολόγηση.
Πηγές ενδείξεων μπορεί να είναι:
- alerts από endpoint ή identity security εργαλεία,
- ύποπτες συνδέσεις σε εταιρικούς λογαριασμούς,
- αναφορές εργαζομένων για phishing ή ασυνήθιστη συμπεριφορά,
- μη αναμενόμενες αλλαγές σε συστήματα ή δεδομένα,
- security alerts από cloud, email ή δικτυακές υπηρεσίες.
Οι εργαζόμενοι πρέπει να γνωρίζουν πού αναφέρουν ένα ύποπτο περιστατικό χωρίς να χρειάζεται πρώτα να αποδείξουν ότι πρόκειται πράγματι για κυβερνοεπίθεση.
4. Κάντε Triage και καθορίστε προτεραιότητα
Μετά την αρχική αναφορά πρέπει να αξιολογηθεί τι έχει συμβεί και πόσο σοβαρό μπορεί να είναι.
Βασικές ερωτήσεις είναι:
- ποια συστήματα ή λογαριασμοί φαίνεται να επηρεάζονται,
- αν το περιστατικό συνεχίζεται,
- αν επηρεάζονται κρίσιμες επιχειρησιακές λειτουργίες,
- αν υπάρχει πιθανότητα πρόσβασης, απώλειας ή διαρροής δεδομένων,
- αν υπάρχουν ενδείξεις ότι επηρεάζονται περισσότερα συστήματα,
- αν χρειάζεται άμεσο containment.
Η προτεραιότητα δεν πρέπει να καθορίζεται μόνο από το πόσο εντυπωσιακό φαίνεται ένα alert. Πρέπει να λαμβάνονται υπόψη η έκταση, η κρισιμότητα των επηρεαζόμενων assets και η πιθανή επιχειρησιακή επίπτωση.
5. Περιορίστε το Incident με ελεγχόμενο τρόπο
Το containment έχει στόχο να περιορίσει την περαιτέρω ζημιά ή εξάπλωση.
Ανάλογα με το περιστατικό μπορεί να χρειαστεί:
- απομόνωση επηρεαζόμενου endpoint,
- περιορισμός συγκεκριμένης δικτυακής επικοινωνίας,
- απενεργοποίηση ή περιορισμός παραβιασμένου λογαριασμού,
- ανάκληση ενεργών sessions ή tokens,
- προσωρινός περιορισμός μιας ευάλωτης υπηρεσίας.
Οι ενέργειες containment πρέπει να επιλέγονται με βάση το συγκεκριμένο περιστατικό. Η μαζική απενεργοποίηση συστημάτων χωρίς αξιολόγηση μπορεί να δημιουργήσει πρόσθετη επιχειρησιακή ζημιά ή να δυσκολέψει τη διερεύνηση.
6. Διατηρήστε Logs και άλλα χρήσιμα στοιχεία
Κατά την αντιμετώπιση χρειάζεται να προστατεύονται τα διαθέσιμα στοιχεία που μπορούν να βοηθήσουν στην κατανόηση του περιστατικού.
Ανάλογα με την υποδομή και το συμβάν, αυτά μπορεί να περιλαμβάνουν logs, alerts, timestamps, στοιχεία λογαριασμών, network information και άλλα σχετικά artifacts.
Μην διαγράφετε βιαστικά αρχεία, logs ή ολόκληρα συστήματα πριν αξιολογηθεί αν χρειάζονται για investigation, νομικές υποχρεώσεις, ασφαλιστικές απαιτήσεις ή άλλη νόμιμη χρήση.
Σε σοβαρό περιστατικό μπορεί να χρειάζεται εξειδικευμένη forensic υποστήριξη και κατάλληλη διαδικασία διατήρησης των στοιχείων.
7. Ερευνήστε την πραγματική έκταση
Η πρώτη συσκευή ή ο πρώτος λογαριασμός που εντοπίστηκε δεν είναι απαραίτητα ολόκληρο το incident.
Η διερεύνηση πρέπει να προσπαθεί να προσδιορίσει:
- πώς αποκτήθηκε η αρχική πρόσβαση,
- ποιοι λογαριασμοί χρησιμοποιήθηκαν,
- ποια συστήματα επηρεάστηκαν,
- αν δημιουργήθηκε persistence,
- αν υπήρξε πρόσβαση ή εξαγωγή δεδομένων,
- αν παραμένει ενεργή κακόβουλη παρουσία.
Το scope πρέπει να επανεξετάζεται όταν εμφανίζονται νέα στοιχεία.
8. Προχωρήστε σε Eradication
Αφού κατανοηθεί επαρκώς το περιστατικό και περιοριστεί η ενεργή απειλή, πρέπει να αφαιρεθούν οι μηχανισμοί που επιτρέπουν στον επιτιθέμενο να παραμένει ή να επιστρέψει.
Ανάλογα με το incident, αυτό μπορεί να περιλαμβάνει:
- αφαίρεση malware ή άλλων κακόβουλων artifacts,
- διόρθωση ευπαθειών,
- reset ή ανάκληση παραβιασμένων credentials,
- αφαίρεση μη εξουσιοδοτημένων λογαριασμών ή persistence mechanisms,
- ασφαλή rebuild επηρεαζόμενων συστημάτων όπου απαιτείται.
Ο στόχος δεν είναι απλώς να εξαφανιστεί το εμφανές σύμπτωμα, αλλά να αντιμετωπιστεί όσο είναι δυνατό η αιτία και η παραμένουσα πρόσβαση.
9. Επαναφέρετε τις λειτουργίες με ασφάλεια
Το recovery πρέπει να γίνεται ελεγχόμενα και με προτεραιότητα στις κρίσιμες επιχειρησιακές υπηρεσίες.
Πριν ένα σύστημα επιστρέψει σε παραγωγική χρήση, πρέπει να υπάρχει εύλογη βεβαιότητα ότι είναι καθαρό, ότι έχουν αντιμετωπιστεί τα σχετικά security gaps και ότι δεν επαναφέρεται σε ένα περιβάλλον που παραμένει παραβιασμένο.
Όπου χρησιμοποιούνται backups, επιβεβαιώστε ότι τα αντίγραφα είναι κατάλληλα για restore και ότι η διαδικασία δεν επαναφέρει κακόβουλη κατάσταση ή ευάλωτη διαμόρφωση.
Μετά την επαναφορά χρειάζεται αυξημένο monitoring για πιθανές ενδείξεις επανεμφάνισης του προβλήματος.
10. Οργανώστε την επικοινωνία
Ένα σοβαρό cyber incident δεν είναι αποκλειστικά τεχνικό ζήτημα. Μπορεί να απαιτεί συντονισμό μεταξύ IT, διοίκησης, νομικών συμβούλων, DPO ή άλλων υπευθύνων, εξωτερικών συνεργατών, προμηθευτών και ασφαλιστικής εταιρείας, ανάλογα με το περιστατικό.
Οι πληροφορίες που κοινοποιούνται πρέπει να είναι επιβεβαιωμένες όσο είναι πρακτικά δυνατό και η επικοινωνία να ακολουθεί προκαθορισμένους ρόλους.
Αποφύγετε πρόωρες δημόσιες δηλώσεις ή εικασίες σχετικά με την αιτία και την έκταση πριν υπάρχουν επαρκή στοιχεία.
11. Ελέγξτε αν υπάρχει Personal Data Breach
Ένα cyber incident δεν αποτελεί αυτομάτως παραβίαση προσωπικών δεδομένων. Αν όμως έχει οδηγήσει σε καταστροφή, απώλεια, αλλοίωση, μη εξουσιοδοτημένη αποκάλυψη ή πρόσβαση σε προσωπικά δεδομένα, μπορεί να αποτελεί personal data breach σύμφωνα με τον GDPR.
Η επιχείρηση πρέπει να αξιολογήσει έγκαιρα το περιστατικό και τις σχετικές υποχρεώσεις της. Όταν απαιτείται γνωστοποίηση στην αρμόδια εποπτική αρχή, ο GDPR προβλέπει γνωστοποίηση χωρίς αδικαιολόγητη καθυστέρηση και, όπου είναι εφικτό, εντός 72 ωρών από τη στιγμή που ο controller έγινε aware του breach.
Σε περιπτώσεις υψηλού κινδύνου για τα δικαιώματα και τις ελευθερίες των φυσικών προσώπων μπορεί να απαιτείται και επικοινωνία με τα επηρεαζόμενα άτομα.
Για αυτό η αξιολόγηση των υποχρεώσεων προστασίας δεδομένων πρέπει να ξεκινά παράλληλα με την τεχνική διερεύνηση και όχι αφού ολοκληρωθεί ολόκληρο το incident response.
12. Κάντε Post-Incident Review
Όταν σταθεροποιηθεί η κατάσταση, εξετάστε τι μπορεί να μάθει η επιχείρηση από το περιστατικό.
Το review πρέπει να απαντά σε ερωτήσεις όπως:
- τι συνέβη και πώς εντοπίστηκε,
- ποια controls λειτούργησαν και ποια όχι,
- αν η επικοινωνία και η λήψη αποφάσεων ήταν αποτελεσματικές,
- αν υπήρχαν τα απαραίτητα logs και στοιχεία,
- αν το recovery λειτούργησε όπως είχε σχεδιαστεί,
- ποιες τεχνικές ή διαδικαστικές αλλαγές χρειάζονται.
Τα lessons learned πρέπει να μετατρέπονται σε συγκεκριμένες διορθωτικές ενέργειες και να ενημερώνουν το Incident Response Plan, τα security controls και την εκπαίδευση της ομάδας.
Incident Response Checklist για ΜΜΕ
- Υπάρχει Incident Response Plan με σαφείς ρόλους.
- Τα κρίσιμα στοιχεία επικοινωνίας είναι διαθέσιμα και εκτός των καθημερινών συστημάτων.
- Γνωρίζουμε τα κρίσιμα συστήματα, δεδομένα και λογαριασμούς.
- Οι εργαζόμενοι γνωρίζουν πού αναφέρουν ύποπτα συμβάντα.
- Υπάρχει υπεύθυνος για triage και αξιολόγηση security alerts.
- Το containment γίνεται ανάλογα με το συγκεκριμένο incident.
- Διατηρούνται τα απαραίτητα logs και στοιχεία.
- Το scope επανεξετάζεται όταν εμφανίζονται νέες ενδείξεις.
- Η recovery γίνεται ελεγχόμενα και με προτεραιότητες.
- Υπάρχει διαδικασία αξιολόγησης πιθανών personal data breaches.
- Μετά από σημαντικό incident πραγματοποιείται review και καταγράφονται διορθωτικές ενέργειες.
Το Incident Response είναι μέρος της συνολικής ανθεκτικότητας
Καμία επιχείρηση δεν μπορεί να βασίζεται στην υπόθεση ότι όλα τα security controls θα αποτρέψουν κάθε περιστατικό.
Η σωστή προετοιμασία μειώνει τον χρόνο που χάνεται σε κρίσιμες αποφάσεις, βοηθά στον περιορισμό της επίπτωσης και επιτρέπει πιο ελεγχόμενη επαναφορά των επιχειρησιακών λειτουργιών.
Το Incident Response πρέπει επομένως να λειτουργεί μαζί με prevention, monitoring, backups, identity security, vulnerability management και business continuity.
Πώς μπορεί να βοηθήσει η DataShield.gr;
Η DataShield.gr μπορεί να αξιολογήσει την ετοιμότητα μιας επιχείρησης για κυβερνοπεριστατικά και να εντοπίσει κενά σε Incident Response διαδικασίες, monitoring, λογαριασμούς, endpoints, backups και recovery.
Οι κατάλληλες ενέργειες εξαρτώνται από την υποδομή, τα δεδομένα, τις επιχειρησιακές προτεραιότητες και το επίπεδο κινδύνου κάθε επιχείρησης.
Επικοινωνήστε με τη DataShield.gr για μια αρχική αξιολόγηση της ετοιμότητας και ανθεκτικότητας της επιχείρησής σας απέναντι σε κυβερνοπεριστατικά.
