Инцидент с шифровальщиком — это прямая угроза непрерывности бизнеса. Если вы читаете этот текст, знайте, вы не первые столкнулись с данной проблемой. По статистике Лаборатории цифровой криминалистики F6 8 из 10 инцидентов связаны с шифровальщиками.
Ниже — краткий порядок действий и ключевые риски, если вы пытаетесь справиться своими силами.
Первые действия: сдерживание и локализация инцидента
Ваша задача — остановить распространение атаки и сохранить максимум данных для анализа.
Немедленно выполните:
1. Изолируйте хранилища резервных копий от сети инфраструктуры и интернета
2. Изолируйте сеть компании от сети Интернет, чтобы лишить атакующих доступа к системам ИТ-инфраструктуры
3. Смените пароли учетных записей с высоким уровнем привилегий, включая локальные.
4. Не перезагружайте и не выключайте хотя бы часть скомпрометированных систем до консультации с профильными специалистами по киберугрозам. В оперативной памяти и текущих процессах могут находиться ключевые следы атаки. Перезагрузка уничтожает эту информацию и усложняет анализ.
5. Не удаляйте сразу подозрительные или поврежденные в результате атаки файлы, включая зашифрованные диски виртуальных машин. Не форматируйте диски пострадавших компьютеров. Удаление этих данных может привести к потере важной информации, и как следствие отразиться на качестве реагирования и безопасного восстановления.
6. Свяжитесь и проконсультируйтесь с профильными компаниями по реагированию на инциденты и киберугрозам.
7. Если нет возможности быстро связаться с экспертами, то соберите дампы оперативной памяти или сделайте снапшоты критически важных систем.
Почему важно не действовать в одиночку
Ликвидация последствий кибератак без привлечения профессионалов зачастую приводит к повторным атакам из-за неполноценного реагирования. Вот, почему это происходит:
- Внутренние ИТ-команды закономерно сосредотачиваются на восстановлении работоспособности систем, а не на глубоком анализе атаки. В результате компания устраняет только видимые последствия, тогда как точка входа, поэксплуатированные уязвимости, реальные причины компрометации и способы закрепления в инфраструктуре остаются неизвестными. Это означает, что злоумышленник может сохранять доступ, а риск повторной атаки остается высоким.
- Дополнительная проблема — потеря критически важных данных из-за неверных действий. Перезагрузка серверов, форматирование дисков, очистка логов или удаление «подозрительных» файлов уничтожают следы атаки. В таких условиях становится невозможным провести полноценный анализ инцидента и сформировать доказательную базу, в том числе для взаимодействия с правоохранительными органами.
- Отдельный фактор — время. Попытки «разобраться своими силами» часто растягиваются на дни или недели без гарантированного результата. Все это время бизнес либо простаивает, либо работает с ограничениями: срываются SLA, возникают штрафы, теряются клиенты и падает доверие. В отличие от этого, профильные команды реагирования позволяют сократить время введения критических систем в эксплуатацию до часов и вернуть фундаментальные процессы в рабочее состояние значительно быстрее.
Ваши данные пошифровали и нужна оперативная помощь сейчас?
Если ваш ответ «да», специалисты Лаборатории цифровой криминалистики F6, готовы оперативно остановить атаку и минимизировать последствия для вашей компании. В рамках реагирования мы:
1. Если возможно проведем атрибуцию группировки атакующих и рекомендуем как ей противостоять.
2. Проведем установочную встречу, на которой озвучим первичные рекомендации по локализации именно вашего инцидента.
3. Создадим каналы для оперативного взаимодействия.
4. Предоставим инструменты и инструкции по сбору криминалистических артефактов.
5. Приступим к анализу полученных данных, на основании которого предоставим рекомендации по локализации угроз, рекомендации по восстановлению и выявленные индикаторы компрометации.
6. Опционально, без увеличения стоимости подключим пилотный проект нашего продукта MXDR с мониторингом вашей инфраструктуры 24/7/365.
Наконец, мы предоставим отчет о проведенном реагировании, который при необходимости может лечь в основу для возбуждения уголовного дела в правоохранительных органах. Отчет будет понятен и полезен как для топ-менеджмента компаний, так и для технических специалистов. Он включает в себя:
- Обстоятельства инцидента — содержит информацию о состоянии инцидента на момент обращения к нам.
- Краткое описание инцидента, или его обзор, — представляет из себя краткую выжимку по отчету без глубоких технических подробностей. Данный раздел будет интересен топ-менеджменту компании клиента для понимания причин кризисной ситуации.
- Табличное представление тактик, техник и процедур (в соответствии с MITRE ATT&CK®), использованных злоумышленниками в развитии атаки.
- Подробное описание инцидента, поэксплуатированных уязвимостей (если возможно), возможные или установленные источники атаки, выявленные адреса сетевой инфраструктуры атакующих, результаты анализа вредоносного ПО (если оно было задействовано) и иная информация, касающаяся инцидента.
- Индикаторы компрометации — раздел, в котором содержатся все индикаторы, обнаруженные в ходе реагирования.
- Точечные рекомендации по повышению уровня защищенности и недопущения подобных инцидентов под каждый из сегментов вашей инфраструктуры.
Листая дальше, вы перейдёте на f6.ru-incident-response