Greitas ir profesionalus kibernetinių incidentų suvaldymas

Kibernetinio incidento metu svarbi kiekviena minutė. Kuo ilgiau užpuolikas išlieka organizacijos infrastruktūroje, tuo didesnė duomenų praradimo, sistemų veiklos sutrikimo ir finansinių nuostolių rizika.

AVEDUS reagavimo į incidentus paslauga padeda organizacijoms operatyviai nustatyti incidento mastą, suvaldyti grėsmę, pašalinti jos priežastis ir saugiai atkurti sistemų veiklą.

Mūsų specialistai analizuoja incidentą techniniu lygmeniu, padeda izoliuoti paveiktas sistemas, nustatyti galimus atakos kelius ir įgyvendinti priemones, mažinančias panašaus incidento pasikartojimo riziką.

Kas yra reagavimas į kibernetinius incidentus?

Reagavimas į incidentus (angl. Incident Response) – struktūrizuotas procesas, skirtas aptikti, analizuoti, suvaldyti ir pašalinti kibernetinio saugumo incidentus bei atkurti normalią organizacijos veiklą.

Incidentu gali tapti išpirkos reikalaujančios programinės įrangos ataka, kenkėjiškas kodas, kompromituota vartotojo paskyra, neteisėta prieiga prie sistemų, duomenų nutekėjimas ar kitas įvykis, keliantis grėsmę organizacijos informacijai ir IT infrastruktūrai.

Svarbiausias tikslas – kuo greičiau sustabdyti incidento plitimą ir sumažinti jo poveikį organizacijai.

Kada reikalingas reagavimas į incidentus?

Profesionalios pagalbos gali prireikti pastebėjus neįprastą veiklą IT infrastruktūroje arba gavus saugumo sistemų įspėjimus.

Dažniausiai reaguojame į:

• išpirkos reikalaujančių programų (ransomware) atakas;

• kenkėjiškos programinės įrangos incidentus;

• kompromituotas vartotojų ar administratorių paskyras;

• neteisėtą prisijungimą prie sistemų;

• įsilaužimus į serverius ir kitą IT infrastruktūrą;

• duomenų nutekėjimo atvejus;

• įtartiną veiklą vidiniame tinkle;

• elektroninio pašto paskyrų kompromitavimą;

• privilegijų eskalavimo ir judėjimo tarp sistemų atvejus;

• kitus įtariamus kibernetinio saugumo incidentus.

Net jei incidento pobūdis dar nėra aiškus, svarbu kuo anksčiau nustatyti, ar organizacijos infrastruktūra iš tiesų buvo kompromituota.

Kaip reaguojame į incidentą?

1. Pirminis incidento įvertinimas

Pirmiausia renkame informaciją apie incidentą, paveiktas sistemas, pastebėtus požymius ir organizacijos atliktus veiksmus.

Nustatome incidento kritiškumą, galimą mastą ir sistemas, kurioms kyla didžiausia rizika.

2. Incidento suvaldymas

Siekiame sustabdyti atakos plitimą ir apriboti užpuoliko galimybes veikti organizacijos infrastruktūroje.

Priklausomai nuo situacijos, gali būti izoliuojami kompromituoti įrenginiai, blokuojamos paskyros, ribojamas tinklo ryšys ar atliekami kiti būtini saugumo veiksmai.

Svarbu grėsmę suvaldyti taip, kad būtų kuo labiau sumažintas poveikis organizacijos veiklai ir išsaugota tyrimui reikalinga informacija.

3. Incidento analizė

Analizuojame sistemų žurnalus, tinklo įvykius, saugumo sprendimų informaciją ir kitus prieinamus duomenis.

Siekiame nustatyti:

• kaip įvyko pirminis įsilaužimas;

• kokios sistemos buvo paveiktos;

• kokiomis paskyromis galėjo būti pasinaudota;

• kaip užpuolikas judėjo infrastruktūroje;

• kokie veiksmai buvo atlikti;

• ar galėjo būti pasiekti arba perduoti organizacijos duomenys.

Tai leidžia suprasti ne tik incidento pasekmes, bet ir jo pirminę priežastį.

4. Grėsmės pašalinimas

Nustačius incidento priežastį pašalinami kenkėjiški komponentai, kompromituotos prieigos ir kitos užpuolikui veikti leidžiančios priemonės.

Taip pat šalinami pažeidžiamumai ir netinkamos konfigūracijos, kurios galėjo būti panaudotos atakai.

5. Sistemų atkūrimas

Pašalinus grėsmę pradedamas saugus sistemų ir paslaugų atkūrimas.

Tikriname, ar atkuriamos sistemos nėra kompromituotos, atnaujiname reikalingus saugumo komponentus ir stebime infrastruktūrą dėl galimo pakartotinio užpuoliko aktyvumo.

6. Incidento analizė ir rekomendacijos

Po incidento įvertiname jo priežastis, poveikį ir naudotas atakos technikas.

Pateikiame rekomendacijas, kaip sustiprinti organizacijos saugumą ir sumažinti panašių incidentų pasikartojimo tikimybę.

Incidento priežasties nustatymas

Vien pašalinti kenkėjišką programą ar užblokuoti kompromituotą paskyrą dažnai nepakanka.

Jeigu nenustatoma pirminė incidento priežastis, užpuolikas gali būti palikęs papildomų prieigos būdų arba tas pats pažeidžiamumas gali būti panaudotas dar kartą.

Todėl siekiame atsakyti į svarbiausius klausimus:

Kaip užpuolikas pateko į infrastruktūrą?

Kiek laiko jis joje veikė?

Kokias sistemas ir paskyras pasiekė?

Kokius veiksmus atliko?

Ar galėjo būti paveikti organizacijos duomenys?

Ką reikia pakeisti, kad toks incidentas nepasikartotų?

Po incidento – stipresnė apsauga

Kibernetinio incidento suvaldymas nėra proceso pabaiga.

Po incidento svarbu pašalinti ne tik jo pasekmes, bet ir saugumo trūkumus, kurie sudarė sąlygas atakai.

Priklausomai nuo nustatytų problemų, gali būti rekomenduojama sustiprinti tinklo segmentavimą, įdiegti daugiafaktorę autentifikaciją (MFA), peržiūrėti privilegijuotas prieigas, atnaujinti pažeidžiamas sistemas, sustiprinti galinių įrenginių apsaugą arba įdiegti papildomas saugumo stebėjimo priemones.

Incidento metu sukaupta informacija taip pat gali būti panaudota tobulinant organizacijos incidentų valdymo procedūras.

Reagavimas į incidentus ir SOC/MDR

Efektyvus reagavimas prasideda nuo kuo ankstesnio incidento aptikimo.

Nuolatinė infrastruktūros stebėsena, saugumo įvykių analizė ir grėsmių aptikimas leidžia identifikuoti įtartiną veiklą dar prieš jai sukeliant didelį poveikį organizacijai.

Todėl reagavimas į incidentus gali būti derinamas su SOC/MDR paslaugomis, kurios užtikrina nuolatinę saugumo įvykių stebėseną, grėsmių analizę ir operatyvų reagavimą.

Reagavimas į incidentus ir NIS2

Gebėjimas aptikti, valdyti ir analizuoti kibernetinius incidentus yra svarbi organizacijos kibernetinio atsparumo dalis.

Organizacijos turi būti pasirengusios ne tik apsisaugoti nuo kibernetinių grėsmių, bet ir turėti aiškius procesus, atsakomybes bei technines priemones incidentams valdyti.

AVEDUS reagavimo į incidentus paslauga gali būti integruojama į platesnį NIS2 pasirengimo, kibernetinio saugumo rizikų valdymo ir SOC/MDR procesą.

Kodėl AVEDUS?

Kibernetinio saugumo ir IT infrastruktūros kompetencija

Mūsų specialistai supranta ne tik kibernetinių atakų metodus, bet ir tinklo, serverių, galinių įrenginių bei saugumo infrastruktūrą.

Incidento analizė nuo tinklo iki galinio įrenginio

Analizuojame skirtinguose infrastruktūros sluoksniuose esančią informaciją, kad būtų galima susidaryti kuo išsamesnį incidento vaizdą.

Orientacija į incidento priežastį

Siekiame ne tik pašalinti matomas incidento pasekmes, bet ir nustatyti, kaip ataka įvyko bei kokius saugumo trūkumus būtina pašalinti.

Nuo incidento suvaldymo iki saugumo sustiprinimo

Po incidento padedame įgyvendinti technines priemones, kurios mažina pakartotinio įsilaužimo riziką ir stiprina bendrą organizacijos kibernetinį atsparumą.