Reagowanie na incydenty — pomoc po cyberataku dla firm

Pierwsze minuty po wykryciu ataku

• odłącz zainfekowane komputery od sieci (kabel, Wi-Fi), ale ich nie wyłączaj,
• zapisz godzinę wykrycia – od niej liczą się terminy zgłoszeń,
• nie usuwaj plików, wiadomości ani reguł w skrzynce – to ślady,
• zmień hasła do kluczowych kont z innego, czystego urządzenia,
• napisz do nas z tematem INCYDENT i krótkim opisem, co widzisz.

Najczęstsze incydenty, z którymi przychodzą firmy

Ransomware, czyli zaszyfrowane pliki i serwery z żądaniem okupu. Przejęte skrzynki pocztowe i fałszywe faktury z podmienionym numerem konta – opisaliśmy to w artykule przejęta skrzynka pocztowa w firmie. Przejęte konta Microsoft 365, złośliwe oprogramowanie z załączników, włamania przez niezaktualizowane systemy wystawione do internetu.

Każdy z tych scenariuszy wymaga trochę innej kolejności działań, ale zasada jest wspólna: najpierw zatrzymać atak i zabezpieczyć ślady, dopiero potem sprzątać.

Zgłoszenia i terminy

Jeśli doszło do naruszenia danych osobowych, administrator ma 72 godziny na zgłoszenie do UODO, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla osób, których dane dotyczą. Podmioty kluczowe i ważne z ustawy o KSC wysyłają wczesne ostrzeżenie w 24 godziny od wykrycia incydentu poważnego i pełne zgłoszenie w 72 godziny – szczegóły w artykule incydent poważny w KSC. Każdy incydent można też zgłosić do CERT Polska przez incydent.cert.pl.

Czego nie robić

Nie przywracaj systemów do tej samej, niezabezpieczonej sieci, zanim nie zamkniesz drogi, którą wszedł atakujący, i nie sprawdzisz, czy kopia jest czysta – inaczej wróci tą samą drogą. Nie formatuj też dysków, zanim nie zabezpieczysz śladów. Nie negocjuj samodzielnie z przestępcami. Nie wysyłaj nowych haseł e-mailem, jeśli poczta mogła być przejęta. I nie zakładaj, że skoro antywirus „nic nie znalazł”, to problemu nie ma.

Co dzieje się po opanowaniu incydentu

Dostajesz raport: co się stało, od kiedy atakujący miał dostęp, co mogło wyciec, co zostało zgłoszone i co zmienić. Typowe zalecenia to MFA dla wszystkich kont, kopie zapasowe odcięte od sieci, ochrona stanowisk klasy EDR i stały monitoring SOC, który następnym razem zauważy atak wcześniej.

Najlepiej mieć plan przed incydentem

Firmy, które przećwiczyły scenariusz ataku, reagują szybciej i spokojniej, bo wiedzą, kto decyduje, kto dzwoni i gdzie są kopie. Jak wygląda takie ćwiczenie, opisaliśmy w artykule symulacja ataku ransomware w firmie.