Защитная реакция: Как подготовиться к инцидентам и реагировать на них

При появлении нежелательных событий, которые могут создать серьезную угрозу ИБ, нет времени для размышлений: иногда компанию от катастрофы отделяют считанные минуты, а любая ошибка специалистов может стать фатальной. Поэтому сотрудникам необходимо заранее быть готовыми к возникновению инцидентов и точно знать порядок действий в случае их возникновения.

Выстроенный процесс реагирования на инциденты поможет компании создать надежную систему защиты информации и обеспечить непрерывность бизнеса в условиях постоянно растущих угроз кибербезопасности. В этой статье рассмотрим, как правильно подготовиться к инцидентам, основные этапы реагирования на инциденты информационной безопасности и рекомендации экспертов.

Подготовка к инцидентам

Важный этап реагирования на инциденты — подготовка к ним. Она позволит снизить риски и вероятность ошибок: выявить слабые места и уменьшить количество уязвимостей, распределить роли и обязанности всех, участвующих в реагировании на инциденты, чтобы команда в критический момент знала что делать и действовала максимально эффективно.

Составление плана реагирования на инциденты стоит начать с полной инвентаризации активов и задокументировать критически важные данные, которые вам необходимо защитить. Затем определите возможные риски и актуальные угрозы. Оцените ущерб, который может нанести злоумышленник в каждом из случаев, и приоритезируйте перечень недопустимых событий по размеру потенциального ущерба и серьезности последствий. Для каждого типа инцидентов должны быть разработаны свои подробные регламенты реагирования.

Тарас Дира

Директор центра сервисов информационной безопасности STEP LOGIC

Распространенной ошибкой при составлении плана реагирования на киберинциденты является отсутствие в нем деталей. Он должен быть максимально подробным и четким, содержать конкретные шаги и инструкции, которые сотрудники будут выполнять в случае инцидента, а также разграничивать зоны их ответственности. Другая распространенная ошибка – при разработке плана не привлекают высшее руководство. Это ведет к тому, что итоговый документ не учитывает специфические риски, например, связанные с репутационными потерями. Кроме того, высшее руководство обладает лучшим видением стратегических целей компании и при необходимости сможет предоставить дополнительные ресурсы для повышения качества и параметров плана реагирования.

При создании плана стоит учесть всех специалистов, участвующих в реагировании на инцидент. В состав команды реагирования на инциденты должны входить не только сотрудники ИБ и IT-департаментов, но также юридического и PR-отделов. Каждый участник в такой кросс-функциональной команде должен четко знать свою роль, зону ответственности, полномочия и обязанности. Нетехнические специалисты помогут предпринять правильные действия, связанные с информированием и юридической ответственностью, не допустить нарушения законодательства РФ и появления недостоверной информации в открытом доступе. 

Петр Гурин

Руководитель направления служебных расследований в области ИБ, ПАО «Ростелеком»

Очень важно определить четкие роли и обязанности каждого участника команды реагирования на инциденты, чтобы избежать путаницы и неопределенности. Это касается не только подразделений по информационной безопасности, но также представителей ИТ-подразделений, отвечающих за сопровождение и работоспособность той или иной инфраструктуры, и представителей бизнес-подразделений – владельцев информационных активов, в которых может произойти инцидент ИБ.

Назначьте ответственных и выдайте все необходимые доступы и полномочия. В случае возникновения инцидента счет может идти на минуты. Поэтому полезно провести обучения, тренинги для команды реагирования, наладить коммуникацию между отделами. Тестирование плана позволит выявить недочеты и исправить их.

Семен Рогачев

Руководитель отдела реагирования на инциденты компании «Бастион»

Внедрение плана реагирования на инциденты — это процесс, который необходимо тестировать. При составлении первоначального плана стоит провести небольшое стресс-тестирование — например, попытаться централизованно в различных участках инфраструктуры запустить любое простое ПО в ночь с субботы на воскресенье. Или попробовать с минимальными последствиями сетевым образом изолировать тот или иной участок инфраструктуры во время нерабочих праздничных дней. Необходимо понять, каким образом устроен процесс — от заявки на подобную активность и до ее выполнения, а затем оценить затраченное время. Таким образом, можно отметить, в какой части процесса возможна оптимизация и с кем необходимо заранее договориться, чтобы ускорить эту активность.

Несмотря на то что план реагирования должен быть детальным и подробным, он должен быть простым в исполнении. Одна из распространенных ошибок при создании плана — слишком громоздкий процесс реагирования на инцидент. Организации стараются обезопасить IT-инфраструктуру от несогласованных изменений в работу систем и прописывают в регламенте большое количество согласований. Это замедляет процесс реагирования и мешает оперативной работе ИБ-департамента.

Михаил Прохоренко

Руководитель управления по борьбе с киберугрозами, BI.ZONE

В одной международной корпорации после выявления заражения сотен систем прошло несколько недель, прежде чем были получены согласования всех владельцев систем для зачистки этих систем от заражения. За это время злоумышленники успели заразить еще больше систем и зашифровать инфраструктуру компании. Выходом в таком случае может стать либо особый процесс для реагирования на крупные инциденты, либо наделение особыми полномочиями действовать в обход общего процесса, если особый процесс еще не разработан.

В качестве жертвы злоумышленники могут выбрать любого сотрудника компании, поэтому важно проводить обучение не только для команды реагирования, но и для остальных специалистов. Регулярные тренинги и аттестации помогут сотрудникам научиться распознавать потенциальные угрозы и сохранять бдительность. В процессе обучения можно отрабатывать различные сценарии так, чтобы в случае необходимости каждый сотрудник мог легко связаться с ИБ-специалистами и сообщить об инциденте.

Этапы реагирования на инциденты

Подходов к реагированию на инциденты существует несколько. В основном компании используют схему реагирования на инциденты, разработанную институтом SANS, или следуют рекомендациям Национального института стандартов и технологий (NIST).

Владислав Кормишкин

Аналитик-исследователь угроз кибербезопасности R-Vision

Если в компании нет собственной команды реагирования, важно минимизировать ущерб до того, как привлеченные специалисты смогут прийти на помощь. Прежде всего, необходимо зафиксировать время предполагаемого инцидента и подготовить всю необходимую информацию по инфраструктуре компании, критичным активам и бизнес-системам. Важно собрать все необходимые данные для быстрого предоставления доступов и данных команде реагирования.

Следующим шагом необходимо провести начальную оценку масштаба инцидента: были ли уже выгружены критичные данные, какой потенциальный ущерб был нанесен, какие системы предположительно были скомпрометированы. И в зависимости от полученной информации приступить к временной изоляции затронутых систем для предотвращения дальнейшего распространения внутри компании.

План реагирования на инциденты может состоять из следующих этапов:

• Подготовка. На этом этапе важно провести инвентаризацию активов, проанализировать потенциальные угрозы и приоритезировать их, создать команду реагирования и провести обучение сотрудников.
• Обнаружение и анализ инцидента. Среди ежедневных оповещений о подозрительной активности необходимо не пропустить событие, которое может эскалироваться до уровня инцидента. Специалисты изучают угрозу, собирают данные, узнают цели атакующих, и оповещают заинтересованных лиц.
• Изоляция инцидента. Перед специалистами стоит задача предотвратить распространение угрозы, не дать атакующим получить доступ к другим сегментам системы. Это позволит ограничить нанесенный ущерб.
• Устранение угрозы. Сотрудники, ответственные за реагирование на инциденты, удаляют вредоносные ПО из инфраструктуры.
• Восстановление системы. Служба безопасности восстанавливает работу сети, для этого могут понадобиться резервные копии.
• Пост-инцидентный анализ и улучшение. Команда реагирования проводит оценку инцидента, своих действий и плана реагирования, учитывает ошибки и разрабатывает улучшения.

Семен Рогачев

Руководитель отдела реагирования на инциденты компании «Бастион»

Сценарий отказа от расследования инцидента встречается, но оценить с приемлемой точностью, как часто он наступает, довольно проблематично. Из относительно недавних примеров — мы расследовали инцидент, определили точку входа, через которую в инфраструктуру атакующие попадали как минимум три раза за полтора года. В первый раз зашифровали только точку входа, необходимое по глубине расследование не проводилось, так как была возможность оперативно восстановить устройство из резервной копии, то есть произошло как раз «снятие первичных симптомов». В третий раз атакующие добрались до резервных копий и полностью остановили бизнес-процессы в компании на несколько недель. Данный пример отлично показывает, почему просто восстановить работоспособность недостаточно.

Рекомендации

Реагирование на инциденты будет отличаться в зависимости от конкретной комппании, ее бизнес-процессов, ресурсов и самого инцидента. Но существует ряд принципов, которых стоит придерживаться при возникновении инцидента.

Сохраняйте спокойствие

Если в организации зрелая культура информационной безопасности, то, скорее всего, у специалистов есть план реагирования. Они знают свои роли и действуют в соответствии с ними. Но не у всех компаний есть ресурсы, чтобы содержать ИБ-отдел. Тогда при подозрении на угрозу, необходимо определить инцидент и отключить зараженный сегмент от остальной инфраструктуры. Если внутренняя инфраструктура связана с другими компаниями, будет не лишним сообщить им об инциденте и предупредить об угрозе. А затем обратиться к специалистам, занимающимся кибербезопасностью.

Не навредите

Проверьте знания сотрудников, чтобы в критический момент, их действия не привели к утрате важных данных, потере репутации или нежелательным юридическим последствиям.

Постоянно обновляйте план реагирования

Эксперты по информационной безопасности считают, что план по реагированию нуждается в постоянном обновлении. Иначе, спустя некоторое время он станет неэффективным.

Константин Плясунов

Менеджер по развитию бизнеса ИБ компании «Системный софт»

Чтобы поддерживать надежный план по реагированию, можно порекомендовать следующее:

• установите регулярные интервалы для оценки и обновления вашего плана реагирования, чтобы он оставался актуальным;
• проанализируйте прошлые инциденты, чтобы определить области для улучшения и включить эти выводы в свой план;
• периодически проводите симуляции атаки для проверки своей стратегии реагирования и обеспечение готовности команды.

Обращайтесь за помощью

Встречаются случаи, когда после «снятия первичных симптомов» и возвращения работоспособности, компания отказывается от полноценного расследования инцидента, проведения полноценного аудита и просто продолжает работать дальше. Это приводит к повторным компрометациям и еще более деструктивным последствиям.

Будьте внимательны при публикации информации об инциденте

Убедитесь, что все материалы, которые вы публикуете или распространяете, соответствуют законодательным нормам и внутренним регламентам компании.

Кай Михайлов

Руководитель направления информационной безопасности iTPROTECT

Коммуникация со СМИ и общественностью очень важна – есть всего лишь небольшое количество случаев, когда компании могут себе позволить молчать об инциденте, однако для крупных компаний это почти всегда непозволительно. При огласке факта инцидента важно правильно его подать, признать ошибку, сообщить, что все необходимые меры выполнены. Позиция отрицания фактов, непоследовательность, смена риторики, обвинения непричастных, и множество подобных коммуникаций – плохие кейсы, так делать нельзя.

Заключение

Реагирование на инциденты информационной безопасности является критически важным аспектом для любой организации, стремящейся защитить свои данные и репутацию. Эффективное управление инцидентами требует тщательной подготовки, быстрого реагирования и постоянного улучшения процессов.

Мы рассмотрели основные этапы реагирования на инциденты, начиная с подготовки и обнаружения инцидента до его изоляции и ликвидации последствий. Помните, что реагирование на инциденты — это непрерывный процесс, требующий постоянного внимания и усилий. Внедряя описанные методы и принципы, вы сможете значительно повысить уровень безопасности вашей организации и минимизировать риски, связанные с кибератаками и утечками данных.