analiza zagrożeń

Analiza zagrożeń to proces identyfikacji i oceny potencjalnych niebezpieczeństw dla systemu pocztowego lub organizacji.

Zakres analizy zagrożeń w środowisku komputerowym

Analiza zagrożeń to uporządkowane rozpoznanie sytuacji, w których laptop, komputer stacjonarny, konto użytkownika albo system pocztowy mogą zostać wykorzystane w sposób niezgodny z przeznaczeniem. Obejmuje identyfikację źródeł ryzyka, określenie podatnych elementów oraz ocenę możliwych skutków. Zagrożeniem może być między innymi złośliwe oprogramowanie, wiadomość phishingowa, kradzież hasła, nieaktualny system, błędna konfiguracja zapory sieciowej albo nieautoryzowany program uruchamiany razem z systemem.

W praktyce nie analizuje się wyłącznie samego urządzenia. Sprawdzeniu podlegają także używane konta, sposób logowania, program pocztowy, przeglądarka internetowa, połączenie z siecią oraz źródła instalowanych plików. Ważne jest rozróżnienie pomiędzy zagrożeniem a podatnością. Podatność oznacza słabość, na przykład brak aktualizacji lub zbyt szerokie uprawnienia, natomiast zagrożenie to zdarzenie albo działanie, które może tę słabość wykorzystać.

Identyfikowanie wektorów ataku i słabych punktów

Jednym z podstawowych etapów jest ustalenie, w jaki sposób niepożądane działanie mogłoby dotrzeć do komputera. W przypadku poczty elektronicznej analizuje się nadawcę, domenę, treść wiadomości, odsyłacze, załączniki oraz sposób żądania danych logowania. Sam widok nazwy nadawcy nie potwierdza autentyczności wiadomości, ponieważ może ona zostać sfałszowana albo pochodzić z wcześniej przejętego konta. Podejrzany odsyłacz może prowadzić do strony wyłudzającej hasło, a załącznik może uruchamiać kod po otwarciu dokumentu lub archiwum.

Na komputerze warto ocenić stan aktualizacji systemu i aplikacji, aktywność ochrony antywirusowej, reguły zapory, listę kont użytkowników oraz programy uruchamiane automatycznie. Znaczenie mają również rozszerzenia przeglądarki, zapisane sesje logowania, nietypowe procesy i połączenia sieciowe. Objawami wymagającymi sprawdzenia mogą być nagłe spowolnienie, samoczynne otwieranie stron, zmiana wyszukiwarki, pojawienie się nieznanych komunikatów, blokowanie plików lub wysyłanie wiadomości bez wiedzy użytkownika. Pojedynczy objaw nie przesądza o infekcji, ale może wskazywać element wymagający dalszej weryfikacji.

Ocena prawdopodobieństwa oraz skutków incydentu

Po wykryciu możliwych zagrożeń trzeba ocenić ich znaczenie. Bierze się pod uwagę prawdopodobieństwo wystąpienia zdarzenia, łatwość wykorzystania podatności, zakres dostępu uzyskanego przez atakującego oraz wartość zasobów, których dotyczy problem. Przejęcie hasła do poczty może umożliwić resetowanie haseł w innych usługach, odczytywanie korespondencji albo wysyłanie wiadomości z wiarygodnego konta. Złośliwy program działający z uprawnieniami użytkownika może zmieniać ustawienia, pobierać kolejne komponenty i uzyskiwać dostęp do plików dostępnych dla tego konta.

Ocena skutków powinna obejmować zarówno utratę dostępności, jak i utratę kontroli nad informacjami zapisanymi lokalnie. Szyfrowanie plików przez ransomware może uniemożliwić pracę, natomiast uszkodzenie profilu pocztowego lub przeglądarki może prowadzić do utraty zapisanych ustawień i aktywnych sesji. Wnioski z analizy powinny wskazywać kolejność działań: od odłączenia podejrzanego urządzenia od sieci, przez zabezpieczenie dostępu do kont, po sprawdzenie systemu i odtworzenie prawidłowej konfiguracji. Nie należy usuwać pochopnie plików ani czyścić historii zdarzeń, jeśli potrzebne jest ustalenie przebiegu incydentu.

Weryfikacja komputera po podejrzanym zdarzeniu

W przypadku laptopa lub komputera PC analiza zagrożeń może obejmować sprawdzenie integralności systemu, autostartu, zainstalowanych aplikacji, rozszerzeń przeglądarki oraz podstawowych logów systemowych. Należy zweryfikować, czy nie pojawiły się nieznane konta, nowe zadania automatyczne, zmienione serwery DNS lub reguły zezwalające aplikacjom na nieoczekiwane połączenia. Jeżeli komputer był używany do logowania do poczty, samo usunięcie podejrzanego programu może nie wystarczyć. Konieczna może być zmiana hasła z bezpiecznego urządzenia i wylogowanie aktywnych sesji w danej usłudze.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną naprawę laptopów, komputerów stacjonarnych PC oraz ich podzespołów, gdy analiza zagrożeń wskazuje na problem z działaniem urządzenia, systemem albo złośliwym oprogramowaniem. Zakres czynności dobiera się do objawów i wyników sprawdzenia: może obejmować diagnostykę, usunięcie niepożądanych komponentów, uporządkowanie konfiguracji oraz przygotowanie systemu do dalszego bezpiecznego użytkowania. Przed ingerencją w dane należy ustalić, które pliki i ustawienia mają zostać zachowane, ponieważ działania naprawcze mogą wymagać zmian w systemie lub ponownej konfiguracji programów.