brak procedur reagowania na incydent

Brak procedur reagowania na incydent to luka organizacyjna opóźniająca skoordynowaną odpowiedź na zdarzenie bezpieczeństwa.

Na czym polega luka pojęciowa i organizacyjna

Brak procedur reagowania na incydent oznacza, że organizacja nie ma ustalonego sposobu postępowania po wykryciu zdarzenia mogącego naruszać poufność, integralność albo dostępność systemu. Incydentem może być między innymi uruchomienie złośliwego programu, przejęcie konta użytkownika, nieautoryzowana zmiana konfiguracji, utrata dostępu do plików, szyfrowanie danych przez ransomware albo nietypowy ruch sieciowy wskazujący na próbę włamania. Sama luka nie jest więc konkretnym błędem systemu operacyjnego. Dotyczy procesu podejmowania decyzji, przekazywania informacji i wykonywania działań technicznych.

Procedura powinna określać co najmniej sposób zgłoszenia zdarzenia, kryteria uznania go za incydent, osoby odpowiedzialne za kolejne decyzje, kolejność czynności oraz reguły dokumentowania. Bez takiego ustalenia pierwsza osoba, która zauważy problem, może usunąć podejrzane pliki, wyłączyć komputer, zrestartować usługę albo rozpocząć samodzielne czyszczenie systemu. Takie działanie czasem ogranicza skutki, ale może też usunąć dane potrzebne do ustalenia przyczyny i zakresu zdarzenia.

Skutki braku ustalonej kolejności działań

Najczęstszym skutkiem jest opóźnienie między wykryciem a ograniczeniem incydentu. Jeżeli nie wiadomo, kto ma przejąć zgłoszenie, pracownicy mogą przekazywać je między sobą albo czekać na decyzję osoby niedostępnej. W tym czasie napastnik może utrzymać aktywną sesję, wykorzystać zapisane dane uwierzytelniające, rozszerzyć dostęp na inne urządzenia lub zmienić ustawienia utrudniające późniejszą analizę. W przypadku złośliwego szyfrowania plików opóźnienie może zwiększyć liczbę niedostępnych katalogów i kopii sieciowych.

Brak procedury utrudnia także odróżnienie awarii technicznej od zdarzenia bezpieczeństwa. Nagłe spowolnienie laptopa może wynikać z obciążenia procesora, ale może również towarzyszyć działaniu programu wydobywającego kryptowalutę lub narzędzia zdalnego dostępu. Wielokrotne logowania z nieznanych lokalizacji, wyłączenie ochrony antywirusowej, pojawienie się nowego konta albo zmiana reguł zapory wymagają innej reakcji niż zwykła usterka sprzętowa. Bez zdefiniowanych sygnałów alarmowych takie oznaki mogą zostać potraktowane jako niezależne, przypadkowe problemy.

Elementy techniczne poprawnej reakcji

Praktyczna procedura powinna rozdzielać fazę zgłoszenia, kwalifikacji, ograniczenia skutków, analizy i przywrócenia działania. Na początku należy zapisać czas wykrycia, nazwę urządzenia, konto użytkownika, objawy oraz źródło informacji. Następnie trzeba ustalić, czy urządzenie powinno zostać odłączone od sieci, czy można je pozostawić włączone do zebrania danych ulotnych. Nie każda sytuacja wymaga natychmiastowego wyłączenia zasilania, ponieważ restart może usunąć zawartość pamięci operacyjnej, aktywne procesy i część informacji o połączeniach.

Ograniczenie incydentu może obejmować odłączenie kabla sieciowego, rozłączenie Wi-Fi, zablokowanie konta, unieważnienie aktywnych sesji, zmianę hasła z bezpiecznego urządzenia lub odseparowanie zainfekowanego komputera od pozostałych. Działania powinny być odnotowane wraz z godziną i osobą wykonującą operację. Analiza może wymagać sprawdzenia dzienników systemowych, historii logowania, wykazu uruchomionych procesów, zadań zaplanowanych, ostatnio zmienianych plików oraz alertów oprogramowania ochronnego. Kopie dowodów powinny być przechowywane bez nadpisywania oryginałów, a wnioski należy oddzielać od niepotwierdzonych hipotez.

Przywrócenie działania i wnioski po incydencie

Po opanowaniu zdarzenia trzeba potwierdzić, że usunięto przyczynę, a nie tylko widoczny objaw. Samo skasowanie wykrytego pliku może być niewystarczające, jeśli zmieniono ustawienia autostartu, dodano konto, zainstalowano narzędzie zdalnego dostępu albo ujawniono hasło. Przywracanie plików powinno korzystać ze sprawdzonej kopii zapasowej, której zawartość nie nosi śladów infekcji. Po ponownym podłączeniu urządzenia do sieci należy obserwować logowania, procesy i komunikację, aby wykryć ewentualny powrót problemu.

Końcowa dokumentacja powinna zawierać oś czasu, opis objawów, wykonane czynności, ustaloną przyczynę, zakres wpływu oraz działania zapobiegawcze. Wnioskiem może być potrzeba aktualizacji systemu, zmiany uprawnień, włączenia wieloskładnikowego uwierzytelniania, poprawy kopii zapasowych albo doprecyzowania ścieżki eskalacji. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów i komputerów PC, dlatego przy objawach wskazujących na awarię lub nieprawidłowe działanie urządzenia można rozpocząć od technicznej diagnostyki sprzętu i systemu.