odpowiedź na incydent

Odpowiedź na incydent to zaplanowany zestaw działań podejmowanych po wykryciu zdarzenia bezpieczeństwa.

Zakres odpowiedzi na incydent bezpieczeństwa

Odpowiedź na incydent obejmuje uporządkowane czynności wykonywane od chwili wykrycia podejrzanego zdarzenia aż do przywrócenia bezpiecznej pracy. Incydentem może być między innymi uruchomienie złośliwego programu, przejęcie konta, nieautoryzowane logowanie, szyfrowanie plików przez ransomware, wyciek poświadczeń albo nietypowa komunikacja sieciowa. Sam alert z programu antywirusowego nie przesądza jeszcze o skali problemu. Trzeba ustalić, czego dotyczy zdarzenie, kiedy się rozpoczęło, jakie urządzenia i konta mogły zostać objęte oraz czy zagrożenie nadal działa.

Przygotowanie do reakcji powinno obejmować spis urządzeń, kont użytkowników, krytycznych aplikacji, lokalizacji kopii zapasowych i osób odpowiedzialnych za decyzje. W komputerze z systemem Windows przydatne są między innymi Podgląd zdarzeń, dziennik „Security”, Microsoft Defender oraz informacje o uruchomionych procesach i połączeniach sieciowych. Wpisy 4624 i 4625 w dzienniku „Security” dotyczą odpowiednio udanych i nieudanych prób logowania, a zdarzenie 4688 może rejestrować utworzenie procesu, jeśli odpowiednie inspekcje są włączone.

Ustalenie faktów bez niszczenia śladów

Pierwszym etapem analizy jest zabezpieczenie informacji, które mogą zniknąć po restarcie lub dalszym używaniu komputera. Należy zanotować datę i godzinę wykrycia, komunikaty, nazwy plików, adresy domen oraz działania wykonane przez użytkownika. Czas w różnych systemach powinien być porównywany z uwzględnieniem strefy czasowej i synchronizacji zegara. Bez takiej korelacji łatwo przypisać zdarzenia niewłaściwej kolejności. Nie należy automatycznie kasować podejrzanych plików, jeżeli ich analiza może wyjaśnić sposób działania ataku.

Zakres incydentu ustala się przez porównanie logów systemowych, historii logowań, harmonogramu zadań, usług, rozszerzeń przeglądarki i połączeń sieciowych. W razie potrzeby można odizolować komputer od sieci, odłączając przewód Ethernet lub wyłączając Wi-Fi, ale bez pochopnego wyłączania urządzenia. Jeżeli potrzebna jest kopia podejrzanego pliku, warto obliczyć jej sumę SHA-256 i zapisać ją wraz z datą, źródłem oraz osobą wykonującą czynność. Taki zapis pozwala później sprawdzić, czy analizowany materiał nie został zmieniony.

Ograniczenie zagrożenia i przywrócenie pracy

Powstrzymanie incydentu powinno ograniczyć możliwość dalszego wykonywania kodu, kradzieży danych uwierzytelniających lub rozprzestrzeniania się zagrożenia. W zależności od sytuacji może to oznaczać izolację konkretnego komputera, zablokowanie zainfekowanego konta, unieważnienie aktywnych sesji, zmianę haseł z użyciem zaufanego urządzenia oraz zablokowanie znanych domen lub adresów. Zmiana hasła na tym samym, nadal zainfekowanym komputerze nie jest bezpiecznym rozwiązaniem, ponieważ złośliwe oprogramowanie może przechwycić nowe poświadczenia.

Usuwanie skutków wymaga ustalenia przyczyny, a nie tylko skasowania widocznego pliku. Należy sprawdzić mechanizmy autostartu, zaplanowane zadania, usługi, profile przeglądarek i aktualność systemu. Przy podejrzeniu ransomware nie wolno uruchamiać przypadkowych narzędzi obiecujących odszyfrowanie danych. Odzyskiwanie powinno odbywać się z kopii zapasowej, której integralność i datę wykonania można zweryfikować, po uprzednim usunięciu źródła infekcji. Po przywróceniu systemu trzeba ponownie zainstalować poprawki, włączyć ochronę i sprawdzić logi pod kątem powrotu podejrzanej aktywności.

Dokumentacja, kontrola i wnioski po incydencie

Każda odpowiedź na incydent powinna zakończyć się dokumentacją obejmującą objawy, oś czasu, wykonane działania, wykorzystane źródła danych oraz wynik kontroli. Warto oddzielić fakty potwierdzone logami od hipotez, których nie udało się jeszcze zweryfikować. Przydatne są również informacje o tym, które konta zostały zablokowane, jakie urządzenia odłączono od sieci, z jakiej kopii wykonano odzyskiwanie oraz jakie testy potwierdziły prawidłowe działanie systemu. Dokument nie powinien zawierać przypadkowo skopiowanych haseł, kluczy ani tokenów dostępowych.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego w praktyce serwisowej istotne jest także sprawdzenie, czy komputer po incydencie uruchamia się stabilnie, poprawnie rozpoznaje dysk, pamięć i urządzenia peryferyjne oraz nie generuje nowych błędów systemowych. Wnioski po zdarzeniu mogą prowadzić do włączenia wieloskładnikowego logowania, ograniczenia uprawnień administratora, regularnego testowania kopii zapasowych i aktualizacji oprogramowania. Celem jest nie tylko zakończenie pojedynczego zdarzenia, lecz także zmniejszenie prawdopodobieństwa jego powtórzenia.