podejrzenie naruszenia

Podejrzenie naruszenia to sytuacja wymagająca oceny, czy doszło do incydentu podlegającego zgłoszeniu do UODO.

Co oznacza podejrzenie naruszenia w środowisku komputerowym

Podejrzenie naruszenia pojawia się wtedy, gdy istnieją konkretne przesłanki wskazujące, że komputer, laptop, konto użytkownika albo zapisane na urządzeniu informacje mogły zostać użyte w sposób niezgodny z uprawnieniami. Samo podejrzenie nie przesądza jeszcze, że doszło do potwierdzonego incydentu. Jest sygnałem do zabezpieczenia urządzenia, zebrania śladów technicznych i ustalenia, co faktycznie się wydarzyło. W praktyce podejrzenie może wynikać między innymi z nieznanego logowania, pojawienia się nowego programu, zmiany ustawień systemu, nietypowej aktywności sieciowej lub nagłego ujawnienia plików osobie nieuprawnionej.

Ocena takiej sytuacji wymaga rozdzielenia faktów od przypuszczeń. Komunikat programu antywirusowego, wiadomość o logowaniu czy zablokowane konto są dowodami wystąpienia określonego zdarzenia technicznego, ale nie zawsze wyjaśniają jego przyczynę i zakres. Należy ustalić, którego urządzenia, konta i plików dotyczy zdarzenie, kiedy mogło wystąpić oraz czy później następowały kolejne podejrzane działania. Dopiero zestawienie tych informacji pozwala określić, czy sytuacja była błędną konfiguracją, próbą ataku, skutecznym dostępem osoby trzeciej, czy zwykłym działaniem użytkownika.

Ślady techniczne potrzebne do oceny zdarzenia

Podstawą analizy są dane zapisane lokalnie i w usługach, z których korzysta urządzenie. W systemie Windows istotne mogą być między innymi dzienniki zabezpieczeń w Podglądzie zdarzeń, historia logowania użytkowników, informacje o uruchamianych procesach, zadaniach harmonogramu, usługach systemowych oraz regułach Zapory Windows. Znaczenie mają także daty modyfikacji plików, historia pobierania, wpisy autostartu i alerty programu ochronnego. Pojedynczy wpis nie powinien być interpretowany bez kontekstu, ponieważ aktualizacja systemu, synchronizacja chmurowa albo legalne narzędzie administracyjne również mogą powodować nietypowe zmiany.

Warto zachować oryginalne informacje przed ich usunięciem. Zrzuty ekranu powinny obejmować pełny komunikat, datę, godzinę i nazwę konta, a nie tylko fragment okna. Przydatne są również nagłówki podejrzanych wiadomości, adresy nadawców, nazwy plików, sumy kontrolne, adresy stron internetowych oraz informacje o tym, kto i kiedy korzystał z komputera. Jeżeli urządzenie jest nadal włączone, pochopne wyłączanie systemu może usunąć część danych z pamięci operacyjnej; z kolei dalsze korzystanie z komputera może nadpisać historię i utrudnić odtworzenie kolejności zdarzeń. Sposób zabezpieczenia zależy więc od rodzaju podejrzenia i dostępnych dowodów.

Odróżnienie awarii, błędu konfiguracji i nieuprawnionego dostępu

Nie każda anomalia oznacza naruszenie. Samoczynne restarty, wolne działanie, znikające skróty lub błędne komunikaty mogą być skutkiem uszkodzenia dysku, wadliwej aktualizacji, konfliktu sterowników albo działania niechcianego programu bez dostępu do poufnych plików. Z drugiej strony brak widocznych objawów nie wyklucza nieuprawnionego dostępu. Dlatego ocena powinna obejmować zarówno stan sprzętu, jak i system operacyjny, konta użytkowników, oprogramowanie zabezpieczające oraz połączenia sieciowe.

W analizie należy sprawdzić, czy doszło do uwierzytelnienia, jakie uprawnienia miał użyty użytkownik lub proces, do jakich lokalizacji uzyskano dostęp i czy nastąpiło kopiowanie, szyfrowanie albo usuwanie danych. Ważne jest także ustalenie, czy hasło zostało wpisane na fałszywej stronie, czy na komputerze działało złośliwe oprogramowanie oraz czy dane mogły zostać przekazane poza urządzenie. Przydatne mogą być informacje o aktywnych sesjach, historii logowań, urządzeniach zalogowanych do konta i zmianach haseł. Jeżeli dostęp dotyczył wyłącznie lokalnych ustawień, zakres zdarzenia będzie inny niż w przypadku potwierdzonego przesłania plików do zewnętrznej usługi.

Bezpieczne postępowanie po wykryciu podejrzanej aktywności

Po zauważeniu podejrzanej aktywności należy ograniczyć dalsze korzystanie z zagrożonego konta lub urządzenia, odłączyć je od sieci, jeżeli istnieje ryzyko trwającego dostępu, i nie uruchamiać przypadkowych narzędzi pobranych z internetu. Hasła powinny być zmieniane z niezainfekowanego urządzenia, a przy zmianie należy uwzględnić także sesje już aktywne i dodatkowe metody uwierzytelniania. Nie należy kasować podejrzanych plików ani czyścić dzienników przed ich zabezpieczeniem, ponieważ takie działania mogą utrudnić ustalenie przebiegu zdarzenia. W przypadku podejrzenia kradzieży danych techniczna diagnostyka nie zastępuje oceny obowiązków formalnych przez właściwą osobę.

Warszawskie Pogotowie Komputerowe wykonuje profesjonalną diagnostykę i naprawę laptopów, komputerów PC oraz ich podzespołów, gdy podejrzeniu naruszenia towarzyszą objawy złośliwego oprogramowania, utraty dostępu, uszkodzenia systemu lub nietypowego działania urządzenia. W ramach czynności technicznych można ustalić stan systemu, sprawdzić podstawowe ślady aktywności, ocenić konfigurację zabezpieczeń i przygotować opis stwierdzonych faktów. Przed przekazaniem sprzętu warto poinformować o czasie wystąpienia problemu, używanych kontach, ostatnich instalacjach i zauważonych komunikatach. Takie informacje pomagają zachować kolejność zdarzeń i ograniczyć ryzyko przypadkowego zatarcia istotnych danych.