powiadomienie działu bezpieczeństwa

Powiadomienie działu bezpieczeństwa to zgłoszenie incydentu wymagające dalszej analizy przez specjalistów.

Rola powiadomienia działu bezpieczeństwa w obsłudze incydentu

Powiadomienie działu bezpieczeństwa jest formalnym zgłoszeniem zdarzenia, które może oznaczać naruszenie poufności, integralności albo dostępności systemu komputerowego. Samo zgłoszenie nie przesądza jeszcze, że doszło do włamania. Informuje natomiast osoby odpowiedzialne za analizę, że wystąpił sygnał wymagający weryfikacji. Takim sygnałem może być wykrycie złośliwego pliku przez program antywirusowy, logowanie z nietypowej lokalizacji, wielokrotne nieudane próby uwierzytelnienia, nagła zmiana konfiguracji zapory sieciowej albo podejrzane szyfrowanie dużej liczby dokumentów.

W praktyce powiadomienie powinno prowadzić do utworzenia sprawy w systemie obsługi incydentów lub w innym rejestrze używanym przez organizację. Sprawa otrzymuje identyfikator, czas rozpoczęcia, opis objawów, zakres dotkniętych urządzeń oraz osobę zgłaszającą. Dzięki temu kolejne czynności można powiązać z konkretnym zdarzeniem, a analityk nie musi odtwarzać przebiegu problemu wyłącznie z pamięci użytkownika. Zgłoszenie alarmu różni się od zwykłego zgłoszenia awarii, ponieważ obejmuje również ocenę możliwego źródła zdarzenia, jego zasięgu i wpływu na inne urządzenia.

Jakie dane powinno zawierać techniczne zgłoszenie

Użyteczne powiadomienie zawiera możliwie dokładny opis tego, co zauważono i kiedy to nastąpiło. Warto podać nazwę komputera, adres IP, nazwę konta używanego podczas zdarzenia, lokalny czas wystąpienia problemu, komunikat wyświetlony przez system oraz wykonywaną wtedy czynność. Istotne są również informacje o tym, czy urządzenie było połączone z siecią przewodową, Wi-Fi, VPN lub zewnętrznym nośnikiem USB. Nie należy usuwać podejrzanych plików ani czyścić historii zdarzeń przed uzgodnieniem dalszych działań, ponieważ takie czynności mogą usunąć ślady potrzebne do analizy.

W zależności od środowiska dział bezpieczeństwa może potrzebować identyfikatora alertu z programu ochronnego, nazwy wykrytego procesu, ścieżki pliku, sumy kontrolnej SHA-256, fragmentu logu systemowego albo nagłówków podejrzanej wiadomości e-mail. Przydatne są także informacje o ostatnich zmianach: instalacji programu, aktualizacji sterownika, podłączeniu pendrive’a, otwarciu załącznika lub zalogowaniu do nowej usługi. Dane powinny być przekazane bez modyfikowania ich treści. Zrzut ekranu może pomóc w opisie objawu, ale nie zastępuje logu, w którym znajdują się znaczniki czasu i techniczne identyfikatory zdarzeń.

Analiza alertu i ograniczanie skutków zdarzenia

Po otrzymaniu zgłoszenia analityk najpierw ocenia wiarygodność alertu oraz jego pilność. Porównuje komunikat z logami systemu operacyjnego, ochrony antywirusowej, zapory i urządzeń sieciowych. Sprawdza, czy dane zdarzenie wystąpiło tylko na jednym komputerze, czy także na innych stacjach roboczych. W przypadku podejrzenia aktywnego złośliwego oprogramowania urządzenie może zostać odłączone od sieci, ale nie powinno być pochopnie wyłączane, jeśli potrzebne są informacje z pamięci operacyjnej lub działających procesów. Zakres izolacji powinien wynikać z oceny ryzyka, aby ograniczyć komunikację napastnika bez niszczenia dowodów.

Dalsza analiza może obejmować sprawdzenie procesów uruchamianych wraz z systemem, zadań harmonogramu, połączeń wychodzących, zmian w rejestrze oraz historii logowania. Jeżeli alert dotyczy konta, konieczne może być unieważnienie aktywnych sesji, zmiana hasła i sprawdzenie, czy nie utworzono dodatkowych metod uwierzytelniania. Przy podejrzeniu ransomware ważne jest szybkie odłączenie zagrożonego komputera i ochrona kopii zapasowych przed dostępem z tego samego konta. Po zakończeniu analizy należy określić przyczynę, urządzenia objęte zdarzeniem, wykonane działania oraz warunki bezpiecznego przywrócenia pracy.

Powiadomienie a diagnostyka laptopa i komputera PC w serwisie

Na komputerze domowym lub biurowym powiadomienie działu bezpieczeństwa może oznaczać potrzebę zabezpieczenia urządzenia przed dalszą utratą plików albo przed ponownym uruchomieniem podejrzanego procesu. Przed przekazaniem laptopa do diagnostyki warto zanotować komunikaty, godziny wystąpienia problemu i objawy, takie jak samoczynne otwieranie stron, spowolnienie pracy, blokada dokumentów, nietypowe reklamy lub nieznane żądania logowania. Jeżeli komputer jest elementem firmowej sieci, decyzję o odłączeniu od Internetu i dalszym postępowaniu powinien podjąć administrator albo osoba odpowiedzialna za bezpieczeństwo.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego podczas przyjęcia sprzętu można przekazać opis alarmu oraz informacje o wykonanych wcześniej czynnościach. Diagnostyka może obejmować ocenę stanu dysku, sprawdzenie uruchamianych programów, analizę objawów systemowych i weryfikację poprawności działania sprzętu po usunięciu przyczyny. Jeżeli urządzenie ma znaczenie dowodowe albo jest częścią większego incydentu, zakres ingerencji powinien zostać wcześniej uzgodniony, aby nie nadpisać istotnych danych. Po naprawie należy zaktualizować system i aplikacje, przywrócić sprawdzone ustawienia ochrony oraz potwierdzić, że komputer nie generuje kolejnych podejrzanych alertów.