raport naruszenia

Raport naruszenia to dokument opisujący przebieg i skutki zdarzenia naruszającego bezpieczeństwo danych.

Zakres i cel raportu naruszenia

Raport naruszenia to uporządkowany dokument techniczny opisujący zdarzenie, w którym doszło do utraty poufności, integralności albo dostępności informacji lub systemu komputerowego. Powinien przedstawiać fakty ustalone na podstawie logów, kopii konfiguracji, zapisów systemów monitoringu, zgłoszeń użytkowników oraz wyników analizy urządzeń. Nie jest jedynie opisem awarii ani listą podejrzeń. Jego zadaniem jest odtworzenie przebiegu zdarzenia, wskazanie objętych nim zasobów oraz zapisanie działań wykonanych przed, w trakcie i po zakończeniu incydentu.

Dokument powinien jednoznacznie określać identyfikator sprawy, datę i godzinę wykrycia, osobę lub system zgłaszający, zakres analizowanych urządzeń oraz przyjętą strefę czasową. W praktyce warto rozdzielać czas wystąpienia zdarzenia, czas jego wykrycia, czas rozpoczęcia reakcji i czas przywrócenia działania. Takie rozróżnienie pozwala obliczyć opóźnienie detekcji i ocenić, jak długo nieprawidłowość mogła wpływać na system. Jeżeli dokładny moment nie jest znany, należy podać przedział czasowy oraz wyjaśnić, z jakich danych go wyznaczono.

Odtworzenie przebiegu zdarzenia na podstawie śladów

Najważniejszą częścią raportu jest chronologia zdarzenia. Powinna łączyć obserwacje z konkretnymi źródłami: logiem zapory sieciowej, dziennikiem systemowym, historią uwierzytelniania, rejestrem zmian plików, alertem programu ochronnego lub kopią obrazu dysku. Przykładowy wpis powinien wskazywać znacznik czasu, nazwę hosta, adres źródłowy, konto, wykonane działanie i wynik operacji. Przy analizie czasu trzeba uwzględnić synchronizację zegarów, ponieważ różnica między czasem lokalnym urządzenia a czasem serwera logów może zmienić kolejność zdarzeń.

Raport powinien odróżniać dowody bezpośrednie od wniosków. Bezpośrednim dowodem może być wpis o udanym logowaniu, utworzeniu procesu, zmianie uprawnień albo pobraniu pliku. Wnioskiem jest natomiast stwierdzenie, że dane konto zostało wykorzystane przez osobę nieuprawnioną, jeżeli wskazują na to dodatkowe przesłanki, takie jak nietypowy adres sieciowy, nowe urządzenie lub równoczesna aktywność w dwóch lokalizacjach. Dla każdego istotnego ustalenia należy wskazać źródło, zakres czasu i poziom pewności. Jeżeli logi są niepełne, zostały nadpisane albo nie obejmują badanego urządzenia, trzeba opisać to jako ograniczenie analizy.

Skutki naruszenia i zabezpieczenie materiału

Opis skutków powinien obejmować zasoby dotknięte zdarzeniem, ich funkcję oraz faktycznie potwierdzone konsekwencje. W przypadku komputera może chodzić o zmodyfikowane pliki, usunięte konta, zmianę konfiguracji zapory, instalację nieznanego programu, zaszyfrowanie danych albo czasową niedostępność systemu. Należy rozróżnić zakres potwierdzony od zakresu możliwego. Jeżeli nie da się ustalić, czy plik został skopiowany, nie powinno się zapisywać, że doszło do jego wycieku; właściwsze będzie stwierdzenie, że odnotowano dostęp lub próbę dostępu i nie ma wystarczających danych do potwierdzenia transferu.

Podczas tworzenia raportu trzeba zachować integralność materiału dowodowego. Oryginalne logi, obrazy dysków i eksporty zdarzeń powinny być przechowywane bez edycji, a kopie robocze analizowane oddzielnie. Dla plików dowodowych można obliczyć sumy kontrolne, na przykład SHA-256, i zapisać wynik wraz z nazwą pliku, rozmiarem oraz czasem pozyskania. Należy również prowadzić rejestr przekazania materiału: kto go zebrał, kiedy, z jakiego urządzenia i komu został udostępniony. W przypadku podejrzenia aktywnego złośliwego oprogramowania przed czyszczeniem komputera warto odłączyć go od sieci, nie wyłączać go bez oceny sytuacji i zabezpieczyć istotne dane ulotne, jeżeli wymagają tego przyjęte procedury.

Działania naprawcze i informacje końcowe

Końcowa część raportu powinna zawierać działania wykonane w celu ograniczenia skutków oraz przywrócenia bezpiecznej pracy. Mogą to być między innymi blokada konta, unieważnienie aktywnych sesji, zmiana haseł, odizolowanie hosta, usunięcie nieautoryzowanego zadania, przywrócenie plików z kopii zapasowej, aktualizacja podatnego programu i weryfikacja reguł zapory. Każde działanie należy opisać wraz z wynikiem oraz osobą odpowiedzialną. Samo zapisanie, że „problem usunięto”, jest niewystarczające, ponieważ nie pokazuje, jakie testy potwierdziły zakończenie incydentu.

Raport powinien kończyć się listą zaleceń możliwych do sprawdzenia. Przykładowo można wskazać konieczność wydłużenia przechowywania logów, włączenia rejestrowania zmian uprawnień, przetestowania odtwarzania kopii zapasowych, ograniczenia dostępu zdalnego lub przeprowadzenia dodatkowej kontroli integralności systemu. Warto podać właściciela każdego zadania, termin realizacji i kryterium zamknięcia. Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego przy incydencie obejmującym takie urządzenie raport może uzupełniać dokumentację diagnostyczną o stan sprzętu, wyniki testów dysku, pamięci operacyjnej oraz informacje o przywróceniu poprawnej konfiguracji systemu.