zarządzanie incydentami

Zarządzanie incydentami to procedury reagowania na zdarzenia bezpieczeństwa od ich wykrycia po zamknięcie.

Zakres zarządzania incydentami bezpieczeństwa

Zarządzanie incydentami obejmuje uporządkowane działania podejmowane po wykryciu zdarzenia, które może naruszać dostępność, poufność lub integralność systemu komputerowego. Incydentem może być między innymi infekcja złośliwym oprogramowaniem, przejęcie konta użytkownika, nieautoryzowana instalacja programu, szyfrowanie plików przez ransomware, utrata dostępu do systemu albo nietypowe połączenia sieciowe. Samo ostrzeżenie programu antywirusowego nie zawsze oznacza potwierdzony incydent, dlatego pierwszym etapem jest odróżnienie zdarzenia przypadkowego od sytuacji wymagającej reakcji technicznej.

Procedura powinna określać, kto odbiera zgłoszenie, jakie informacje trzeba zebrać, które urządzenia należy odłączyć oraz w jakiej kolejności przywracać działanie. Istotne są między innymi: czas zauważenia problemu, nazwa i adres komputera, używane konto, komunikaty błędów, ostatnio otwierane pliki, podłączone nośniki USB oraz zmiany wykonane bezpośrednio przed wystąpieniem objawów. Takie dane pomagają ustalić zakres zdarzenia i ograniczyć ryzyko zniszczenia dowodów podczas pochopnego restartu, czyszczenia dysku lub reinstalacji systemu.

Od zgłoszenia do potwierdzenia źródła problemu

Reakcja zaczyna się od rejestracji zgłoszenia i nadania mu priorytetu. Priorytet powinien wynikać z rzeczywistego wpływu na pracę, liczby dotkniętych urządzeń, rodzaju zasobów oraz prawdopodobieństwa dalszego rozprzestrzeniania się problemu. Zablokowane pojedyncze konto może wymagać innego trybu niż szyfrowanie wielu katalogów lub jednoczesne wyłączanie się kilku komputerów. Wpis w rejestrze incydentu powinien zawierać status sprawy, osobę odpowiedzialną, wykonane czynności i aktualne ustalenia, aby kolejne osoby nie powtarzały tych samych testów.

Podczas analizy technicznej sprawdza się między innymi dzienniki systemowe, historię uruchamianych procesów, zadania zaplanowane, ostatnie logowania, aktywność programu ochronnego, połączenia sieciowe i stan nośnika danych. W systemie Windows przydatne mogą być Podgląd zdarzeń, Microsoft Defender, Menedżer zadań oraz polecenia ipconfig, netstat i tasklist. Wyniki trzeba interpretować w kontekście konkretnego komputera, ponieważ legalny proces lub połączenie może wyglądać nietypowo, a brak alarmu nie dowodzi, że system jest wolny od zagrożeń. Jeżeli komputer nadal działa, warto ograniczyć jego używanie i zabezpieczyć kopię istotnych logów przed ich nadpisaniem.

Izolacja, usunięcie skutków i przywrócenie pracy

Opanowanie incydentu polega przede wszystkim na zatrzymaniu jego dalszego wpływu. Zainfekowany komputer można odłączyć od sieci przewodowej albo bezprzewodowej, nie wyłączając go automatycznie, jeśli konieczne jest zachowanie informacji do analizy. W przypadku podejrzenia przejęcia konta należy zmienić hasło z bezpiecznego urządzenia, zakończyć aktywne sesje i sprawdzić, czy nie dodano obcych metod logowania. Przy podejrzeniu złośliwego programu nie powinno się uruchamiać nieznanych narzędzi naprawczych pobranych z przypadkowych stron, ponieważ mogą one usunąć ślady albo dołożyć kolejne zagrożenie.

Usuwanie skutków może obejmować kwarantannę wykrytych plików, odinstalowanie nieautoryzowanego programu, usunięcie mechanizmu automatycznego uruchamiania, aktualizację systemu i aplikacji oraz zmianę danych uwierzytelniających. Jeżeli integralność systemu jest niepewna, bezpieczniejszym rozwiązaniem może być odtworzenie środowiska z zaufanego obrazu lub wykonanie czystej instalacji po zabezpieczeniu potrzebnych danych. Przywracanie plików należy przeprowadzać z kopii zapasowej, której zawartość i data utworzenia zostały wcześniej zweryfikowane. Po zakończeniu naprawy trzeba sprawdzić działanie systemu, skanowanie ochronne, dostęp do plików, połączenia sieciowe i poprawność aktualizacji.

Zamknięcie incydentu nie powinno oznaczać jedynie usunięcia komunikatu na ekranie. W rejestrze należy zapisać przyczynę lub najbardziej prawdopodobny wektor zdarzenia, zakres oddziaływania, wykonane działania, czas przestoju oraz wynik kontroli po naprawie. Analiza po incydencie pozwala poprawić reguły ochrony, sposób tworzenia kopii zapasowych, procedurę aktualizacji i instrukcje dla użytkowników. Dzięki temu kolejne zgłoszenie można obsłużyć szybciej, a podobny błąd nie musi ponownie prowadzić do utraty dostępu do komputera.

Obsługa incydentu podczas serwisowania komputera

W praktyce serwisowej zarządzanie incydentem wymaga połączenia diagnozy objawów z kontrolą stanu sprzętu. Nagłe restarty, spowolnienie, przegrzewanie, błędy odczytu dysku lub problemy z uruchomieniem mogą wynikać zarówno z awarii podzespołu, jak i z działania szkodliwego programu. Dlatego przed wymianą części albo formatowaniem dysku warto ustalić, czy problem występuje także w środowisku diagnostycznym, sprawdzić stan dysku, pamięci operacyjnej i zasilania oraz odnotować wszystkie komunikaty. Szczególnej ostrożności wymagają urządzenia, na których znajdują się jedyne kopie ważnych plików.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i podzespołów, dlatego w ramach diagnozy można uporządkować objawy, określić zakres awarii oraz wskazać działania potrzebne do bezpiecznego przywrócenia pracy urządzenia. Przy podejrzeniu incydentu technik powinien najpierw ustalić, czy komputer wymaga izolacji, zabezpieczenia danych lub dodatkowego skanowania, a dopiero później wykonywać czynności ingerujące w system. Po naprawie użytkownik powinien otrzymać jasną informację o wykrytej przyczynie, wykonanych działaniach i zaleceniach dotyczących aktualizacji, haseł oraz kopii zapasowych.