Шифровальщик зашифровал данные - ЧЕКЛИСТ
Что делать в компании, когда вирус попал в сеть и данные оказались зашифрованными
Далее приведен пошаговый план действий для того, чтобы
- максимально ограничить угрозу распространения шифровальщика
- проведения расследования и установления масштабов бедствия
- защититься от этой ситуации на будущее
- 0 этап:Оповестить!Что важно сделать:
- оповестите свой SOC, своего подрядчика (если он есть), напишите антивирусному вендору об инциденте (они обычно могут помочь)
- если есть ресурсы (финансы), то привлеките подрядчика (например, нас) для помощи в расследовании - поверьте, что в сложной ситуации лишняя пара рук и глаз лишними не будут!
- если у вас есть обязательства (например, вы объект КИИ), то оповестите НКЦКИ.
- выполните остальные шаги - займитесь локализацией инцидента!
- 1 этап:Не паниковать и взять все под контроль!Что делать:
- важно как можно быстрее обнаружить угрозу и понять ее источник
- провести расследование, обнаружить границы заражения и способ распространения
- предотвращение распространения
- восстановление (при возможности)
- план на будущее, повышение защищенности
- 2 этап:Обнаружение угрозыОсновные шаги
- получить подробную информацию, как узнали о заражении - это нужно, чтобы установить сам тип шифровальщика: какие были странности, как вел себя компьютер и программы, какие были всплывающие окна, к какой сети были подключены (WiFi, VPN, LAN...), какая ОС, есть ли антивирус, обновления (как давно установлены), какое имя компьютера, какая учетная запись (пригодится для аналитиков в SIEM и timeline), какие права доступа, к каким системам есть (и был ли доступ)
- не выключать компьютеры, но постараться изолировать их от сети (по возможности можно вытащить сетевой кабель)
- попытаться установить тип шифровальщика, чтобы понять, что делать и какие есть специфические модели его поведения (см. перечень ресурсов, которые могут пригодиться)
- скриншоты, список файлов, расширения, которые он оставляет после себя
- какие "обои", текстовые файлы, сообщения, которые остались
- если есть всплывающие окна при попытке открыть зашифрованный файл - они тоже пригодятся (но открывать лишний раз файлы нужно только с понимаем дела и рекомендацией аналитика)
- какая учетка использовалась для шифрования / запуска шифровальщика
- 3 этап:Определение границ заражения и сдерживание распространенияОсновные шаги
- определить векторы распространения (по сети через уязвимости, протоколы удаленного доступа (RDP), вложения через эл.почту, через внешний носитель или общий диск
- установить границы заражения, а для этого проверить
- журналы МСЭ (NGFW)
- журналы антивируса
- системы мониторинга серверов
- логи DNS
- логи прокси-сервера
Если у вас есть SIEM - это сильно поможет!
Если есть EDR / XDR - можно проверить по системе, где есть файлы найденных типов и даже попробовать получить информацию, были ли массовые попытки редактирования данных
3. Изоляция систем через механизмы EDR/EPP и через NGFW за счет сегментации. - Этап 4Очистка и восстановление инфраструктурыОсновные шаги
- Убедиться, что вредонос изолирован и он не добрался до резервных копий, которыми можно воспользоваться
- Убедиться в действующей и работающей системе восстановления (не только данных, но и конфигурационных файлов для критичных систем)
- Если резервных копий нет - попробовать на "тестовых" машинах использовать декрипторы или специально предоставленный производителем антивируса (обычно у них есть своя лаборатория) специальную программу для восстановления - например, так умеет делать Касперский.
- Этап 5Мероприятия для недопущения подобного в будущемРекомендуемые меры
- регулярное резервное копирование (и тестирование его работоспособности)
- сформировать и обучить группу реагирования на инциденты, написать регламенты (дать им подобную, но более четкую инструкцию, привязанную к Вашей инфраструктуре)!
- устанавливать обновления, для этого использовать сканеры безопасности
- использовать антивирусы, желательно с режимами не только EPP, но и EDR / XDR / MDR
- сегментировать сеть, установить правила фильтрации на NGFW
- использовать систему SIEM для центраизованного сбора информации - это упростит расследование и позволит его раньше выявить
- убедиться, что в SIEM попадают все важные журналы (endpoint, NGFW, DNS, proxy), подключены актуальные TI (информация по индикаторам компрометации)
- обучайте сотрудников основам киберграмотности - уменьшайте площадь атаки
- давайте возможность админам и подрядчикам удаленно подключаться только через PAM!
Нажимая на кнопку, вы даете согласие на обработку персональных данных и соглашаетесь c политикой конфиденциальности