Różne funkcje, różne skutki

Złośliwe oprogramowanie może kraść dane dostępowe, zmieniać pliki, otwierać zdalny dostęp lub utrudniać pracę. Klasyfikacja powinna wynikać z analizy zachowania, nie tylko z nazwy zagrożenia pokazanej przez program. To wpływa na listę kont i systemów wymagających sprawdzenia.

Zainfekowany komputer pracownika z dostępem do administracji ma inny zasięg potencjalnej szkody niż odseparowana stacja bez ważnych uprawnień. Zbadaj kontekst konta, połączenia oraz możliwość dalszego ruchu w sieci. Ryzyko nie kończy się na jednym pliku.

Ogranicz skutki bez niszczenia historii

Zespół IT powinien dobrać sposób izolacji i zebrania dowodów. Zwykły użytkownik nie powinien sam uruchamiać próbek, kopiować ich na prywatny komputer ani wysyłać ich otwarcie do wielu odbiorców. Bezpieczny kanał analizy uzgodnij z uprawnionymi specjalistami.

Jeżeli urządzenie służyło do logowania, ustal potrzebę zabezpieczenia powiązanych tożsamości i sesji. Reinstalacja systemu może usunąć lokalny program, ale nie unieważni automatycznie skradzionych dostępów. To osobna część odpowiedzi.

Rozróżnij czyszczenie i ustalenie przyczyny

Zamknięcie alertu oznacza wynik działania narzędzia, nie pełną odpowiedź na pytania biznesowe. Potrzebne jest ustalenie wektora wejścia, okresu aktywności i skutków. Bez usunięcia przyczyny ten sam scenariusz może się powtórzyć po odtworzeniu stanowiska.

Prowadź rejestr dotkniętych urządzeń, zmian haseł i działań naprawczych. Wpisuj także ograniczenia analizy, np. brak logów sprzed określonego dnia. Taka uczciwa granica ustaleń jest lepsza niż pozorne zapewnienie, że „wszystko sprawdzono”.

Co ma znaczenie przy polisie

O kosztach decyduje związek z określonym zdarzeniem i warunki produktu, a nie sama obecność kategorii malware na stronie. Przed zakupem ustal zabezpieczenia, wyłączenia i zakres reakcji. Zwykłe utrzymanie komputerów nie jest tym samym co koszt uzasadnionego badania incydentu.

Po zdarzeniu rozdziel analizę, bezpieczne odtworzenie oraz modernizację środowiska. Jeśli firma kupuje dodatkowe narzędzia na przyszłość, nie utożsamiaj całej inwestycji z naprawą bieżącej szkody. Podział ułatwia zarówno budżetowanie, jak i rozmowę z ubezpieczycielem.

Warunek zamknięcia incydentu

Zespół powinien wskazać usuniętą przyczynę, zabezpieczone konta i wynik sprawdzenia powiązanych urządzeń. Ustal też okres wzmożonego monitorowania oraz osobę reagującą na ponowne sygnały. Zamknięcie wymaga świadomej akceptacji pozostałej niepewności; sam znikający alert nie jest wystarczającym opisem wykonanej pracy.