Расследование инцидентов
Когда атака уже идёт, помогаем остановить её, сохранить доказательства и понять, что произошло: как злоумышленник вошёл, что сделал и какие данные затронуты.
- 02:14Вход по RDP с внешнего адреса под учётной записью подрядчикаВход
- 02:31Запуск утилиты для выгрузки паролей из памятиПароли
- 03:05Подключение к файловому серверу и архивирование каталоговСбор
- 03:40Передача архива на внешний адресВывод данных
- 04:12Очистка журналов на сервереСокрытие
Точка входа найдена, учётная запись заблокирована, затронутые данные определены
Что расследуем
- Шифровальщики
- Остановка распространения, поиск точки входа, оценка возможности восстановить данные.
- Утечки данных
- Какие данные ушли, по какому каналу и у кого был к ним доступ.
- Взлом почты
- Захват почтовых ящиков, мошеннические письма от имени компании, подмена платёжных реквизитов.
- Компрометация серверов
- Веб-оболочки, майнеры, закладки и закрепление в системе.
- Внутренние нарушения
- Проверка подозрений в действиях сотрудников с сохранением доказательств.
Фотографии
Фото: Alchemist-hp, CC BY-SA 3.0; Mk2010, CC BY 4.0; Ingo Dierking, CC BY-SA 4.0; Derrick Coetzee, CC0, Wikimedia Commons.
Форматы работы
Срочное реагирование
Подключаемся удалённо после звонка и согласования доступа, при необходимости выезжаем на место.
Ретроспектива
Разбираем инцидент, который уже закончился, по сохранённым журналам, образам дисков и памяти.
Готовность
Договор заранее: план реагирования, контакты, доступы и учения. В момент атаки время не уходит на согласования.
Как проходит расследование
- 01
Сдерживание
Изолируем затронутые узлы и учётные записи так, чтобы сохранить следы.
- 02
Доказательства
Снимаем образы дисков и памяти, выгружаем журналы и фиксируем контрольные суммы.
- 03
Анализ
Восстанавливаем хронологию: точку входа, перемещение по сети, закрепление и вывод данных.
- 04
Восстановление
Удаляем закладки, меняем скомпрометированные пароли и ключи, возвращаем системы в работу.
- 05
Отчёт
Готовим отчёт для руководства, технический отчёт и меры против повторения атаки.
Что вы получаете
- Хронологию атаки с привязкой к доказательствам.
- Список затронутых систем, учётных записей и данных.
- Индикаторы компрометации для ваших средств защиты.
- Материалы для руководства, юристов и страховой компании.
- Рекомендации, которые закрывают путь атаки.
Вопросы
Задать свой вопросЧто делать до подключения специалистов?
Не выключайте и не переустанавливайте затронутые компьютеры: в памяти остаются следы атаки. Отключите их от сети, сохраните журналы и не вводите пароли на заражённых машинах.
Можно ли использовать результаты в суде?
Доказательства мы собираем с контрольными суммами и фиксируем, кто и когда с ними работал. Требования к экспертизе для суда согласуем с вашими юристами.
Помогает ли Dozor в расследовании?
Если Dozor уже работает у вас, хронология строится по его событиям и запросам к агентам. Если нет, разворачиваем агенты на время расследования, чтобы собирать данные с узлов.
Обсудить задачу
Опишите задачу и сроки. Мы ответим, уточним границы работ и предложим план.
- Договор. Начинаем с договора и соглашения о конфиденциальности. Границы работ и разрешения фиксируем письменно.
- Границы. Цели, системы, сроки и контакты на случай сбоя согласуем до начала работ.
- Работа. Держим вас в курсе хода работ и сразу сообщаем о критичных находках.
- Отчёт. Передаём отчёт для руководства и технический отчёт с доказательствами и рекомендациями.
Или напишите нам: info@dozorsecurity.kz