Pomoc pri kybernetickom útoku a ransomvéri

PRVÉ KROKY

Prvé kroky vo vašej organizácii

Najprv obmedzte šírenie, chráňte zálohy a uchovajte stopy. Tieto všeobecné kroky vychádzajú z odporúčaní SK-CERT a CISA. Koordinujte ich so svojím IT a prispôsobte ich bezpečnosti a potrebám prevádzky.

Odpojte zasiahnuté zariadenia od siete

Vytiahnite sieťový kábel, vypnite Wi-Fi alebo zariadenia oddeľte na prepínači či firewalle. Ak sa dajú odpojiť, nevypínajte ich: v operačnej pamäti môžu byť stopy dôležité pre vyšetrovanie.

Zabezpečte zálohy

Zistite, ktoré zálohy sú nedotknuté, a odpojte ich od siete. Útočníci sa zálohy snažia zmazať alebo zašifrovať.

Nič nemažte a zatiaľ nič nepreinštalúvajte

Zasiahnuté systémy, súbory aj správu od útočníka nechajte bez zmeny. Preinštalovanie by zničilo stopy, podľa ktorých sa zistí, kadiaľ útočník prišiel.

Ďalšie kroky: logy, prístupy a komunikácia

Uchovajte logy a zapisujte si postup

Zaistite logy z firewallu, serverov, e-mailu a cloudových služieb skôr, ako sa prepíšu. Zapisujte si, čo ste zistili a urobili, a kedy.

Zmeňte zneužité prístupy z čistého zariadenia

Zablokujte alebo zmeňte heslá k účtom, o ktorých viete, že sú zneužité, a to zo zariadenia, ktoré útok nezasiahol. Plošnú zmenu hesiel naplánujte až po vyčistení prostredia, aby ju útočník nezachytil.

Komunikujte mimo napadnutých systémov

Útočník môže čítať firemný e-mail aj chat. O incidente sa dohovárajte telefonicky alebo iným kanálom mimo napadnutého prostredia.

Informujte poisťovňu a zavolajte nám

Ak máte kybernetické poistenie, ozvite sa poisťovni čo najskôr; môže vyžadovať určitý postup alebo dodávateľa. Zavolajte APPSEC a dohodneme ďalší postup.

AKO POMÔŽEME

Ako vám môže APPSEC pomôcť

Zapojenie, prístupy aj rozsah práce najprv dohodneme so zodpovednou osobou vo vašej organizácii. Podľa zistení môže pomoc zahŕňať nasledujúce oblasti.

Prvá reakcia a koordinácia

Prejdeme si, čo vaša organizácia pozoruje, ktoré služby sú dôležité a kto za ne zodpovedá. Pomôžeme stanoviť priority a zosúladiť prácu vášho IT, dodávateľov a vedenia.

Úvodné posúdenie situácie a rozsahu útoku.
Plán prvých krokov s jasnými zodpovednosťami.
Pravidelné zhrnutie stavu pre vedenie.

Obmedzenie šírenia a izolácia

Pomôžeme oddeliť zasiahnuté zariadenia a účty a obmedziť podozrivé spojenia. Konkrétne zásahy dohodneme s vaším IT s ohľadom na prevádzku a zachovanie stôp. Podľa potreby využijeme dostupné bezpečnostné nástroje.

Izolácia zariadení, častí siete a zneužitých účtov.
Uzavretie vzdialeného prístupu a známych škodlivých spojení.
Voliteľne rýchle nasadenie EDR; izoláciu zariadení a karanténu škodlivých súborov podľa výrobcov umožňujú obe platformy.

Forenzná analýza a vstupný bod útoku

Zaistíme dostupné stopy a budeme hľadať vstupný bod, priebeh útoku a jeho rozsah. Zistenia oddelíme od neoverených predpokladov, aby ste mali podklad pre ďalšie rozhodnutia.

Obrazy diskov a operačnej pamäte, zaistenie logov.
Časová os útoku a zoznam dotknutých systémov.
Vstupný bod a prípadné skryté prístupy útočníka.

Obnova dát a systémov

Spolu s vaším IT overíme stav záloh a stanovíme poradie obnovy podľa dôležitosti služieb. Pomôžeme obnoviť systémy z overených podkladov alebo ich postaviť z čistého základu.

Overenie, že zálohy sú úplné a čisté.
Obnova podľa priorít vašej prevádzky.
Čistá inštalácia a bezpečné nastavenie kľúčových systémov.

Možnosti dešifrovania

Preveríme typ ransomvéru a dostupné verejné dešifrovacie nástroje, napríklad z projektu No More Ransom. Posúdime aj zálohy, tieňové kópie a čiastočne zachované súbory. Možnosť obnovy závisí od konkrétneho prípadu.

Identifikácia ransomvéru podľa vzorky a správy útočníka.
Overenie dostupných verejných dešifrovacích nástrojov.
Obnova z tieňových kópií a čiastočne zašifrovaných súborov, ak sa to dá.

Rada ku komunikácii s útočníkom

Vedenie vašej organizácie potrebuje vedieť, čo útočník skutočne má a ktoré jeho tvrdenia sú doložené. Pripravíme technické zistenia pre rokovanie s vašimi právnikmi, poisťovňou a príslušnými orgánmi.

Overenie, čo útočník skutočne má a či jeho tvrdenia zodpovedajú zisteniam.
Koordinácia prípadného kontaktu s vedením, právnikmi a poisťovňou.
Bezpečnostné autority platbu neodporúčajú: nezaručuje dešifrovanie ani zmazanie dát a môže financovať ďalšie útoky.

Komunikácia a hlásenia

Dodáme technické zistenia pre prípadné hlásenia a komunikáciu so zákazníkmi, partnermi či zamestnancami. Povinnosti a konečné znenie posúdia vaše zodpovedné osoby a právnici.

Technické podklady na hlásenie pre NBÚ, Úrad na ochranu osobných údajov SR a políciu.
Šablóny oznámení pre zákazníkov, partnerov a zamestnancov.
Fakty pre vašich právnikov a poisťovňu.

Po incidente: zabezpečenie a prevencia

Po zvládnutí incidentu pomôžeme určiť príčiny a priority nápravy. Podľa dohody môže nadviazať úprava prístupov a konfigurácie, overenie opráv testom alebo doplnenie ochrany.

Plán zabezpečenia podľa zistených príčin.
Penetračný test na overenie nápravy.
Vyhodnotenie incidentu a ochrana SentinelOne alebo Heimdal podľa ponuky.

POSTUP

Ako spolupráca prebieha

Najprv si potvrdíme dostupnosť a dohodneme zapojenie APPSEC. V priebehu riešenia budete vedieť, čo sme zistili, aký je ďalší krok a ktoré rozhodnutia potrebujeme od vás.

01
Prvý kontakt
Stručne opíšete, čo sa deje vo vašej organizácii. Overíme dostupnosť a dohodneme, či a v akom rozsahu sa môžeme zapojiť. Zároveň určíme bezpečný spôsob ďalšej komunikácie.
02
Posúdenie a rozsah
Zistíme, čo je zasiahnuté a čo je ohrozené. Dohodneme rozsah práce, oprávnenia, prístupy a kontaktné osoby.
03
Obmedzenie útoku
Izolujeme zasiahnuté systémy a účty a bránime ďalšiemu šíreniu. Kroky koordinujeme s vašou prevádzkou, aby zbytočne nezastavili to, čo ešte funguje.
04
Vyšetrovanie
Zaistíme stopy a zistíme, kadiaľ útočník prišiel, čo robil a čo mohol odniesť. Výsledky slúžia na obnovu, hlásenia aj rozhodovanie vedenia.
05
Obnova
Systémy a dáta obnovíme podľa priorít prevádzky, z overených záloh alebo čistou inštaláciou. Pred návratom do prevádzky overíme, že známe cesty útočníka sú uzavreté.
06
Následné opatrenia
Odovzdáme záverečnú správu, poučenia a odporúčania. Podľa dohody nadviažeme zabezpečením, penetračným testom alebo nasadením ochrany.

KTO ZA ČO ZODPOVEDÁ

Kto za čo zodpovedá

APPSEC

Technická pomoc, koordinácia a podklady pre vaše rozhodovanie v dohodnutom rozsahu. Zásahy s dopadom na prevádzku vykonávame podľa dohodnutých oprávnení a schváleného postupu.

Vaša organizácia

Rozhoduje o krokoch s dopadom na prevádzku, udeľuje oprávnenia a prístupy a schvaľuje komunikáciu navonok. Rozhodnutie o prípadnom kontakte s útočníkom patrí vedeniu.

Výrobcovia a poisťovňa

Wayfinder MDR od SentinelOne a MXDR od Heimdalu sú služby výrobcov, ak ich máte zmluvne dohodnuté. Kybernetická poisťovňa môže vyžadovať vlastný postup alebo dodávateľa, preto ju kontaktujte včas.

Úrady a polícia

Trestný čin môžete oznámiť polícii. Porušenie ochrany osobných údajov môže byť potrebné oznámiť Úradu na ochranu osobných údajov SR a organizácie, na ktoré sa vzťahuje zákon o kybernetickej bezpečnosti, môžu mať povinnosť hlásiť incident NBÚ.

KONTAKT PRI INCIDENTE

Opíšte nám svoju situáciu

Napíšte, čo u vás pozorujete, kedy ste problémy zistili, ktoré systémy sú dotknuté a čo už vaše IT urobilo. Pridajte telefón na spätný kontakt. Heslá, prístupy, logy a vzorky malvéru sem nevkladajte; prípadné odovzdanie dohodneme bezpečne.

Spojte sa s APPSEC

Pri prvom kontakte uprednostnite telefón. Stručne opíšte problémy vo svojej organizácii a dohodneme dostupnosť aj ďalší postup. Ak môže byť vaša pošta napadnutá, použite iný bezpečný komunikačný kanál.

Telefón: +420 226 289 400
E-mail: info@appsec.cz

Časté otázky

Na čo sa pýtate v prvej chvíli

Ako dohodneme rozsah a cenu pomoci?

Cenu nemožno určiť bez znalosti situácie. Rozsah, spôsob účtovania a podmienky dohodneme pre konkrétny incident a pred začatím prác ich potvrdíte. Ak sa situácia zmení, rozsah s vami znova prerokujeme.

Máme zaplatiť výkupné?

Rozhodnutie patrí vedeniu spolu s právnikmi, poisťovňou a úradmi. Bezpečnostné autority, napríklad americká CISA, aj projekt No More Ransom platbu neodporúčajú: nezaručuje dešifrovanie ani zmazanie ukradnutých dát, môže financovať ďalšie útoky a môže niesť právne riziká, napríklad pre sankcie. Pomôžeme vám zistiť fakty, z ktorých môžete vychádzať.

Dajú sa obnoviť zašifrované súbory?

Závisí od konkrétneho ransomvéru. Pre niektoré rodiny existujú verejné dešifrovacie nástroje, pre mnohé ďalšie zatiaľ nie. Preto vždy preveríme aj iné cesty: zálohy, tieňové kópie a čiastočne zašifrované súbory. Úspech zaručiť nemožno.

Máme kybernetické poistenie. Čo s tým?

Kontaktujte poisťovňu čo najskôr a prejdite si podmienky poistky. Môže vyžadovať oznámenie v určitej lehote, konkrétny postup alebo dodávateľa určeného poisťovňou. Postup s ňou zosúladíme a podľa dohody dodáme technické podklady.

Musíme incident niekam hlásiť?

Ide o všeobecnú informáciu, nie o právnu radu. Porušenie ochrany osobných údajov treba podľa GDPR oznámiť Úradu na ochranu osobných údajov SR bez zbytočného odkladu a podľa možnosti najneskôr do 72 hodín od zistenia, okrem prípadov, keď nie je pravdepodobné, že povedie k riziku pre dotknuté osoby. Organizácie, na ktoré sa vzťahuje zákon č. 69/2018 Z. z. o kybernetickej bezpečnosti, môžu mať povinnosť hlásiť incident NBÚ cez systém JISKB; overte si svoj režim. Trestný čin môžete oznámiť polícii.

Kedy sa môže APPSEC zapojiť? Je možný výjazd?

Nepretržitú incidentnú pohotovosť štandardne neponúkame. Dostupnosť, prácu mimo bežného pracovného času aj výjazd na miesto dohodneme podľa situácie a rozsahu zákazky. Mnohé kroky sa dajú vykonať aj na diaľku cez bezpečne nastavený prístup.