Jak powstrzymać incydent, nie niszcząc dowodów?
Odetnij sieć, nie zasilanie, i najpierw kopiuj, potem sprzątaj. Izolacja zaatakowanej maszyny na porcie przełącznika, na firewallu lub przez narzędzie ochrony punktów końcowych odbiera ją napastnikowi, a pamięć, uruchomione procesy i otwarte połączenia zostają nienaruszone do analizy. Zanim przeinstalujesz maszyny, usuniesz pliki lub konta, wyeksportuj odpowiednie logi, zanotuj podejrzane konta i pliki, a jeśli specjaliści to zalecą, zrób zrzut pamięci i obraz dysku. Zablokuj cele napastnika na firewallu, ale zapisz które i kiedy. Jeśli musisz wybierać między szybkością a dowodami, na przykład dlatego, że szyfrowanie się rozprzestrzenia, wygrywa szybkość: najpierw zatrzymaj szkody. Dowody sieciowe najłatwiej stracić, bo wiele urządzeń przechowuje tylko krótką historię; NetSenX przechowuje swoje alerty z czasem, hostami i celami przez okres historii w Twoim planie.
Czytaj dalej
Powiązane pytania
- Czy zainfekowany komputer odłączyć od sieci, czy wyłączyć?
- Czego unikać podczas incydentu cyberbezpieczeństwa?
- Jak znaleźć pacjenta zero, czyli pierwszą maszynę przejętą przez napastnika?
- Czym jest obraz kryminalistyczny i kiedy jest potrzebny?
- Czym jest łańcuch dowodowy (chain of custody) dla dowodów cyfrowych?
← Wszystkie pytania (60): Reagowanie na incydentyWszystkie tematy