Reagowanie na incydenty

Regularne połączenia stacji roboczej z nowym zewnętrznym serwerem, jeden host skanujący wewnętrzne zakresy pod kątem portów SMB, RDP lub baz danych, nowe sesje administracyjne do wielu serwerów i duży transfer do chmury z serwera, który zwykle wysyła niewiele. Zwykle pojawiają się w tej kolejności, zanim jakikolwiek plik zostanie zaszyfrowany.

Często tak, bo kroki przed szyfrowaniem przechodzą przez sieć: połączenia command-and-control, skanowanie, ruch boczny i kradzież danych. To okno, w którym atak da się jeszcze zatrzymać. Nie każdy atak pokazuje wszystkie te kroki, a atak zamknięty na jednej maszynie daje sieci niewiele do zobaczenia.

Nie. NetSenX zgłasza zachowanie w sieci, które zwykle poprzedza ransomware, więc zespół może działać, póki jest czas. Izolowanie hostów, usunięcie napastnika i odtworzenie danych pozostają po stronie Twojego zespołu, ochrony punktów końcowych i kopii zapasowych.

Odłączyć dotknięte hosty od sieci, zachować ich logi, zresetować dane logowania używane na nich i zadzwonić do firmy reagującej na incydenty. Jeśli organizacja podlega NIS2, termin 24 godzin na wczesne ostrzeżenie biegnie od chwili, gdy dowiesz się o poważnym incydencie.

Odłącz zaatakowane maszyny od sieci, na przełączniku albo wyjmując kabel i wyłączając Wi-Fi. Jeśli możesz, nie wyłączaj ich, bo pamięć zawiera dowody, chyba że nie da się ich odizolować inaczej. Nie kontaktuj się z napastnikami i niczego nie płać przed zasięgnięciem porady. Zadzwoń do firmy reagującej na incydenty, na infolinię ubezpieczyciela cyber, jeśli ją masz, albo do krajowego CSIRT. Zmień hasła administratorów z czystego urządzenia, sprawdź, czy kopie zapasowe są nienaruszone i odłączone, i zacznij pisemny dziennik tego, co widzisz i robisz, z godzinami. Jeśli podlegasz NIS2, termin 24 godzin na wczesne ostrzeżenie biegnie od chwili, gdy dowiesz się o poważnym incydencie, więc od początku włącz osobę odpowiedzialną za zgłoszenia.

Mniej więcej w tej kolejności, dostosowanej do Twojej sytuacji. Po pierwsze: odizoluj zaatakowane maszyny od sieci, nie wyłączając ich, i zatrzymaj rozprzestrzenianie na przełącznikach lub firewallu. Po drugie: zadzwoń do firmy reagującej na incydenty, na infolinię ubezpieczyciela i w razie potrzeby do prawnika, i zacznij dziennik incydentu. Po trzecie: zabezpiecz dowody i sprawdź, czy kopie zapasowe są nienaruszone i odłączone. Po czwarte: ustal, jak napastnicy weszli, do których systemów dotarli i czy dane wyciekły, oraz oceń obowiązki zgłoszeniowe z NIS2 i RODO, wraz z terminami. Po piąte: zdecyduj, co powiedzieć pracownikom, klientom i partnerom. Po szóste: usuń napastnika, zresetuj dane logowania i zamknij drogę wejścia. Po siódme: odbuduj i odtwórz systemy według priorytetu z czystych kopii. Po ósme: obserwuj uważnie przez kolejne tygodnie i przeprowadź przegląd wniosków. NetSenX pomaga w krokach czwartym i ósmym, dowodami sieciowymi i dalszym wykrywaniem.

To decyzja biznesowa i prawna, a organy ścigania odradzają płacenie: finansuje to napastników, nie gwarantuje odzyskania plików ani usunięcia skradzionych danych, a płatność na rzecz grupy objętej sankcjami może być nielegalna. Decyduj razem z firmą reagującą na incydenty, ubezpieczycielem i prawnikami oraz zgłoś incydent policji i, jeśli dotyczy, CSIRT. NetSenX nie negocjuje i nie odtwarza danych; pomaga wcześniej zobaczyć, co napastnicy robili w sieci.

Zapłata nie cofa kradzieży. Płaciłbyś przestępcom za obietnicę usunięcia danych, które mają wszelkie powody zatrzymać, a organy ścigania, w tym Europol i policje krajowe, odradzają płacenie; znane są przypadki publikacji lub sprzedaży danych już po zapłacie. Płatność na rzecz osoby lub grupy objętej sankcjami może też być nielegalna. Decyzja należy do zarządu, razem z firmą reagującą na incydenty, ubezpieczycielem i prawnikami. Przed decyzją ustal fakty: co naprawdę wyciekło, czy są tam dane osobowe, jakie zgłoszenia są wymagane niezależnie od zapłaty i co powiesz osobom, których to dotyczy. Na gruncie RODO naruszenie ochrony danych osobowych ocenia się po tym, co się stało, a nie po tym, czy zapłacono okup. NetSenX nie negocjuje; pomaga w ustaleniu faktów dzięki alertom, które pokazują, które hosty i kiedy wysłały nietypowe ilości danych.

Negocjator ransomware to specjalista, często zapewniany przez firmę reagującą na incydenty lub z listy ubezpieczyciela, który w imieniu ofiary komunikuje się z napastnikami. Jego zadaniem jest zyskać czas, uzyskać dowód tego, co zabrano, sprawdzić, czy narzędzie deszyfrujące działa, a jeśli firma zdecyduje się zapłacić, sprawdzić listy sankcyjne i przeprowadzić ustalenia. Skorzystanie z niego nie oznacza decyzji o zapłacie: rozmowa może dać dni na odtworzenie danych z kopii zapasowych. Nie otwieraj czatu napastników i nie odpowiadaj na ich e-maile sam przed zasięgnięciem porady, bo to, co napiszesz, może osłabić Twoją pozycję. Najpierw zapytaj ubezpieczyciela, bo polisy często wymagają wskazanej przez niego firmy, i zachowaj każdą wiadomość jako dowód. NetSenX nie uczestniczy w negocjacjach; jego alerty pomagają ustalić, co naprawdę opuściło sieć, co ma znaczenie przy weryfikowaniu twierdzeń napastników.

Sprawdź, co i kiedy opuściło sieć: logi firewalla i proxy, logi audytowe usług chmurowych oraz logi maszyn, których to dotyczy. Zwykłym sygnałem są duże transfery do chmury lub na nieznany adres w dniach przed szyfrowaniem. Poproś firmę reagującą na incydenty, by porównała wolumeny z tym, co przechowuje każdy serwer, i zabezpiecz logi, zanim zostaną nadpisane. Jeśli napastnicy opublikują próbkę na stronie z wyciekami, mówi ona coś o tym, co zabrali, choć rzadko wszystko, a ich deklaracje niczego nie dowodzą w żadną stronę. NetSenX przechowuje alerty o nietypowym wolumenie danych wychodzących dla każdego hosta, z czasem, celem i wolumenem, co pomaga oszacować skalę transferu. Nie widzi nazw plików wewnątrz szyfrowanych sesji.

Szukaj transferu, nie deklaracji. Napastnicy czasem przesadzają, żeby zwiększyć presję, a czasem naprawdę zabrali wszystko, o czym mówią. Sprawdź w logach firewalla i proxy duże transfery wychodzące w dniach przed szyfrowaniem, zwłaszcza do usług przechowywania w chmurze lub na adresy, z których nikt inny nie korzysta, i zanotuj, które hosty wewnętrzne je wysłały. Porównaj wolumen z tym, co przechowują te serwery. O próbkę jako dowód proś wyłącznie przez zespół reagowania i sprawdź, co zawiera. Logi audytowe chmury i usług SaaS mogą pokazać masowe pobrania. Jeśli dowody nie wskazują istotnego transferu wychodzącego, pomaga to w decyzji i ewentualnym zgłoszeniu, ale brak dowodów na jednej ścieżce nie dowodzi, że nic nie wyszło inną. NetSenX przechowuje alerty o nietypowym wolumenie danych wychodzących dla każdego hosta, z czasem, celem i wolumenem; nie widzi nazw plików w szyfrowanych transferach.

Często tak, jeśli logi z tamtego okresu wciąż istnieją. Opublikowane pliki dają wskazówki: data ich najnowszej modyfikacji wyznacza najwcześniejszy możliwy moment kradzieży, a foldery, z których pochodzą, wskazują zaangażowane serwery. Potem poszukaj w logach firewalla, proxy i audytowych logach chmury dużych transferów wychodzących z tych serwerów w tym czasie oraz pierwszego regularnego kontaktu z nieznanym zewnętrznym serwerem, który często oznacza początek włamania. Poproś o to firmę reagującą na incydenty i nie pobieraj sam wycieku ze strony: zaangażuj zespół reagowania i prawnika, bo obchodzenie się ze skradzionymi danymi niesie własne ryzyka. Zgłoś publikację policji. NetSenX przechowuje alerty o nietypowym wolumenie wychodzącym dla każdego hosta, z czasem i celem, przez okres historii alertów w Twoim planie, co potrafi znacznie zawęzić okno czasowe.

Nie. NetSenX analizuje metadane przepływów i kilka pól protokołów i nigdy nie odszyfrowuje ruchu. Gdy dane wychodzą szyfrowanym połączeniem, czyli prawie zawsze, widzi, który host wysłał ile danych, dokąd i kiedy, ale nie nazwy ani treść plików. To i tak przydatne: wskazuje, który serwer zbadać, jak duży był transfer i kiedy nastąpił, co często wystarcza, by zawęzić, co mogło się w nim znaleźć. Żeby wiedzieć, które pliki zabrano, połącz to ze źródłami, które widzą pliki: logami audytowymi serwerów plików i chmury, telemetrią systemu EDR (endpoint detection and response), narzędziami do zapobiegania wyciekom danych albo analizą kryminalistyczną serwera. Jeśli napastnicy opublikują próbki, one też wskazują, których folderów to dotyczyło.

Próbują, jeśli zostawili sobie drogę: skradzione hasła, zapomniane narzędzie zdalnego dostępu, nowe konto, zaplanowane zadanie albo VPN, którego nigdy nie załatano. Niektórzy przestępcy sprzedają też lub przekazują dostęp, więc drugi atak może przyjść od kogoś innego tymi samymi drzwiami. Po incydencie zresetuj wszystkie dane logowania, które mogły wyciec, także konta serwisowe, usuń narzędzia zdalnego dostępu, których nikt nie zatwierdził, zamknij drogę wejścia, odbuduj zaatakowane maszyny ze sprawdzonych obrazów i uważnie obserwuj sieć przez kolejne tygodnie. Typowym sygnałem są ponowne połączenia z serwerami napastnika; NetSenX wykrywa beaconing C2 w każdym planie, także Free, a wskaźniki z raportu z incydentu można wyszukać w logach firewalla i DNS.

Reagowanie na incydenty to uporządkowany sposób, w jaki firma wykrywa incydent bezpieczeństwa, ogranicza go, wraca do normalnej pracy i wyciąga wnioski. Obejmuje pracę techniczną, taką jak izolowanie maszyn, usuwanie napastnika i odtwarzanie systemów, oraz decyzje wokół niej: kto kieruje, kogo się informuje, kiedy wezwać pomoc z zewnątrz, co zgłosić regulatorom, ubezpieczycielom i klientom. Mała firma nie potrzebuje do tego zespołu bezpieczeństwa. Potrzebuje krótkiego pisemnego planu, numerów telefonów, które działają, gdy e-mail nie działa, osoby uprawnionej do podejmowania decyzji w nocy i dowodów pokazujących, co się stało. NetSenX pomaga w dowodach i terminach: wykrywa zachowania sieciowe, które często oznaczają włamanie, wyjaśnia każdy alert i śledzi terminy z art. 23 NIS2 dla każdego incydentu. Nie usuwa napastników i nie odtwarza systemów.

Najbardziej znany model ma sześć etapów: przygotowanie, identyfikację, powstrzymanie, usunięcie przyczyny, odtworzenie i wnioski, z podręcznika SANS dla osób obsługujących incydenty. Wcześniejszy przewodnik NIST, SP 800-61 Revision 2, grupował tę samą pracę w cztery fazy. W kwietniu 2025 roku NIST zastąpił go dokumentem SP 800-61 Revision 3, który wiąże reagowanie na incydenty z sześcioma funkcjami Cybersecurity Framework 2.0: zarządzaj, identyfikuj, chroń, wykrywaj, reaguj i odtwarzaj. Wszystkie mówią to samo: większość pracy dzieje się przed incydentem, w przygotowaniu, i po nim, w doskonaleniu. Dla małej firmy praktyczna kolejność jest prosta: zauważ, ogranicz szkody, usuń przyczynę, bezpiecznie wróć do pracy i zmień to, co do incydentu dopuściło. Spisanie tej kolejności dla własnych systemów to najbardziej przydatny pierwszy krok.

Decydując teraz o tym, co inaczej trzeba by improwizować w środku nocy. Napisz jednostronicowy plan: kto kieruje, kto może wyłączać systemy, kto rozmawia z klientami, ubezpieczycielami i regulatorami. Trzymaj numery telefonów na papierze i w drugim kanale, bo e-mail i komunikatory mogą nie działać albo być przejęte. Znaj swoje trzy lub cztery najważniejsze systemy i kolejność, w jakiej byś je odtwarzał, i przetestuj odtworzenie z kopii zapasowej. Ustal warunki z firmą reagującą na incydenty, zanim jej potrzebujesz, i sprawdź, do kogo ubezpieczenie cyber każe dzwonić najpierw. Upewnij się, że logi, których byś potrzebował, istnieją i są przechowywane wystarczająco długo: firewall, VPN, katalog i historia sieci. NetSenX dostarcza historię sieci i wyjaśnione alerty, a raporty PDF od planu Starter ułatwiają przekazanie pakietu dowodów.

Mniej, niż sugeruje większość szablonów, byle działał w stresie. To, co niezbędne, mieści się na dwóch lub trzech stronach: kto kieruje i kto go zastępuje, numery telefonów osób i firm, do których zadzwonisz, kiedy izolujesz system lub odcinasz firmę od internetu, gdzie są kopie zapasowe i jak odtworzyć najważniejsze systemy oraz kto decyduje o zgłoszeniach do CSIRT, organu ochrony danych, ubezpieczycieli i klientów, wraz z terminami. Dodaj krótką listę kontrolną na pierwszą godzinę i wzór dziennika incydentu. Wydrukuj go, bo serwer plików, na którym leży plan, może być tym zaszyfrowanym. Przeglądaj go po każdym incydencie i co najmniej raz w roku. NetSenX śledzi terminy z art. 23 NIS2 dla każdego incydentu i prowadzi dziennik audytu alertów i decyzji analityków, co wspiera część planu dotyczącą zgłoszeń.

Mniej osób, niż myślisz, ale z jasno określonymi rolami. Jedna osoba kieruje i podejmuje decyzje, zwykle prezes lub ktoś przez niego wyznaczony, z imiennie wskazanym zastępcą. Jedna wykonuje lub koordynuje pracę techniczną: Twój administrator IT, firma świadcząca usługi IT albo zewnętrzna firma reagująca na incydenty. Jedna odpowiada za komunikację z pracownikami, klientami i dostawcami, a jedna pilnuje strony prawnej i zgłoszeń, często razem z inspektorem ochrony danych i prawnikiem. W firmie liczącej 30 osób mogą to być trzy osoby łączące kilka ról. Ważne, by każda rola była spisana, by kierujący mógł decydować w nocy bez czekania na zebranie i by numery zewnętrzne były uzgodnione z góry. Od planu Starter, w którym jest zarządzanie zespołem, NetSenX daje każdej z tych osób własne konto, więc uzasadnienia alertów i decyzje widzi cały zespół.

Retainer to umowa z firmą reagującą na incydenty, podpisana, zanim cokolwiek się stanie, która gwarantuje reakcję w uzgodnionym czasie i ustala cenę oraz warunki. Bez niej szukasz wykonawcy, negocjujesz umowę i przyznajesz dostęp, gdy napastnik wciąż działa. Wielu ubezpieczycieli cyber ma własną listę firm reagujących i oczekuje, że zadzwonisz najpierw do nich, więc sprawdź polisę, zanim podpiszesz cokolwiek osobno. Mała firma może nie potrzebować płatnego retainera, jeśli obejmuje to infolinia ubezpieczyciela, ale musi wiedzieć, do kogo dzwonić, czego ta firma potrzebuje pierwszego dnia i jak dostanie się do Twoich systemów. NetSenX nie jest firmą reagującą na incydenty. Daje firmie, do której zadzwonisz, wyjaśnione alerty i historię sieci sprzed incydentu, czyli zwykle dowody najtrudniejsze do odtworzenia po fakcie.

Ćwiczenie sztabowe to spotkanie, na którym osoby, które obsługiwałyby incydent, krok po kroku omawiają realistyczny scenariusz, nie dotykając żadnego systemu. Prowadzący przedstawia sytuację etapami: alert późnym wieczorem, żądanie okupu w poniedziałek rano, telefon od dziennikarza, kopia zapasowa, która okazuje się również zaszyfrowana. Na każdym etapie zespół mówi, co by zrobił, kto by decydował i do kogo by zadzwonił. Wystarczy dziewięćdziesiąt minut z zarządem, IT, komunikacją i osobą od spraw prawnych. Wartość tkwi w lukach, które wychodzą na jaw: numer telefonu, którego nikt nie ma, decyzja, której nikt nie może podjąć, log, którego nikt nie prowadzi. Spisz je i napraw, a ćwiczenie powtarzaj raz lub dwa razy w roku. Scenariusz oparty na prawdziwym alercie lub dawnym incydencie uczy więcej niż ogólny.

To szczeble jednej drabiny. Zdarzenie to wszystko, co się dzieje i da się zapisać: logowanie, połączenie, zmiana pliku. Alert to zdarzenie lub wzorzec zdarzeń, który narzędzie oznacza, bo może mieć znaczenie, na przykład stacja robocza łącząca się co kilka minut z nowym zewnętrznym serwerem. Incydent to coś, co ogłaszasz po przejrzeniu jednego lub kilku alertów i stwierdzeniu, że bezpieczeństwo rzeczywiście zostało lub jest naruszane: napastnik jest w środku, dane zostały skradzione, usługa przestała działać. Różnica ma znaczenie, bo obowiązki dotyczą incydentów, nie alertów: terminy zgłoszeń z NIS2 biegną od chwili, gdy dowiesz się o poważnym incydencie, a nie od chwili, gdy narzędzie podniesie alert. NetSenX tworzy alerty z uzasadnieniem prostym językiem; czy składają się na incydent, oceniasz Ty, a ta decyzja trafia do dziennika audytu.

Sprawdzając alert z tym, co wiesz, szybko i za każdym razem w tej samej kolejności. Zadaj cztery pytania: czy urządzenie i jego właściciel są znani, czy to zachowanie ma uzasadnienie biznesowe, czy cel lub konto są znajome i czy na tym samym hoście lub w tym samym czasie wydarzyło się coś jeszcze nietypowego? Zadanie kopii zapasowej, aktualizacja oprogramowania czy administrator pracujący po godzinach wyjaśniają wiele alertów w ciągu minut. To, czego nikt nie umie wyjaśnić, co dotyczy kilku hostów albo następuje po innym alercie, zasługuje na eskalację. Zapisz, co sprawdziłeś, nawet gdy okazało się niegroźne, żeby następna osoba nie zaczynała od zera. NetSenX przy każdym alercie wyjaśnia, które cechy ruchu o nim zdecydowały, podaje technikę MITRE ATT&CK, jeśli ma zastosowanie, i pozwala oznaczyć false positive, a decyzja trafia do dziennika audytu.

Po skutkach dla firmy, a nie po tym, jak groźnie wygląda. Wystarczy prosta skala: niski, gdy dotyczy jednego urządzenia i jest opanowany, średni, gdy w grę wchodzi konto lub kilka urządzeń, wysoki, gdy zagrożone są ważne systemy lub dane osobowe, i krytyczny, gdy staje działalność albo dane opuściły firmę. Zapytaj, czego dotyczy, ilu systemów i osób, czy chodzi o dane osobowe lub dane klientów, czy się rozprzestrzenia i czy zakłócone są usługi, które świadczysz innym. Odpowiedź decyduje, do kogo się dzwoni, jak szybko i czy mogą obowiązywać zgłoszenia: NIS2 posługuje się pojęciem poważnego incydentu, a RODO naruszenia ochrony danych osobowych, każde z własnymi kryteriami. Uzgodnij skalę z góry i wpisz ją do planu. NetSenX pokazuje przy każdym alercie, co zaobserwowano i na których hostach, co jest punktem wyjścia do tej oceny, a nie jej zastępstwem.

Jedna imiennie wskazana osoba, z imiennie wskazanym zastępcą i uprawnieniem do działania bez zwoływania zebrania. Decyzje w incydencie są pilne i niewygodne: odcięcie firmy od internetu, zatrzymanie systemu produkcyjnego, wezwanie policji, poinformowanie klientów. Jeśli nikt nie jest wyraźnie upoważniony do ich podjęcia, godziny mijają na czekaniu na zgodę. W większości małych firm decyduje prezes, doradzany przez IT i zewnętrzny zespół reagowania; w większych menedżer incydentu działa w imieniu zarządu w uzgodnionych granicach. Spisz, które decyzje ta osoba może podjąć sama, a które wymagają zarządu, i zadbaj, by zastępca był osiągalny, gdy kierujący jest w podróży. NIS2 czyni też organy zarządzające objętych podmiotów odpowiedzialnymi za zatwierdzanie środków zarządzania ryzykiem cyberbezpieczeństwa i nadzór nad nimi, więc zarząd powinien znać plan, zanim będzie potrzebny.

Zwykle o pięciu sprawach. Czy izolować systemy lub całą lokalizację, godząc się na przestój, który to oznacza. Kogo wezwać: firmę reagującą na incydenty, infolinię ubezpieczyciela, prawnika. Czy incydent może podlegać zgłoszeniu, do krajowego CSIRT na podstawie NIS2 albo do organu ochrony danych na podstawie RODO, i kto przygotuje zgłoszenie. Co i kiedy powiedzieć pracownikom, klientom i partnerom, nie obiecując tego, czego jeszcze nie wiadomo. I jak utrzymać działalność: procesy ręczne, zastępcza komunikacja, do których klientów zadzwonić najpierw. Żadna z tych decyzji nie jest techniczna, dlatego zespół techniczny nie podejmie ich sam. Przygotuj je w planie jako warianty. NetSenX daje zarządowi rzeczowy punkt wyjścia: które hosty i kiedy wykazały jakie zachowanie oraz terminy z art. 23 NIS2 śledzone dla incydentu.

Przenieś rozmowy o incydencie do kanału, którego napastnik nie czyta, zanim powiesz cokolwiek o swoich planach. Napastnicy, którzy kontrolują skrzynkę lub katalog, często czytają wiadomości zespołu reagowania i dostosowują działania. Uzgodnij z góry kanał zastępczy: rozmowy telefoniczne, grupę w komunikatorze na urządzeniach bez kont firmowych albo osobną przestrzeń współpracy z własnymi loginami. Trzymaj wydrukowaną listę kontaktów, bo książka adresowa może być niedostępna. Poproś ubezpieczyciela, bank i kluczowych klientów, by każdą Twoją prośbę potwierdzali telefonicznie, bo przestępcy czasem wysyłają fałszywe wiadomości w trakcie incydentu. Gdy katalog i poczta zostaną odbudowane, a dane logowania zresetowane, wróćcie do zwykłych kanałów. Alerty NetSenX są we własnym panelu, który otworzysz z czystego urządzenia, więc obraz sieci nie zależy od firmowej poczty.

Bo pamięć zawodzi w stresie, a później wszyscy zapytają, co się stało i kiedy. Prosty dziennik zapisuje czas, co zaobserwowano, co postanowiono, kto i dlaczego, oraz co zrobiono. Pozwala drugiej osobie przejąć nocną zmianę bez zaczynania od nowa, pokazuje ubezpieczycielowi i regulatorowi, że działałeś szybko i świadomie, i jest podstawą osi czasu w zgłoszeniu NIS2 lub zawiadomieniu na podstawie RODO. Chroni też decydentów: wybór, który po fakcie wygląda źle, często był rozsądny przy ówczesnej wiedzy, a dziennik to pokazuje. Prowadź go poza zaatakowanymi systemami, na papierze lub we wspólnym dokumencie dostępnym z czystego urządzenia, i zapisuj wszystkie godziny w jednej strefie czasowej. NetSenX dokłada alerty ze znacznikami czasu i dziennik audytu decyzji analityków, które możesz dołączyć do własnego zapisu.

Odetnij sieć, nie zasilanie, i najpierw kopiuj, potem sprzątaj. Izolacja zaatakowanej maszyny na porcie przełącznika, na firewallu lub przez narzędzie ochrony punktów końcowych odbiera ją napastnikowi, a pamięć, uruchomione procesy i otwarte połączenia zostają nienaruszone do analizy. Zanim przeinstalujesz maszyny, usuniesz pliki lub konta, wyeksportuj odpowiednie logi, zanotuj podejrzane konta i pliki, a jeśli specjaliści to zalecą, zrób zrzut pamięci i obraz dysku. Zablokuj cele napastnika na firewallu, ale zapisz które i kiedy. Jeśli musisz wybierać między szybkością a dowodami, na przykład dlatego, że szyfrowanie się rozprzestrzenia, wygrywa szybkość: najpierw zatrzymaj szkody. Dowody sieciowe najłatwiej stracić, bo wiele urządzeń przechowuje tylko krótką historię; NetSenX przechowuje swoje alerty z czasem, hostami i celami przez okres historii w Twoim planie.

Odłącz go od sieci, ale nie wyłączaj, chyba że masz ku temu powód. Wyjęcie kabla i wyłączenie Wi-Fi odbiera napastnikowi kontrolę i zatrzymuje rozprzestrzenianie, a pamięć zachowuje dowody, które znikają przy wyłączeniu: uruchomione programy, połączenia sieciowe, czasem klucze szyfrujące pomocne przy odzyskiwaniu danych. Wyłączenie jest właściwe, gdy nie da się odizolować maszyny inaczej, a szkody szybko się rozszerzają, albo gdy proszą o to specjaliści. Nie loguj się jako administrator, żeby się rozejrzeć, nie uruchamiaj narzędzi czyszczących i nie restartuj przed zasięgnięciem porady, bo każdy krok zmienia dowody. Zanotuj godzinę i to, co zrobiłeś. Jeśli to serwer, od którego zależą inni, izoluj go na przełączniku lub firewallu zamiast wyciągać kable na chybił trafił. Sensor sieciowy, taki jak NetSenX, przechowuje zapis tego, co maszyna robiła, zanim ją odłączyłeś.

Oto krótka lista częstych błędów. Nie czyść ani nie odbudowuj maszyn przed zabezpieczeniem dowodów, bo stracisz możliwość ustalenia, jak napastnik wszedł. Nie resetuj haseł pojedynczo, gdy napastnik wciąż obserwuje; zaplanuj powstrzymanie i przeprowadź je za jednym razem. Nie omawiaj incydentu przez pocztę ani komunikator, które mogą być przejęte. Nie kontaktuj się z napastnikami i nie płać im bez porady zespołu reagowania, ubezpieczyciela i prawnika. Nie odtwarzaj danych z kopii, zanim nie upewnisz się, że pochodzą sprzed włamania. Nie ogłaszaj publicznie tego, czego jeszcze nie wiesz, i nie obiecuj klientom, że ich dane nie ucierpiały, zanim to sprawdzisz. Nie przegap terminów: wczesne ostrzeżenie NIS2 czy zgłoszenie na podstawie RODO można wysłać z niepełnymi informacjami i uzupełnić później. I nie przestawaj obserwować sieci, gdy systemy wrócą do pracy.

Idź wstecz od tego, co wiesz, posługując się znacznikami czasu. Zacznij od maszyny, na której zauważono incydent, zapytaj, który inny host jako pierwszy połączył się z nią w nietypowy sposób, i powtórz to dla tego hosta. Logi punktów końcowych pokazują logowania i nowe programy, logi katalogu, które konto było używane z którego komputera, a logi firewalla i VPN pierwsze połączenia z zewnątrz. Najwcześniejsze regularne połączenia z serwerem napastnika często wskazują pierwszą zainfekowaną maszynę. Pacjent zero jest ważny, bo mówi, jak napastnik wszedł, a tę drogę trzeba zamknąć przed odtwarzaniem systemów. Pamiętaj, że pierwsza znaleziona maszyna często nie jest pierwszą zainfekowaną. Alerty NetSenX zawierają czasy, hosty i cele, a od planu Pro korelacja w całej sieci łączy skanowanie, nowe sesje i beaconing między hostami w jedną historię, co skraca te poszukiwania.

Obraz kryminalistyczny to dokładna, zweryfikowana kopia dysku lub pamięci komputera, wykonana tak, by śledczy mogli ją badać bez zmieniania oryginału. Tworzy się go specjalnymi narzędziami, opatruje skrótem, na przykład SHA-256, by każdą późniejszą zmianę dało się wykryć, i przechowuje z zapisem, kto miał go w rękach. Jest potrzebny, gdy incydent może skończyć się sporem prawnym, roszczeniem ubezpieczeniowym, sprawą na policji lub pytaniami regulatora, oraz gdy chcesz ustalić, jak napastnik wszedł, zanim odbudujesz maszynę. Zwykłe kopie zapasowe go nie zastąpią, bo pomijają usunięte pliki, pamięć i obszary systemowe. Jeśli możesz, zleć to specjaliście. Dowody sieciowe go uzupełniają: NetSenX zapisuje to, co przeszło przez sieć, czego obraz dysku pojedynczej maszyny nie pokaże.

Łańcuch dowodowy to pisemny zapis tego, kto zebrał dany dowód, kiedy i jak, oraz kto miał go od tamtej pory. Dla obrazu dysku, eksportu logów czy zapisu ruchu sieciowego oznacza to odnotowanie źródła, daty i godziny, użytej metody lub narzędzia, wartości skrótu dowodzącej, że kopia się nie zmieniła, miejsca przechowywania i każdej osoby, która miała do niego dostęp. Bez takiego zapisu sąd, ubezpieczyciel czy regulator może wątpić, że dowód jest tym, za co go podajesz. Mała firma może to prowadzić prosto: jedna karta na każdy element, kopie na nośniku jednokrotnego zapisu lub z kontrolą dostępu i żadnej pracy na oryginałach. NetSenX prowadzi dziennik audytu alertów, decyzji analityków i zmian konfiguracji, a od planu Starter także ścieżkę dowodową (proof trail), co wspiera ten zapis po stronie sieci.

Wyeksportuj je, gdy tylko pojawi się podejrzenie incydentu, zanim cokolwiek innego zmienisz. Wiele urządzeń przechowuje logi tylko przez kilka dni lub do limitu rozmiaru: firewalle, bramy VPN, przełączniki i niektóre usługi chmurowe nadpisują najpierw najstarsze wpisy, a aktywny napastnik może próbować je usunąć. Przygotuj z góry listę ważnych logów, zwykle firewalla, VPN, katalogu i uwierzytelniania, poczty, konsoli ochrony punktów końcowych i DNS, wraz ze sposobem eksportu każdego z nich. W trakcie incydentu kopiuj je na nośnik poza zaatakowanymi systemami, zapisuj czas i skrót każdego pliku i, jeśli możesz, wydłuż retencję na urządzeniach. Zapytaj dostawców chmury, jak daleko wstecz sięgają ich logi audytowe. NetSenX przechowuje swoje alerty we własnej usłudze przez okres historii alertów w Twoim planie, 30 dni w Free i dłużej w planach płatnych, niezależnie od tego, co stanie się z Twoimi urządzeniami.

Eradykacja to całkowite usunięcie obecności napastnika, zanim przywrócisz systemy do pracy. Obejmuje usunięcie złośliwego oprogramowania i narzędzi, zamknięcie drogi wejścia, usunięcie kont, zaplanowanych zadań i oprogramowania zdalnego dostępu założonych przez napastnika, reset wszystkich danych logowania, które mogły wyciec, i załatanie wykorzystanych podatności. W praktyce odbudowa zaatakowanych maszyn z czystych obrazów jest często pewniejsza niż ich czyszczenie, bo trudno udowodnić, że znaleziono każdą zmianę. Eradykacja zawodzi, gdy jest częściowa: napastnik, który zachował jeden przyczółek, wraca, czasem po tygodniach. Trzeba ją zaplanować na podstawie dowodów z dochodzenia, a nie zgadywać. Obserwacja sieci po fakcie sprawdza, czy się udała: NetSenX wykrywa ponowny beaconing do znanych lub nowych zewnętrznych serwerów i nowe sesje lateralne, w każdym planie.

Z czystego urządzenia, w zaplanowanej kolejności i w jednym krótkim oknie czasowym. Zacznij od kont, które kontrolują wszystko: administratorów domeny i chmury, systemu kopii zapasowych, zdalnego dostępu oraz kont serwisowych z szerokimi uprawnieniami. W Active Directory konto podpisujące bilety Kerberos (krbtgt) resetuje się dwukrotnie, z czasem na replikację pomiędzy, by sfałszowane bilety przestały działać. Potem zresetuj zwykłych użytkowników, unieważnij aktywne sesje i tokeny w usługach chmurowych i wymagaj uwierzytelniania wieloskładnikowego (MFA) wszędzie, gdzie go brakuje. Nie wysyłaj nowych haseł pocztą, która może być przejęta. Jeśli zresetujesz za wcześnie, gdy napastnik wciąż ma przyczółek, po prostu przechwyci nowe hasła, więc najpierw go powstrzymaj. Zmiany tożsamości są poza zasięgiem sensora sieciowego; NetSenX pokazuje, czy maszyny napastnika nadal łączą się na zewnątrz.

Pewności mieć nie można, ale można zbudować rozsądne zaufanie. Sprawdź, czy rozumiesz, jak napastnik wszedł i czy ta droga jest zamknięta, czy usunięto każde założone przez niego konto i narzędzie oraz czy zresetowano dane logowania. Potem szukaj braku aktywności: żadnych połączeń z jego znanymi serwerami, żadnych nowych kont administratora, żadnych niewyjaśnionych logowań, żadnego skanowania między hostami. Przeszukaj logi i punkty końcowe pod kątem wskaźników z dochodzenia, takich jak adresy IP, domeny i skróty plików. Utrzymuj wzmożoną czujność przez co najmniej kilka tygodni, bo niektórzy napastnicy czekają. Ocena kompromitacji przeprowadzona przez zewnętrzną firmę daje niezależne spojrzenie. NetSenX wspiera ten test braku aktywności od strony sieci: beaconing, skanowanie, ruch lateralny i nietypowy wolumen wychodzący są wykrywane w każdym planie, także Free, więc cisza w monitorowanych segmentach coś znaczy.

Sprzętu zwykle tak, ale nie instalacji. Ransomware i towarzyszące mu narzędzia zmieniają system operacyjny, dodają konta i zostawiają trudne do znalezienia mechanizmy utrzymania dostępu, więc pewnym podejściem jest wyczyszczenie i ponowna instalacja zaatakowanych maszyn ze sprawdzonych obrazów, a potem odtworzenie danych z kopii sprzed włamania. Zanim ponownie użyjesz maszyn potrzebnych do dochodzenia, zachowaj ich dyski albo obrazy. Infekcje na poziomie firmware'u istnieją, ale są rzadkie; zespół reagowania powie, czy jest powód do wymiany sprzętu. Maszyny niezaatakowane też trzeba sprawdzić, bo napastnicy często dotykają więcej systemów, niż szyfrują. Zanim podłączysz odbudowane maszyny, upewnij się, że droga wejścia jest zamknięta. Mapa sieci NetSenX pokazuje, które hosty komunikowały się z zaatakowanymi w czasie incydentu, co pomaga zdecydować, co jeszcze sprawdzić.

W kontrolowanej kolejności, na czystych fundamentach i z otwartymi oczami. Najpierw upewnij się, że droga wejścia napastnika jest zamknięta, a jego konta i narzędzia usunięte. Najpierw odbuduj rdzeń: katalog, konta administratorów, system kopii zapasowych i firewall, z nowymi danymi logowania. Potem odtwarzaj systemy według priorytetu biznesowego, z kopii, o których sprawdziłeś, że pochodzą sprzed włamania, i które przeskanowano przed użyciem. Każdy system przywracaj najpierw w monitorowanym segmencie sieci, zanim dasz dostęp wszystkim, a użytkowników zostaw przy nowych hasłach z uwierzytelnianiem wieloskładnikowym (MFA). Powiedz pracownikom, co zgłaszać, jeśli coś wygląda podejrzanie, i licz się z tym, że odtwarzanie potrwa dłużej niż atak. Obserwuj uważnie sieć przez kolejne tygodnie; NetSenX wykrywa ponowny beaconing, skanowanie i ruch lateralny w każdym planie, i właśnie tak często wychodzi na jaw niepełne sprzątanie.

Często częściowo, jeśli to zaplanowałeś. Ustal z góry, które procesy są krytyczne i jak działają przez kilka dni bez IT: papierowe formularze zamówień, telefoniczne listy klientów i dostawców, ręczne dokumenty dostaw, zapasowy laptop, który nigdy nie był w sieci firmowej. Izolacja zaatakowanych systemów może pozwolić pozostałym działać dalej, dlatego dobra segmentacja procentuje w trakcie incydentu, a nie tylko przed nim. Uważaj na skróty: podłączanie prywatnych urządzeń lub domowego laptopa do uszkodzonej sieci może rozprzestrzenić problem albo zniszczyć dowody. Komunikuj się z pracownikami kanałem poza zaatakowanymi systemami i jasno powiedz, czego nie robić. Ubezpieczyciele i klienci cenią firmę, która nadal ich obsługiwała. NetSenX pokazuje, których segmentów i hostów to dotyczy, co pomaga zdecydować, co może bezpiecznie pozostać w sieci.

Co najmniej kilka tygodni, a po poważnym włamaniu dłużej. Napastnicy, którzy zachowali przyczółek, często czekają, aż zespół reagowania się odpręży, a dostęp sprzedany innym może zostać użyty znacznie później. W tym czasie codziennie przeglądaj alerty, szukaj połączeń ze wskaźnikami z dochodzenia, sprawdzaj, czy nie pojawiły się nowe konta administratora i narzędzia zdalnego dostępu, i upewniaj się, że kopie zapasowe działają i nie dotykają ich nietypowe hosty. Każde powtórzenie pierwotnego wzorca traktuj jako nowy incydent, a nie szum. Ustal z góry, kto co przegląda i kiedy kończy się wzmożona czujność. NetSenX wykrywa beaconing, skanowanie, ruch lateralny i nietypowy wolumen wychodzący w każdym planie, także Free, a jego historia alertów, 30 dni w Free i dłużej w planach płatnych, pozwala porównać tygodnie po incydencie z tygodniami przed nim.

To spotkanie, zwykle w ciągu kilku tygodni od incydentu, na którym wszyscy zaangażowani przechodzą przez to, co się stało i co zmienić. Odtwórz oś czasu z dziennika incydentu, a potem zadaj cztery pytania: co poszło dobrze, co poszło źle, czego nie wiedzieliśmy lub czego nie mieliśmy i co zmienimy, z osobą odpowiedzialną i terminem dla każdej zmiany. Bez szukania winnych: celem jest naprawa systemów i procedur, a nie ukaranie kogoś, inaczej następnym razem ludzie będą ukrywać błędy. Typowe wnioski to zamknięta ścieżka zdalnego dostępu, MFA tam, gdzie go brakowało, kopia zapasowa odłączona od sieci, działająca lista telefonów, log przechowywany dłużej. Wpisz wyniki do planu i następnego ćwiczenia sztabowego. Alerty NetSenX i dziennik audytu dają przeglądowi rzeczową oś czasu po stronie sieci.

Ustal zasadę z góry, bo mała firma rzadko ma nocną zmianę. Spisz, które alerty uzasadniają obudzenie kogoś, kim jest ta osoba i co może zrobić sama: na przykład odizolować jedną stację roboczą, ale nie wyłączać serwera ERP. Wszystko inne czeka do rana, ze sprawdzeniem o ustalonej godzinie. Jeśli zlecasz monitoring na zewnątrz, uzgodnij te same zasady z usługodawcą na piśmie. Pierwsze kroki muszą być proste dla osoby bez specjalistycznej wiedzy: odłącz urządzenie od sieci, zanotuj godzinę, zadzwoń pod wskazany numer. Raz przetestuj ten łańcuch telefonów. NetSenX wysyła alerty z uzasadnieniem prostym językiem i listą hostów, więc obudzona osoba szybko oceni, czy to zadanie kopii zapasowej, czy stacja robocza łącząca się nad ranem z nowym zewnętrznym serwerem. Nie zapewnia za Ciebie nocnego dyżuru.

Często tak, bo szyfrowanie to ostatni krok dłuższej sekwencji. Wcześniej napastnicy zwykle muszą wejść, połączyć się z własnym serwerem, rozejrzeć się, dotrzeć do serwerów plików i kopii zapasowych, a w większości dzisiejszych ataków także wyprowadzić dane. Te kroki często trwają dni i przechodzą przez sieć: stacja robocza łącząca się regularnie z nowym zewnętrznym serwerem, jeden host skanujący zakresy wewnętrzne, nowe sesje administracyjne do serwerów, duża wysyłka danych w nocy. Napastnicy wybierają weekendy i święta, bo nikt nie patrzy, a nie dlatego, że wcześniejsze kroki były niewidoczne. Właściwe pytanie brzmi: czy coś zapisało te sygnały i czy ktoś zobaczyłby alert. NetSenX wykrywa beaconing, skanowanie, ruch lateralny i nietypowy wolumen wychodzący w każdym planie, także Free; to, czy ktoś zareaguje na alert z piątkowego wieczoru przed poniedziałkiem, zależy od Waszego łańcucha powiadamiania.

Zbyt różnie, by jedna liczba była przydatna: od godzin, gdy zautomatyzowana grupa wykorzystuje wystawiony system, do tygodni, gdy dostęp jest kupowany od kogoś innego albo napastnicy bez pośpiechu szukają kopii zapasowych i wyprowadzają dane. Stała jest kolejność: dostęp, kontakt z serwerem napastnika, rozpoznanie, ruch do serwerów, kradzież danych i dopiero wtedy szyfrowanie. Każdy etap to szansa, by coś zauważyć. Planuj tak, jakbyś miał mało czasu: trzymaj kopie zapasowe offline, by przetrwały, zadbaj o to, by zdalny dostęp wymagał uwierzytelniania wieloskładnikowego (MFA), i ustal z góry, kto w nocy izoluje host. Każdy sygnał wczesnych etapów, na przykład stację roboczą skanującą zakresy wewnętrzne, traktuj jako pilny. NetSenX alarmuje o zachowaniach sieciowych tych etapów w każdym planie i stąd bierze się czas na reakcję.

Na dwa sposoby. Nośnik może przenosić samo złośliwe oprogramowanie, które uruchamia się, gdy ktoś otworzy zamaskowany plik, a niektóre szkodniki kopiują się na każdy znaleziony nośnik, by wędrować między komputerami i lokalizacjami. Poza tym dysk podłączony w chwili rozpoczęcia szyfrowania zostaje po prostu zaszyfrowany razem z resztą, dlatego kopia zapasowa na stale podłączonym dysku USB nie chroni przed ransomware. Wyłącz automatyczne uruchamianie programów z nośników wymiennych, skanuj nieznane nośniki na wydzielonym komputerze, tam gdzie się da, dopuszczaj tylko urządzenia wydane przez firmę i odłączaj dyski kopii zapasowych po każdym zadaniu. Hiszpański INCIBE opisał rzeczywisty przypadek, w którym ransomware rozprzestrzeniał się wraz z podłączaniem zainfekowanych urządzeń. Transfer przez USB nie przechodzi przez sieć, więc sensor sieciowy go nie widzi; NetSenX widzi, co zainfekowany komputer robi potem, na przykład skanowanie lub połączenia z zewnętrznym serwerem.

Zachowaj wszystko, co pokazuje, co się stało, kiedy i co zrobiłeś, bez wprowadzania zmian. To dziennik incydentu z godzinami i decyzjami; eksporty logów firewalla, VPN, katalogu, poczty i punktów końcowych; żądanie okupu i wszelkie wiadomości od napastników; zrzuty ekranu tego, co widzieli użytkownicy; obrazy kryminalistyczne, jeśli wykonali je specjaliści; oraz dokumentacja poniesionych kosztów. Przy każdym pliku zanotuj skrót, miejsce przechowywania i to, kto miał go w rękach. Ubezpieczyciel zwykle potrzebuje osi czasu i dowodów kosztów; policja wiadomości napastników, żądań zapłaty i wskaźników; regulator chce wiedzieć, jakich danych to dotyczyło i jak zareagowałeś. Zapytaj każdego z nich wcześnie, czego potrzebuje, i trzymaj kopie poza zaatakowanymi systemami. Alerty NetSenX z czasem, hostami i celami oraz jego dziennik audytu mogą być częścią tego pakietu, z raportami PDF od planu Starter.

Przez okres historii alertów w Twoim planie: 30 dni w Free i dłużej w każdym planie płatnym, a dokładne okresy znajdziesz w cenniku. Alerty są przechowywane z czasem, zaangażowanymi hostami, celami, wolumenami i uzasadnieniem, razem z decyzjami analityków w dzienniku audytu. Jeśli incydent może skończyć się roszczeniem, pytaniami regulatora lub sprawą sądową, nie polegaj wyłącznie na retencji: wyeksportuj to, co ważne, póki incydent jest świeży, raportami PDF od planu Starter, i trzymaj eksport razem z pozostałymi dowodami. Pomyśl o potrzebnym okresie, zanim zdarzy się incydent: czas przebywania napastnika w sieci bywa liczony w tygodniach, więc krótka historia może kończyć się przed początkiem włamania. Logi firewalla, VPN i katalogu mają własną, często krótszą retencję, którą warto sprawdzić dziś, a nie w trakcie incydentu.

Pierwszą godzinę obsłużcie sami, a firmę wezwijcie do wszystkiego, co wykracza poza jedno opanowane urządzenie. Twój zespół zna systemy, więc to on powinien izolować maszyny, zacząć dziennik i zabezpieczać dowody. Firma zewnętrzna wnosi to, czego mały zespół rzadko ma: narzędzia i doświadczenie kryminalistyczne, znajomość nawyków napastników, kontakty z organami ścigania i wiarygodność w oczach ubezpieczycieli i regulatorów. Wezwij ją, gdy napastnik może wciąż działać, gdy dotknięte są serwery lub wiele urządzeń, gdy dane mogły wyciec albo gdy incydent może podlegać zgłoszeniu lub skończyć się roszczeniem. Najpierw sprawdź, czy ubezpieczenie cyber wskazuje konkretną firmę, bo skorzystanie z innej może wpłynąć na ochronę, i uzgodnij z góry, jakiego dostępu będzie potrzebować. NetSenX nie jest firmą reagującą na incydenty; wyjaśnione alerty i historia sieci, które przechowuje, to właśnie to, o co ta firma poprosi pierwszego dnia.

Uczciwie, konkretnie i tylko tym, co wiesz, a potem aktualizować. Powiedz, co i kiedy się stało, jakich kategorii ich danych to dotyczyło, co zrobiłeś, co jeszcze badasz, co powinni zrobić, na przykład uważać na phishing wykorzystujący ich dane, i z kim się kontaktować. Nie mów, że żadne dane nie ucierpiały, zanim dochodzenie tego nie potwierdzi; korekta kosztuje więcej zaufania niż ostrożna pierwsza wiadomość. Uzgodnij treść z prawnikiem i inspektorem ochrony danych, bo powiadomienie osób może być obowiązkiem prawnym z własną wymaganą treścią, oraz z ubezpieczycielem. Wyślij ją kanałem, który nie jest przejęty, i uprzedź klientów, że mogą krążyć fałszywe wiadomości uzupełniające. Dowody czynią przekaz precyzyjnym: alerty NetSenX pokazują, które hosty i kiedy wysłały nietypowe ilości danych, co pomaga powiedzieć, których systemów, a więc i których klientów, to dotyczy.

Częściowo. Zapisy sieciowe mogą pokazać, że konkretny serwer, ten z danymi klienta, nie wysłał w danym okresie nietypowej ilości danych i że żaden nowy zewnętrzny cel nie odebrał z niego danych. To istotny dowód, zwłaszcza gdy serwer zwykle wysyła niewiele. Sam w sobie nie jest jednak rozstrzygający: dane mogły najpierw trafić na inną maszynę wewnętrzną i wyjść stamtąd, zostać wysłane w małych porcjach poniżej oczywistych progów albo zabrane kanałem, którego sensor nie obserwuje, na przykład przez usługę chmurową używaną bezpośrednio lub niemonitorowany segment. Przedstaw go klientowi takim, jaki jest: jako dowód braku aktywności na monitorowanych ścieżkach, uzupełniony logami serwera i chmury. NetSenX przechowuje alerty o nietypowym wolumenie wychodzącym dla każdego hosta, a jego mapa sieci pokazuje, które hosty komunikowały się z tym serwerem.

W większości krajów UE pierwszym bezpłatnym telefonem jest krajowy CSIRT lub agencja cyberbezpieczeństwa, a kilka z nich prowadzi usługi dla małych firm. W Hiszpanii działa bezpłatna infolinia 017 instytutu INCIBE; w Polsce CERT Polska przyjmuje zgłoszenia incydentów; w Niemczech jest BSI i policyjne jednostki ds. cyberprzestępczości krajów związkowych; we Francji krajowa platforma Cybermalveillance dla firm i ANSSI dla podmiotów regulowanych; we Włoszech CSIRT Italia przy ACN; w Holandii Digital Trust Center dla firm i NCSC dla sektorów kluczowych. Mogą udzielić wskazówek, czasem wskaźników i kontaktów, ale zwykle nie wykonują za Ciebie prac odtworzeniowych. Drugim wczesnym telefonem jest infolinia ubezpieczyciela cyber, jeśli ją masz, a przestępstwa należy zgłaszać policji. NetSenX nie świadczy usług reagowania na incydenty, ale jego alerty dają każdemu, do kogo zadzwonisz, rzeczowy punkt wyjścia.

Tak, w większości przypadków. Ransomware, wymuszenie, oszustwo i kradzież danych to przestępstwa, a zawiadomienie policji pomaga śledczym łączyć sprawy, czasem prowadzi do kluczy deszyfrujących pozyskanych w operacjach organów ścigania i często jest wymagane przez ubezpieczyciela do zgłoszenia szkody. Zawiadomienie policji to coś innego niż zgłoszenie regulacyjne do CSIRT czy organu ochrony danych; może być potrzebnych kilka zgłoszeń. W wielu krajach działają wyspecjalizowane jednostki ds. cyberprzestępczości lub zgłoszenia online dla firm, a krajowy CSIRT powie Ci, dokąd się udać. Przynieś fakty: oś czasu, żądanie okupu i wiadomości, żądania zapłaty, wskaźniki takie jak adresy IP i domeny oraz dotychczasowe koszty. Zgłoszenie nie oznacza utraty kontroli nad odtwarzaniem systemów i zwykle nie upublicznia incydentu. Alerty NetSenX z czasem, hostami i celami mogą być częścią tego, co przekażesz.

Czasem tak, po skutkach ubocznych, a nie po intencji. Hiszpański INCIBE opisał rzeczywisty przypadek, w którym pracownik wprowadził złośliwy kod i ukradł milion euro. Takie przypadki opierają się na dostępie, który dana osoba już ma, więc zapobieganie leży w procesach: rozdziale obowiązków przy płatnościach, zatwierdzaniu przez drugą osobę, przeglądzie kodu przy zmianach w systemach finansowych i szybkim odbieraniu dostępu przy zmianie ról. Sygnały techniczne mimo to mogą się pojawić: stacja robocza łącząca się z nieznanym zewnętrznym serwerem, nowe połączenia z systemem płatności lub ERP z maszyny, która nigdy go nie używała, nietypowe wysyłki danych. NetSenX obserwuje urządzenia i połączenia, nigdy ludzi: może wykryć takie zachowanie w sieci, w każdym planie, ale nie ocenia intencji i nie widzi, co dzieje się wewnątrz aplikacji. Wyjaśnianie postępowania konkretnej osoby to sprawa działu HR i prawników, a tam, gdzie jest rada pracowników, także jej.

Najpierw sprawdź zwykłe przyczyny, potem szukaj oznak ataku. Wiele awarii wynika z wygasłego certyfikatu lub domeny, zapełnionego dysku, nieudanej aktualizacji albo problemu u dostawcy hostingu. Zapytaj dostawcę i sprawdź jego stronę statusu, a potem przejrzyj logi serwera WWW: nagły zalew żądań z wielu adresów wskazuje na atak odmowy usługi; zmienione strony, nowe konta administratora lub nieznane pliki na przejęcie samej witryny; zmieniony rekord DNS na atak na rejestrację domeny. Zachowaj logi, zanim cokolwiek zrestartujesz. Jeśli strona przechowuje dane klientów lub przyjmuje płatności, traktuj przejęcie jak możliwe naruszenie ochrony danych. NetSenX nie chroni publicznych stron hostowanych poza Twoją siecią; jeśli serwer WWW stoi w Twojej sieci, pokazuje nietypowe połączenia i wolumen danych wychodzących z niego.

Nie, a różnica polega na tym, gdzie każde z nich działa. Rozproszony atak odmowy usługi (DDoS) zalewa Twoją stronę, VPN lub łącze internetowe ruchem z wielu maszyn, aż przestają odpowiadać. Zatrzymanie go wymaga przepustowości przed Tobą: u dostawcy internetu, w sieci dostarczania treści (CDN) albo w usłudze filtrującej, która przyjmuje i oczyszcza zalew, zanim dotrze do Twojego łącza. Wykrywanie sieciowe w firmie, takie jak NetSenX, obserwuje zachowanie Twoich hostów, by znaleźć intruzów, beaconing, skanowanie, ruch lateralny i wyciekające dane; nie blokuje ruchu i nie ma przepustowości, by wchłonąć zalew. Zapytaj dostawcę, jaką ochronę przed DDoS ma dziś Twoje łącze, a dla usług publicznych rozważ chroniony hosting. Niektóre ataki DDoS służą odwróceniu uwagi, więc sprawdź, czy w czasie awarii nie dzieje się nic innego wewnątrz sieci.

Dowody i terminy, a nie dodatkowe ręce do pracy. W trakcie incydentu NetSenX daje alerty o beaconingu, skanowaniu, ruchu lateralnym i nietypowym wolumenie danych wychodzących, w każdym planie, każdy z uzasadnieniem prostym językiem, zaangażowanymi hostami, celami, wolumenami i czasami oraz techniką MITRE ATT&CK, jeśli ma zastosowanie; mapę sieci pokazującą, kto z kim się komunikuje; dziennik audytu alertów i decyzji analityków; śledzenie terminów z art. 23 NIS2, a także zgłoszenie z art. 33 RODO przygotowane dla inspektora ochrony danych, przy czym wysłanie pozostaje po Twojej stronie. Od planu Starter dochodzą raporty PDF i rekomendacje reakcji, a od planu Pro korelacja hostów w jedną historię. Nie usuwa napastników, nie odtwarza danych i nie negocjuje, nie widzi też wnętrza szyfrowanych sesji ani segmentów, których nie monitorujesz. To zadanie zespołu reagowania, narzędzi ochrony punktów końcowych i kopii zapasowych.

Najpierw zamknij mu drzwi, potem zadawaj pytania. Zawieś konta dostawcy, jego dostęp VPN i narzędzia zdalnego wsparcia w Twoich systemach, dopóki nie potwierdzi, czego dotyczył incydent, i zmień wszystkie wspólne dane logowania oraz klucze API. Zapytaj go na piśmie, co i kiedy się stało, których jego systemów to dotyczyło, czy ujawniono Twoje dane lub dane dostępowe i jakie ma wskaźniki kompromitacji, a potem przeszukaj pod ich kątem swoje logi. Sprawdź, dokąd sięgał jego dostęp: do których serwerów, do jakich danych. Ostrożnie traktuj jego e-maile dotyczące płatności, bo skradzione wątki korespondencji są wykorzystywane do oszustw na fakturach. Jeśli Twoje dane wyciekły przez niego, możesz mieć własne obowiązki zgłoszeniowe. Przejrzyj umowę pod kątem klauzul bezpieczeństwa i powiadamiania. NetSenX wykrywa beaconing i nietypowe sesje z hostów, z których korzystał dostawca, a jego mapa sieci pokazuje, z czym te hosty faktycznie się komunikowały.

Bo sprzątanie wygląda inaczej. Przejęte konto oznacza, że ktoś ma hasło lub sesję użytkownika, których może użyć skądkolwiek: rozwiązaniem jest reset danych logowania, unieważnienie sesji, przegląd reguł skrzynki pocztowej i wymuszenie uwierzytelniania wieloskładnikowego (MFA), a dowody są w logach tożsamości i usług. Przejęte urządzenie oznacza, że ktoś kontroluje samą maszynę, często za pomocą złośliwego oprogramowania: rozwiązaniem jest izolacja i odbudowa, a dowody są na punkcie końcowym i w jego ruchu sieciowym. Wiele incydentów obejmuje jedno i drugie, na przykład hasła skradzione z zainfekowanego laptopa albo konto użyte do instalacji narzędzi na serwerze. Ustal, z czym masz do czynienia, zanim wybierzesz działania, inaczej zresetujesz hasła na urządzeniu, które przechwyci nowe. NetSenX widzi stronę urządzenia w sieci: maszynę łączącą się z zewnętrznym serwerem, skanującą lub otwierającą nowe sesje. Nadużycie konta spoza Twojej sieci to domena logów tożsamości.