Одговор на инциденти и форензика: подготвеност, контрола и докази

Контактирајте нè и опишете што сте забележале. Додека не разговараме, не ги исклучувајте и не ги бришете засегнатите системи, бидејќи со тоа се губат доказите во меморијата. Ако мора да го запрете ширењето, исклучете ги од мрежата, а не од струја, зачувајте ги логовите и запишете кога првпат сте дознале за проблемот: според законот усогласен со NIS2, од тој момент почнува да тече рокот за известување.

Тоа е договор што се склучува пред нешто да тргне наопаку. Однапред ги договараме опфатот, контактите за ескалација, каналите за комуникација и пристапите, а договорот може да опфати и подготвителна работа, како преглед на планот и симулациски вежби. Кога ќе се случи инцидент, не преговарате за договор додека тече времето. Овој договор е опција, а не услов, и не мора да бидете клиент на нашиот управуван SOC. Условите зависат од вашата големина и потреби, па понудата ја подготвуваме по краток разговор.

За значаен инцидент, македонскиот закон бара прво известување до надлежниот CSIRT најдоцна три часа откако ќе дознаете за него, рано предупредување по 24 часа, известување за инцидентот по 72 часа, меѓуизвештај на барање и завршен извештај еден месец по известувањето. Првиот чекор од три часа го нема во директивата на ЕУ, која почнува со рано предупредување по 24 часа. Ви помагаме да процените дали инцидентот е значаен и ги подготвуваме фактите и нацрт-текстот за секој чекор. Обврската за поднесување останува ваша.

Ако инцидентот заврши со спор, барање до осигурител, регулаторна проверка или кривична постапка, можеби ќе треба да докажете дека доказите не биле изменети. Според ISO/IEC 27037, доказите ги идентификуваме, собираме, прибавуваме и зачувуваме со проверени копии и хаш-вредности, и евидентираме кој ракувал со секој доказ, кога и зошто.

Ги водиме вашето раководство и техничките тимови низ реалистично сценарио, на пример ransomware за време на викенд или компромитирана сметка за е-пошта искористена за измама со плаќање, и бараме од нив да ги донесат одлуките со кои би се соочиле. Тоа е разговор, а не тест на живите системи. Резултатот е краток список на празнини во планот, улогите и контактите, кои ви помагаме да ги затворите.