Понеделник сутрин. Клиент се обажда: получил е писмо от вашата поща с нова банкова сметка за плащане, а вие не сте го пращали. Или служител отваря общата папка и вместо документи вижда файлове с непознато разширение и бележка с искане за откуп.
В такъв момент първата реакция често влошава нещата: някой трие писма, рестартира сървъра или плаща, за да "приключи бързо". По-долу е какво да направите в първите часове при най-честите инциденти в малка фирма и какво да не правите.
Накратко:
- Първо изяснете какво се е случило и кое е засегнато - пощата, един компютър или целият офис.
- Ограничете щетите: сменете паролата от чисто устройство или изключете засегнатия компютър от мрежата.
- Не трийте нищо и не плащайте откуп - запазете следите за проверката.
- Предупредете клиентите и банката, ако има риск от фалшиво плащане.
Първите 15 минути: изяснете какво се случва
Преди да действате, отговорете на три въпроса:
- Какво точно видяхте - писмо, което не сте пращали, криптирани файлове, непознато влизане, изчезнали пари?
- Кое е засегнато - една поща, един компютър, сървърът или всички?
- Кога започна - днес, или някой вече е забелязал нещо преди дни?
Запишете часа и направете снимки на екрана. Обадете се на ИТ поддръжката си и разкажете какво виждате. Според типа на атаката стъпките са различни - затова изясняването е първо.
Хакнат имейл
Това е най-честият инцидент. Най-често започва с фишинг писмо - фалшива страница за вход, в която служителят сам въвежда паролата си. Признаци: клиенти получават писма, които не сте пращали; в "Изпратени" има непознати писма; не можете да влезете с паролата си.
- Сменете паролата от друго, чисто устройство - не от компютъра, на който може да има зловреден софтуер.
- Излезте от всички сесии - в Microsoft 365 това прекъсва достъпа на нападателя, дори ако е влязъл с вашата парола.
- Включете двуфакторен вход, ако го нямате. Вижте защо фирмите използват двуфакторен вход.
- Проверете правилата за пощата - нападателите често добавят пренасочване към външен адрес или правило, което скрива отговорите на клиентите.
- Проверете "Изпратени" и "Изтрити", за да видите кои клиенти са получили писма.
- Предупредете клиентите, които може да са получили фалшиво писмо - по телефона, не с отговор на същото писмо.
Повече за защитата на пощата в как да защитим фирмения имейл.
Подозрително плащане или сменена банкова сметка
Ако някой е платил по писмо с "нова сметка", времето е най-важно. Това е измамата с най-големи финансови загуби при хакнат имейл.
- Обадете се веднага на банката - понякога плащането може да се спре, ако се реагира в същия ден.
- Не отговаряйте на писмото - обадете се на доставчика или клиента на телефон, който имате отпреди.
- Запазете писмото с всичките му данни - банката и полицията ще го поискат.
Криптирани файлове (рансъмуер)
Признаци: файловете не се отварят, имат ново разширение, има бележка с искане за откуп.
- Изключете засегнатия компютър от мрежата - извадете кабела и изключете Wi-Fi. Не го изключвайте от тока и не трийте нищо.
- Не плащайте откуп - няма гаранция, че ще получите файловете, а платилите често са нападани отново.
- Не включвайте външния диск с архива към заразен компютър - така може да се криптира и архивът.
- Проверете кои други компютри и общи папки са засегнати.
Възстановяването става от архив, след като е ясно как е влязъл нападателят и пробивът е затворен. Вижте защита от рансъмуер за бизнеса и план за възстановяване при срив.
Какво да не правите
- Не трийте писма, файлове и журнали - по тях се разбира какво е станало.
- Не преинсталирайте веднага - първо трябва да е ясно откъде е влязъл нападателят, иначе ще влезе отново.
- Не крийте инцидента от колегите - човекът, който е кликнал, трябва да може да каже веднага, без страх.
- Не ползвайте същата парола на друго място - сменете я навсякъде, където е била същата, включително в социалните мрежи. Един хакнат акаунт с обща парола отваря и останалите.
След инцидента
Когато всичко работи отново, направете кратък преглед: как е влязъл нападателят, какво е засегнато, има ли изтичане на данни и какво се променя - двуфакторен вход, обновления, по-добра защита на компютрите, архив извън офиса. Вижте EDR срещу традиционен антивирус и резервно копиране на фирмени данни.
Ако фирмата попада под NIS2, за значителните инциденти има срокове за уведомяване към органите - по директивата първото уведомяване е до 24 часа от узнаването. Уведомяването е задължение на самата фирма и е добре процедурата да е готова предварително. Вижте ръководство за NIS2 съответствие.
Как го правим ние
Когато клиент ни потърси с инцидент, първо изясняваме ситуацията - какво се е случило, кои акаунти и системи са засегнати и откога. Според типа на атаката преценяваме следващите стъпки и даваме ясни насоки какво да се направи веднага и какво после.
Голяма част от инцидентите се предотвратяват или се хващат рано: системите на клиентите ни се наблюдават 24/7, обновленията се правят редовно, а архивите се проверяват. Денонощна реакция при инцидент е отделна услуга и се уговаря предварително.
Често задавани въпроси
Хакнаха ми пощата - достатъчно ли е да сменя паролата?
Не. Трябва и да излезете от всички сесии, да включите двуфакторен вход и да проверите правилата за пренасочване в пощата. Нападателите често оставят пренасочване, което продължава да работи и след смяната на паролата.
Да изключа ли компютъра, ако файловете са криптирани?
Изключете го от мрежата - кабела и Wi-Fi, но не от тока. Така спирате разпространението към други компютри и пазите следите за проверката.
Да платим ли откупа?
Не препоръчваме. Няма гаранция, че ще получите файловете, а фирмите, които са платили, често са нападани отново. Възстановяването става от архив.
Кого да уведомим?
ИТ поддръжката си - веднага. Банката - ако има плащане. Клиентите - ако са получили фалшиви писма от вас. Ако фирмата попада под NIS2, и органите в сроковете по закона.
Как да разберем, че нападателят вече го няма?
Чрез проверка: кои акаунти са влизали отвън, какви правила и програми са добавени, кои компютри са засегнати. Затова не трийте нищо, преди проверката да е готова.
Нека поговорим за вашите нужди и ще ви предложим най-доброто решение и цена.
Тагове:
