Існує кілька підходів до реагування на кіберінциденти, які можуть трапитися на підприємствах. Зазвичай йдеться про шість базових кроків, які допоможуть виявити та усунути загрозу.

 

• Підготовка

Це перший і найважливіший етап, що включає розробку плану реагування на інциденти, навчання співробітників, створення команд для реагування на інциденти та забезпечення наявності необхідних інструментів і ресурсів. Підприємство повинно чітко знати, як діяти у випадку кіберінциденту, і забезпечити, щоб всі учасники процесу були належним чином підготовлені.

До настання інциденту важливо зменшити вразливості та встановити політику і процедури безпеки. На цьому етапі організаціям необхідно оцінити ризики, виявити слабкі місця та пріоритетні активи. Важливо забезпечити розробку та вдосконалення процедур безпеки, визначити ролі та обов'язки співробітників, а також запровадити своєчасне оновлення систем безпеки для мінімізації ризиків. Окрім цього потрібно постійно вдосконалювати існуючі політики, процедури та системи, щоб вони відповідали отриманому досвіду та технологічним змінам.

 

• Ідентифікація кіберзагроз

Щодня команда безпеки може отримувати тисячі сповіщень про підозрілу активність, деякі з яких є хибними або незначними. Щоб ефективно протистояти реальним кіберзагрозам необхідно впровадити моніторингу мережевої активності, аналіз журналів подій, використання систем виявлення вторгнень та інших інструментів, що забезпечують спостереження за можливими аномаліями. Після виявлення потенційної загрози команда аналізує її та документує деталі (джерело, тип атаки та цілі зловмисника).

 

• Локалізація кіберзагрози

Наступним пріоритетом є якнайшвидша локалізація загрози. Що довше зловмисники мають доступ до системи, то більшої шкоди вони можуть завдати. Після виявлення інциденту важливо швидко обмежити кіберзагрозу: відключення заражених систем від мережі, ізоляцію скомпрометованих облікових записів або тимчасове припинення певних бізнес-процесів. Все це допоможе мінімізувати шкоду та унеможливити поширення на інші системи. 

 

• Усунення кіберзагрози

Після завершення локалізації важливо видалити шкідливе ПЗ, оновити програмне забезпечення, змінити конфігурації системи. Важливо переконатися, що всі вразливості, які були використані зловмисниками, усунені.

 

• Відновлення

Після усунення загрози потрібно відновити нормальну роботу систем і бізнес-процесів. Відновлення після інциденту може зайняти кілька годин й охоплює такі етапи:

• перевірка цілісності даних
• відновлення з резервних копій
• впровадження додаткових заходів безпеки для запобігання подібним інцидентам у майбутньому.

 

• Зворотний зв'язок і доопрацювання

Коли інцидент вирішено, команда аналізує те, що сталося, і визначає, як удосконалити процес. Навчання на цьому етапі допомагає команді посилити захист організації.