Ақпараттық қауіпсіздік · зертханалық жұмыс №7

QazTech

Инцидент — дүйсенбі 09:15, файлдар шифрланған. Мақсат: зиянды шектеу, дәлелді сақтау, қызметті таза көшірмеден қайтару.

Кіріс · №5–6S06 ransomware, хабарлау ережесі
№7 фокусIncident Response
Шығыс · №8Lessons learned → аудит

Жалпы логика

Сегіз жұмыс — бір үздіксіз тізбек

1 → 2 → … → 8Қазіргі жұмыс — 07. Алдыңғы нәтиже осы жұмыстың кірісі.

Әр жұмысты басыңыз — қысқаша байланыс ашылады

№7 зертханалық жұмыс

Инциденттерді басқару

Мақсат: инцидентті анықтау, жіктеу, оқшаулау, дәлелді сақтау, қалпына келтіру және lessons learned. Цикл: Preparation → Detection → Analysis → Containment → Eradication → Recovery → Lessons Learned.

Практикалық тапсырмалар

Не істеу керек?

Тапсырманы басыңыз

  • 62Тип, ауырлық, ауқым＋
    Тип: ransomware. Ауырлық: Critical — файл және сервер. Ауқым: бірнеше ноутбук және A06. Бизнес: келісімшарт пен жұмыс құжаты тоқтайды.
  • 63Алғашқы 30 минут＋
    09:15 тикет. 09:20 SOC. 09:25 сегментті ажырату. Форматтау жоқ.
  • 64Timeline＋
    Келесі слайд. Уақыт, оқиға, әрекет, жауапты.
  • 65Evidence＋
    Тикет, скрин уақытымен, EDR, желі журналы, сервер журналы, хат, сағат синхрондылығы.
  • 66Contain, eradicate, recover＋
    Ажырату → тазалау дәлелден кейін → тексерілген көшірмеден қайтару.
  • 67Communication＋
    Help Desk → IT/SOC → CISO → CEO → заңгер. Клиент пен реттеуші тек дерек шыққаны расталса.
  • 68≥5 жақсарту＋
    MFA, офлайн көшірме, restore test, патч, оқыту, форматтамау ережесі.

Тапсырма 63–64

Алғашқы сағат

УақытОқиғаӘрекетЖауапты
09:15Алғашқы хабарламаIncident ticket ашу. Құрылғыны өшіруге асықпауHelp Desk
09:20Ransomware күдігіSOC/IT хабарлау. Пайдаланушыны желіден ажыратуIT
09:25Server affectedЗардап шеккен сегментті оқшаулауSOC
09:30Critical расталдыCISO және CEO хабарлауIT Manager
09:40ДәлелСкрин, EDR, журналды көшіру. Дискіні форматтамауSOC
09:45Backup күйіКөшірме желіде ме, шифрланған ба — тексеруIT
11:00ШекараҚай ноутбук және қай бума зақымданғанын тізімдеуSOC
Келесі күнҚалпына келтіруТаза көшірмеден, бақылаумен өндіріскеIT / CISO

Тапсырма 65–66

Evidence, ұстау, жою, қайтару

  • EНе сақталады＋
    Тикет уақыты, экран суреті, EDR оқиғасы, желілік журнал, файл серверінің журналы, кіру хаты (егер фишинг болса), сағаттың қай көзге синхрон екені, кім қандай әрекет жасады.
  • CContainment＋
    Зақымдалған VLAN-ды ажырату, күдікті тіркелгіні тоқтату, backup сегментін жабу. Мақсат — таралуды тоқтату, құрылғыны жою емес.
  • XEradication＋
    Дәлел алынғаннан кейін зиянды бағдарламаны жою, зақымдалған тіркелгінің құпиясын ауыстыру, патч. Таза екені EDR-мен тексеріледі.
  • RRecovery＋
    Көшірменің шифрланбағанын тексеру, сынақ қалпына келтіру, содан кейін өндіріс. Қайтар алдында сол осалдық жабық болуы керек.

Тапсырма 67–68

Кімге, қандай ретпен

РетКімНе айтыладыҚашан
1Help DeskФактіні тіркеу09:15
2IT / SOCКүдік және оқшаулау09:20
3CISOCritical, ауқым09:30
4CEOБизнес тоқтады, шешім керек09:30
5Заңгер / HRДерек шықса немесе ішкі адам күдікті болсаРасталған соң
6Клиент / реттеушіТек дерек шыққаны дәлелденсе, заңгерменЖеке шешім

Бақылау сұрақтары

Өзін-өзі тексеру

Сұрақты басыңыз — жауап ашылады

  • 69Event пен Incident айырмашылығы＋
    Event — кез келген жазба: кіру, қате. Incident — қауіпсіздікке зиян немесе оның нақты қаупі. Мың сәтсіз кіру — оқиғалар, бұзылған аккаунт — инцидент.
  • 70Containment мақсаты＋
    Зиянның әрі таралуын тоқтату: сегмент, тіркелгі, backup. Жою мен қалпына келтіру келесі қадам.
  • 71Evidence не үшін＋
    Не болғанын, қайдан кіргенін және кім зардап шеккенін дәлелдеу. Форматтасаңыз, сабақ та, заңдық жауап та жоғалады.
  • 72Қашан өндіріске қайтарамыз＋
    Көшірме таза екені тексерілгенде, кіру құпиясы ауысқанда, сол осалдық жабылғанда және бақылау қосылғанда. Асығыс қайтару инцидентті қайталайды.
  • 73Lessons Learned қай құжатқа әсер етеді＋
    Саясат (№6), treatment (№5), тәуекел тізілімі (№4) және аудит сұрақтары (№8). Мысал: restore test жылдық емес, тоқсандық болады.