Реагирование на инциденты
Быстрая локализация взлома, форензика и восстановление
Во время инцидента самое дорогое — время. Решения первых часов определяют масштаб ущерба: что отключить, что сохранить, какие доказательства понадобятся позже.
На этом этапе важен порядок. Спешно выключенный сервер уничтожает и доказательства; нетронутая система даёт атакующему дополнительное время. Поэтому порядок работ определён заранее.
Как это устроено
| Этап | Что происходит |
|---|---|
| Вызов и оценка | Быстро определяем, что произошло: охват, затронутые системы, продолжается ли атака. |
| Локализация | Останавливается распространение: заражённые узлы изолируются, учётные записи блокируются, точки входа закрываются — с сохранением доказательств. |
| Форензика | Устанавливается, как проникли, когда началось и чего касались. Строится временная шкала. |
| Восстановление | Системы возвращаются в чистое состояние, точка входа закрывается, согласуются меры против повторения. |
Что вы получаете
Быстрая локализация
Первая цель — остановить распространение.
- Изоляция заражённых узлов
- Блокировка скомпрометированных учётных записей
- Закрытие точек входа
Отчёт форензики
Что произошло, с доказательствами.
- Временная шкала атаки
- Точка входа и первопричина
- Объём затронутых данных
Восстановление и профилактика
Чтобы не повторилось.
- Порядок возврата в чистое состояние
- Пробелы, которые нужно закрыть
- Рекомендации после инцидента
Хотите увидеть, какие атаки идут на ваше приложение прямо сейчас?
Проведём бесплатный анализ: неделю понаблюдаем за автоматизированным сканированием и попытками атак на ваш домен, а результат передадим в виде отчёта. На этом этапе ничего не блокируется и настройка не требуется.
Начнём
