Lunavaraintsidendi esimene päev otsustab, kui palju te kaotate, kui kaua taastumine kestab ja kas suudate hiljem selgitada, mis juhtus. Esimene instinkt on kõik välja lülitada ja hakata taastama. Tõmmake tempot just niipalju maha, et rünnak ohjeldada, hävitamata tõendeid, mida hiljem vajate.
Tund 0–1: ohjeldage rünnak tõendeid hävitamata
Ühendage mõjutatud süsteemid võrgust lahti: tõmmake kaabel välja, lülitage Wi-Fi välja, sulgege kommutaatori port või kasutage oma lõppseadmete kaitsetarkvara isoleerimisfunktsiooni. Kui mõjutatud näib olevat mitu süsteemi või terved alamvõrgud, isoleerige need kommutaatori tasemel, mitte masinhaaval.
Ärge lülitage masinaid välja, kui saate need võrgust lahti ühendada. CISA #StopRansomware juhend käsitleb väljalülitamist varulahendusena seadmetele, mida ei saa võrgust eemaldada, sest väljalülitamine hävitab mälus olevad tõendid. Ärge veel ka kustutage, paigaldage süsteemi uuesti ega käivitage puhastustööriistu.
Jätke lunarahanõue ja krüpteeritud failid sinna, kus need on. Pildistage ekraane, millel nõue on näha.
Viige suhtlus teise kanalisse
Eeldage, et ründaja saab lugeda teie e-kirju ja vestlusi. CISA soovitab reageerimise koordineerimiseks kasutada teisi kanaleid, näiteks telefonikõnesid, et ründajat mitte hoiatada. Looge telefonikonverents või sõnumirühm seadmetes, mis ei kuulunud mõjutatud keskkonda.
Määrake üks intsidendi juht. Alustage kirjalikku logi, kuhu märgite iga otsuse ja tegevuse koos ajatempliga. Seda on vaja järelevalveasutustele, kindlustusandjatele ja teie enda intsidendijärgseks ülevaatuseks.
Säilitage tõendid
Enne kui midagi uuesti üles ehitatakse, koguge kokku see, mida uurimiseks vaja läheb:
- valimist mõjutatud masinatest kettatõmmis ja mälutõmmis, nagu soovitab CISA
- tulemüüride, VPN-i, lõppseadmete kaitse, domeenikontrollerite, e-posti ja pilveteenuste logid
- lunarahanõue, mõned krüpteeritud failid ja faililaiend, mille pahavara lisas
Mõjutatud süsteemide logisid võidi muuta või kustutada. Euroopa Andmekaitsenõukogu (EDPB) hoiatab, et puuduv logikirje ei tõenda, et andmeid välja ei viidud, ja soovitab logid edastada kesksesse serverisse. Eksportige olemasolevad logid enne, kui säilitusseaded need üle kirjutavad.
Selgitage välja ulatus
Krüpteeritud failid näitavad, kus rünnak lõppes, mitte seda, kus see algas. CISA soovitab otsida varasema etapi pahavara ja andmevarguse tunnuseid. Püüdke vastata neljale küsimusele:
- Millised süsteemid ja andmed on krüpteeritud või mõjutatud?
- Milliseid kontosid ründaja kasutas? Otsige uusi kontosid, hiljuti suurendatud õigustega kontosid ja administraatorite ebatavalist tegevust.
- Kuidas ründaja sisse pääses? Kontrollige näiteks ilma mitmikautentimiseta kaugjuurdepääsu, paikamata internetile avatud süsteeme ja hiljutisi õngitsuskirju.
- Kas andmeid kopeeriti välja? Kontrollige tulemüüri ja puhverserveri logidest suuri väljaminevaid andmeedastusi.
Viimane küsimus määrab suure osa teie õiguslikust olukorrast, seega käsitlege igasugust ebakindlust kui „võib-olla jah“, kuni saate selle välistada.
Lähtestage kasutajatunnused õiges järjekorras
Eeldage, et ründaja teab iga kasutajatunnust, mida mõjutatud süsteemis kasutati või hoiti. Lähtestage paroolid puhtast seadmest, mitte kunagi mõjutatud võrgus olevast masinast.
Kui lähtestate paroolid ajal, mil ründajal on veel jalgealune, võite talle lihtsalt uued paroolid kätte anda. CISA kontrollnimekiri paigutab täieliku lähtestamise ajale pärast keskkonna puhastamist ja ülesehitamist. Võimsaimate kontode erakorraline lähtestamine võib siiski olla vajalik varem, et ründaja juurdepääs katkestada. Leppige järjekord kokku oma intsidendile reageerijatega. Mõistlik järjekord on:
- Domeeni ja pilveidentiteedi administraatorid ning kõik hädaolukorra kontod
- Varundus-, hüperviisori- ja salvestussüsteemide administraatorid
- Kaugjuurdepääsu, VPN-i ja tulemüüri administraatorid
- Teenusekontod, eriti laiade õigustega kontod
- Active Directorys konto
krbtgt, kaks korda. Microsofti metsa taastamise juhend selgitab, miks on vaja kaht lähtestamist ja kui kaua nende vahel oodata. - Kõik ülejäänud kasutajad, tühistades olemasolevad seansid ja tõendid
Kontrollige varukoopiaid enne, kui neile tuginete
CISA märgib, et paljud lunavara variandid otsivad kättesaadavaid varukoopiaid ning kustutavad või krüpteerivad need. Enne taastamise kavandamist veenduge, millised varukoopiad on terved, millal tehti viimane puhas koopia ja kas sellest saab taastada.
Taastage esmalt isoleeritud keskkonda. CISA hoiatab, et pahavara laadijad (dropper) ja muud varasema etapi tööriistad tuleb leida enne, kui süsteemid varukoopiatest uuesti üles ehitatakse. Vastasel juhul võite koos andmetega taastada ka probleemi.
Õiguslikud ja regulatiivsed tähtajad
Mitu tähtaega võivad hakata kulgema hetkest, mil saate intsidendist teada. Need kulgevad paralleelselt.
| Reegel | Kehtib, kui | Tähtaeg | Kellele teatada |
|---|---|---|---|
| Isikuandmete kaitse üldmääruse (IKÜM) artikkel 33 | Mõjutatud on isikuandmed, välja arvatud juhul, kui rikkumine ei too tõenäoliselt kaasa ohtu inimestele | Põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul | Andmekaitse järelevalveasutus |
| NIS2 artikkel 23 | Olete ülioluline või oluline üksus ja intsident on olulise mõjuga | Esmane teade 24 tunni jooksul, intsidenditeade 72 tunni jooksul, lõpparuanne ühe kuu jooksul | Riiklik CSIRT või pädev asutus |
| KVKK (Türgi) | Mõjutatud on Türgi õiguse alusel töödeldavad isikuandmed | Viivitamata ja hiljemalt 72 tunni jooksul | Türgi isikuandmete kaitse nõukogu |
Lunavara on tavaliselt käideldavuse rikkumine ja sageli ka konfidentsiaalsuse rikkumine. EDPB lahendatud näidetes ei pruugi rünnakust, mille puhul on olemas hea varukoopia ja andmeid välja ei viidud, olla vaja teatada, kuid see tuleb siiski artikli 33 lõike 5 alusel organisatsioonisiseselt dokumenteerida. Rünnakust, mille puhul kasutatavat varukoopiat pole või andmeid varastati, tuleb üldjuhul teatada. Kui inimestele tekib suur oht, näiteks varastatud isikut tõendavate dokumentide tõttu, tuleb teavitada ka neid.
Nende tähtaegade järgimiseks ei ole vaja täielikke vastuseid. NIS2 kohane teavitamine on teadlikult etapiviisiline ning IKÜMi artikli 33 lõike 4 alusel võib teavet esitada etappide kaupa ilma põhjendamatu edasise viivituseta. Kontrollige ka oma küberkindlustuse poliisi, mis võib sätestada oma teavitamisnõuded, ja teatage kuriteost politseile.
Maksta või mitte maksta
Ühendkuningriigi NCSC ja Ühendkuningriigi õiguskaitseasutused ei soosi ega heaks kiida maksmist. Maksmine ei garanteeri, et saate oma andmed tagasi. Teie süsteemid on endiselt nakatunud ja teist võib uuesti sihtmärk saada. Europoli ja Hollandi politsei toetatav projekt No More Ransom avaldab mõne lunavaraperekonna jaoks tasuta dekrüpteerimistööriistu, seega kontrollige kõigepealt sealt.
Maksmine võib olla ka ebaseaduslik. USA rahandusministeeriumi välisvarade kontrolli büroo (OFAC) on hoiatanud, et sanktsioneeritud isikutele tehtavad lunarahamaksed võivad rikkuda USA sanktsioonireegleid. Tsiviilkaristusi võidakse kohaldada rangest vastutusest lähtudes. Küberrünnakuid käsitlev ELi määrus 2019/796 keelab teha vahendeid kättesaadavaks selles loetletud isikutele. Iga maksmisotsus kuulub juhtkonnale, õigusnõustajatele ja õiguskaitseasutustele, mitte keset ööd IT-meeskonnale.
Mida mitte teha
- Ärge lülitage masinaid välja, kui saate need isoleerida.
- Ärge ühendage süsteeme tagasi ega taastage neid enne, kui teate, kuidas ründaja sisse pääses.
- Ärge pidage ründajaga läbirääkimisi ega vastake talle ilma eksperdi ja juristi nõuandeta.
- Ärge arutage intsidenti ettevõtte e-postis ega vestluskanalites, mida võidakse jälgida.
- Ärge kustutage midagi, ka mitte lunarahanõuet.
Kust alustada enne, kui midagi juhtub
- Printige välja oma intsidendiplaan ja kontaktide nimekiri ning hoidke koopiaid võrgust eraldi.
- Leppige eelnevalt kokku, kes võib anda loa süsteemid võrgust välja lülitada.
- Hoidke vähemalt üht varukoopiat, mida administraatori kasutajatunnustega kustutada ei saa, ja testige taastamist.
- Pange juba praegu kirja oma IKÜMi, NIS2 ja KVKK teavituskontaktid.
- Leppige intsidentidele reageerimise tugi kokku enne, kui seda vajate.
Kui tegelete intsidendiga praegu, aitab meie intsidentidele reageerimise meeskond teil selle ohjeldada ja need sammud läbi teha.
