Расследование инцидентов

Все компании стремятся защищать информационные активы от внешних и внутренних злоумышленников, которые могут предпринимать попытки кражи, несанкционированного видоизменения или удаления данных, добиваться отказа в обслуживании целевых систем серверов и систем, собирать сведения для реализации дальнейших атак. Задача службы информационной безопасности — вовремя отметить подозрительную активность и установить виновных, то есть провести расследование инцидентов. Для этого необходимо определить локализацию и источник угрозы, а также принять меры для предотвращения ущерба для компании. В статье рассказываем, каким образом происходит расследование инцидентов информационной безопасности и какие технологии могут быть для этого задействованы.

Типы инцидентов ИБ

Для проведения расследования инцидентов информационной безопасности необходимо определить характер подозрительной активности.

Существует несколько классификаций инцидентов:

По локализации угрозы:

• Внешние инциденты происходят по вине сторонних злоумышленников, чаще всего хакеров. Например, попытка взлома корпоративной почты с внешнего IP-адреса, рассылка фишинговых писем сотрудникам компании, атака на веб-сайт организации.
• Внутренние инциденты связаны с действиями сотрудников или доверенных лиц компании, обладающих доступом к корпоративным ресурсам либо получивших его легитимным способом. Например, сотрудник копирует конфиденциальные документы на личный USB-накопитель, случайно отправляет внутреннюю информацию по ошибочному адресу либо умышленно передает данные конкурентам.

По характеру подозрительной активности:

• Внешние злоумышленники могут осуществлять такие атаки, как DDoS, внедрение вредоносных программ, фишинг, спуфинг, межсайтовый скриптинг и другие. Например, массовая DDoS-атака на сервер компании, заражение корпоративной сети вирусом-шифровальщиком, получение доступа к учетным записям сотрудников через фишинговые письма.
• Внутренние инциденты чаще всего связаны с утечками данных, которые могут быть как преднамеренными, так и случайными (например, из-за ошибки, невнимательности или незнания регламентов работы с конфиденциальной информацией). Например, сотрудник случайно прикрепил к письму не тот файл и отправил его внешнему получателю; работник, не зная правил, загрузил служебные документы в облачное хранилище без шифрования.

По степени возможного ущерба для компании:

• Одни инциденты практически не влияют на бизнес-процессы и репутацию организации. Например, случайная отправка внутреннего письма, не содержащего критически важной информации, не тому сотруднику.
• Другие могут оказывать серьезное или критическое воздействие. Например, утечка базы персональных данных клиентов, что может привести к штрафам и потере доверия, либо остановка работы ключевых сервисов компании из-за успешной хакерской атаки.

Эта классификация особенно важна для определения уровня приоритетности реагирования. Например, при масштабной хакерской атаке служба информационной безопасности должна принять меры в течение одного часа, чтобы предотвратить значительный ущерб.

Выявление инцидентов информационной безопасности при расследовании

Идентификация событий — это первый этап расследования инцидентов информационной безопасности. На практике выявить подозрительную активность на ранней стадии удается не всегда; зачастую инцидент обнаруживается уже после того, как событие произошло.

Признаками возможных инцидентов могут быть:

• Необычное поведение информационных систем и сетей.
• Сбои или нестабильная работа сервисов.
• Неавторизованные попытки доступа к ресурсам.
• Изменения в конфигурации или данных без согласования.
• Необычные действия пользователей или автоматизированных процессов.

Для обнаружения подобных событий используются различные инструменты и решения, такие как системы мониторинга, журналы событий, средства анализа сетевого трафика и специализированные платформы информационной безопасности. Эти инструменты позволяют своевременно выявлять и реагировать на потенциальные угрозы.

Сдерживание угрозы при расследовании инцидентов информационной безопасности: блокировка нежелательных последствий

Перед началом полноценного расследования инцидента информационной безопасности необходимо принять меры по сдерживанию угрозы, чтобы предотвратить дальнейшее развитие вредоносной активности и минимизировать возможные последствия для организации. Первый шаг — изоляция угрозы. Для этого может потребоваться удаление вредоносных программ с зараженных устройств, блокировка скомпрометированных учетных записей, временное отключение пораженных систем от сети или ограничение доступа сотрудников к определенным ресурсам, включая интернет, если есть подозрение на внутренний инцидент.

Чем быстрее будут приняты меры по сдерживанию, тем ниже риск серьезного ущерба, включая утечку конфиденциальных данных. На этом этапе не рекомендуется сразу оценивать ущерб или восстанавливать утраченные данные, поскольку до полной остановки вредоносной активности инцидент может повториться. После локализации угрозы и остановки инцидента проводится оценка ущерба и разрабатывается оптимальный план по его минимизации. Например, в случае утечки персональных данных клиентов важно своевременно уведомить пострадавших лиц, чтобы сохранить доверие к компании и выполнить требования законодательства.

Выявление виновных и установление причин инцидента

На этапе расследования важно определить, кто стал инициатором инцидента и что послужило его причиной. Если инцидент носит внутренний характер, необходимо установить причастных лиц. В одних случаях виновник очевиден, в других — требуется тщательный анализ. Для достоверного выявления нарушителя используются данные, собранные с помощью систем мониторинга и аудита действий пользователей.

Не менее важно установить причину инцидента. В случае внешних атак это могут быть эксплуатация уязвимостей в программном обеспечении, недостаточная защита сетевой инфраструктуры или ошибки в настройках систем. Внутренние инциденты часто связаны с ошибками, небрежностью, нарушением регламентов, злонамеренными действиями или промышленным шпионажем.

Анализ причин и обстоятельств инцидента позволяет не только выявить виновных, но и принять меры для предотвращения подобных ситуаций в будущем.

Сбор и анализ доказательств в рамках расследования инцидентов ИБ

На этапе расследования инцидентов информационной безопасности особое значение имеет сбор и анализ доказательств, подтверждающих факт нарушения и причастность конкретных лиц. Для этого используются различные технические средства и инструменты мониторинга, которые позволяют фиксировать действия пользователей и систем в корпоративной инфраструктуре. К таким инструментам относятся, например, системы контроля утечек данных DLP (Data Leak Prevention), которые регистрируют попытки передачи информации, подключение внешних носителей, печать документов, создание скриншотов и другие действия, потенциально связанные с инцидентом.

Собранные данные анализируются для выявления последовательности событий, установления причин и определения круга причастных лиц. Такой подход обеспечивает объективность расследования и позволяет выработать эффективные меры по предотвращению аналогичных инцидентов в будущем.

Роль DLP-системы Solar Dozor в расследовании инцидентов информационной безопасности

DLP-система предназначена для предотвращения внутренних инцидентов информационной безопасности и утечек критически важной информации. Одна из ее ключевых функций — контроль действий персонала и обнаружение инсайдеров.

Для решения этих задач используются различные методы расследования инцидентов информационной безопасности:

• Широкий охват каналов коммуникаций. Система контролирует различные каналы передачи информации: электронную почту, мессенджеры, веб-ресурсы, съемные носители, печать документов, а также голосовые коммуникации с возможностью автоматического перевода речи в текст. Это позволяет своевременно выявлять подозрительные действия и предотвращать несанкционированную передачу данных.
• Модуль Dossier — модуль, содержащий детальные досье на каждого сотрудника и предоставляющий аналитический инструментарий для исследования накопленных сведений. С его помощью можно отследить все коммуникации персонала, используемые каналы связи, действия в интернете и другую активность.
• Универсальный плеер 4D — функция, позволяющая объединять в таймлайн собранные из разных источников данные за сутки о конкретных персонах: сообщения, события безопасности, записи или снимки экрана АРМ, аудиозаписи с микрофона рабочей станции и др. Использование плеера 4D сокращает трудозатраты на установление обстоятельств нарушений и способствует объективности расследований.
• Технология анализа поведения пользователей UBA (User Behaviour Analytics) — уникальная для российского рынка технология, позволяющая выявлять потенциальных инсайдеров еще до того, как они принесут вред компании. Модуль создает пользовательские профили и на основе ряда паттернов формирует группы риска, куда могут входить немотивированные сотрудники, возможные нарушители, готовящиеся к увольнению и т. д. С помощью UBA можно предположить, от кого потенциально исходит угроза, и предотвратить инцидент.

Для расследования инцидентов офицеры службы безопасности соотносят выявленные с помощью Solar Dozor поведенческие аномалии с событиями в информационном периметре. Это позволяет обнаруживать нарушителей, которые внешне не проявляли подозрительной активности, но нанесли ущерб компании.

Само расследование удобно проводить с помощью модуля Dozor Detective, обладающего широким инструментарием для автоматизации процессов расследования инцидентов информационной безопасности. В этом модуле можно приобщать к делу не только собранные с помощью Solar Dozor сведения, но и данные из других систем, например кадровых, СКУД, ЭДО и пр. Также в Dozor Detective можно расследовать инциденты, произошедшие вне цифрового периметра организации.

Преимущества Dozor Detective:

• Проведение расследований в DLP-системе — ключевом инструменте службы безопасности и источнике данных для наполнения дела.
• Возможность расследования инцидентов, произошедших как в цифровом периметре компании, так и вне его.
• Автоматическое создание отчетов с возможностью редактирования и выгрузки.
• Управление жизненным циклом инцидента с момента его регистрации до закрытия в едином интерфейсе.
• Безопасное хранение материалов дел в периметре DLP с разграничением доступа и логированием действий.

Устранение последствий инцидента

После завершения расследования инцидентов информационной безопасности и установления виновных необходимо приступить к восстановлению нормальной работы компании. В первую очередь требуется восстановить работоспособность затронутых систем и возобновить ключевые бизнес-процессы, чтобы как можно скорее вернуться к полноценной деятельности.

В ряде случаев может потребоваться переустановка отдельных компонентов ИТ-инфраструктуры, после чего важно провести проверку их корректного функционирования и убедиться в отсутствии уязвимостей, которые могли быть использованы злоумышленниками.

Если в результате инцидента были изменены или утрачены корпоративные данные, необходимо восстановить всю возможную информацию. Эта задача значительно упрощается, если в компании реализованы процедуры регулярного резервного копирования критически важных данных и ведутся архивы. Восстановление данных из резервных копий позволяет минимизировать потери и быстрее вернуться к нормальной работе.

Конкретный перечень мероприятий по ликвидации последствий зависит от характера инцидента, масштаба ущерба и степени влияния на бизнес-процессы предприятия. Важно не только устранить непосредственные последствия, но и провести анализ причин инцидента, чтобы в дальнейшем повысить уровень защищенности и предотвратить повторение подобных ситуаций.

Меры по усилению информационной безопасности

Расследование инцидентов позволяет выявить уязвимости и слабые места в защите, которые были использованы злоумышленниками.

Чтобы минимизировать риски повторения подобных ситуаций, компаниям рекомендуется принять комплекс мер по усилению информационной безопасности:

• Пересмотреть и актуализировать внутренние политики и регламенты по информационной безопасности с учетом выявленных инцидентов.
• Провести дополнительную организационную работу с персоналом: повысить уровень осведомленности сотрудников о современных угрозах, провести обучающие мероприятия и инструктажи.
• Обеспечить надежное хранение данных, внедрить механизмы шифрования и регулярно выполнять резервное копирование критически важных информационных активов.
• Внедрить современные программные и аппаратные решения для защиты сетевого периметра, а также для предотвращения несанкционированного доступа к конфиденциальной информации.
• Усилить службу информационной безопасности, расширить ее полномочия и ресурсы для эффективного реагирования на инциденты.

Если в компании еще не используются средства защиты данных и мониторинга действий персонала, рекомендуется внедрить такие инструменты. Одним из эффективных решений для этих целей является система Solar Dozor, которая обеспечивает комплексный контроль и защиту корпоративной информации.