Menangani serangan siber untuk pengguna yang tidak berpengalaman

PCHardwarePro » Windows » Menangani serangan siber untuk pengguna yang tidak berpengalaman

Hidup terhubung ada harganya: virus, penipuan dalam talian atau pelanggaran keselamatan semakin mudah merosakkan hari kita. Satu klik pada pautan berniat jahat boleh mengunci syarikat, mencuri data sulit atau melumpuhkan hospital.Berita baiknya ialah, walaupun tanpa menjadi pakar komputer, anda boleh menyediakan diri anda untuk bertindak balas secara bijak dan meminimumkan kerosakan.

Artikel ini mengumpulkan dan menyusun maklumat penting daripada rangka kerja dan panduan keselamatan siber terbaik (NIST, GDPR, amalan terbaik tindak balas insiden, perkhidmatan khusus, contoh dunia sebenar, dsb.). Matlamatnya adalah untuk memberi anda "manual kecemasan" yang jelas untuk memahami apa itu serangan siber, jenis insiden yang wujud dan cara bertindak balas langkah demi langkah jika anda tidak mempunyai latar belakang teknikal.baik pada peringkat peribadi mahupun dalam syarikat kecil atau sederhana.

Apakah sebenarnya serangan siber dan mengapa ia menjejaskan anda walaupun anda bukan seorang pakar teknologi?

Apabila kita bercakap tentang serangan siber, kita bukan sahaja merujuk kepada berita besar tentang syarikat multinasional. Serangan siber ialah sebarang tindakan berniat jahat yang dilancarkan daripada peranti atau rangkaian untuk mencuri, mengubah, memusnahkan data atau mengganggu sistemDan itu termasuk segala-galanya daripada e-mel peribadi anda hinggalah pelayan syarikat.

Penyerang boleh mempunyai motivasi yang sangat pelbagai: menjana wang dengan ransomware atau penipuan, mengintip, mensabotaj organisasi, membalas dendam atau menyebabkan kemudaratan untuk cabaran "teknikal" semata-mataJulatnya bermula daripada e-mel pancingan data biasa hinggalah operasi kompleks terhadap rantaian bekalan perisian.

Tambahan pula, permukaan serangan adalah sangat besar: komputer, telefon bimbit, tablet, perkhidmatan awan dan rangkaian Wi-Fi (tutorial tentang rangkaian dan penghalaPeranti IoT, pelayan fizikal dan aplikasi web. Tiada apa-apa yang mempunyai sambungan internet benar-benar selamat, tidak kira betapa kecilnya perniagaan itu.

Bagi pengguna yang tidak berpengalaman, masalahnya ada dua: di satu pihak, Lebih mudah untuk terjebak dalam perangkap (pancingan data, laman web palsu, lampiran berniat jahat)dan, sebaliknya, belajar untuk konfigurasikan pelayar web Ia membantu untuk mengelakkannya; sebaliknya, apabila sesuatu yang tidak kena berlaku, sukar untuk mengetahui sama ada ia merupakan kegagalan biasa atau serangan yang sedang berlaku dan langkah-langkah yang perlu diambil seterusnya.

Jenis insiden keselamatan yang paling biasa (dijelaskan tanpa jargon teknikal)

Sebelum menjawab, anda perlu tahu apa yang anda hadapi. Tidak semua insiden sama seriusnya, dan tidak juga ditangani dengan cara yang sama.Ini adalah jenis utama yang diterangkan dalam panduan profesional, diterjemahkan ke dalam bahasa yang lebih mudah.

Akses tanpa kebenaran kepada data atau sistemSeseorang mendapat akses tanpa kebenaran, sama ada ke e-mel korporat anda, pelayan syarikat atau panel pentadbiran. Ini biasanya disebabkan oleh kata laluan yang lemah (anda boleh semak keselamatan kata laluan), kelayakan yang dicuri atau penyalahgunaan kebenaran oleh kakitangan dalaman.

Kebocoran atau pelanggaran maklumatData yang sepatutnya dilindungi akhirnya jatuh ke tangan pihak ketiga atau terdedah di internet. Ia boleh dibocorkan secara tidak sengaja (pemindahan fail yang salah, konfigurasi awan terbuka) atau melalui serangan yang mencuri keseluruhan pangkalan data. Akibat perundangan dan reputasi boleh menjadi ketara.terutamanya jika ia menjejaskan data peribadi yang dilindungi oleh GDPR.

Ancaman dalamanBahaya tidak selalunya datang dari luar. Pekerja yang tidak berpuas hati, kecuaian yang serius atau kekurangan latihan boleh membuka pintu kepada serangan yang serius. Seseorang yang mempunyai keistimewaan tinggi yang tidak tahu cara mengurusnya dengan betul boleh menyebabkan lebih banyak kerosakan daripada penggodam luaran..

Pelanggaran keselamatan fizikalKurang kerap, tetapi berbahaya. Kita bercakap tentang penceroboh yang mengakses bilik pelayan, mencuri komputer riba atau peranti USB dengan maklumat sensitif atau mengusik peralatan kritikal.

serangan sifar hariKerentanan yang tidak diketahui dalam perisian yang belum ada tampalannya. Dalam praktiknya, Ia seperti mempunyai pintu sisi terbuka yang pengeluarnya pun tidak sedar.Ia sukar untuk dijangka, tetapi pengurusan dan pemantauan tampalan yang baik dapat mengurangkan kerosakan.

CryptojackingPenyerang menggunakan peralatan anda (tanpa pengetahuan anda) untuk melombong mata wang kripto. Anda akan perasan komputer anda lebih perlahan, kipas berjalan pada kelajuan penuh dan penggunaan tenaga tinggi. Mereka tidak selalu mencuri data, tetapi mereka menjejaskan prestasi dan menjana kos..

Perisian hasad dan tebusanRansomware ialah perisian berniat jahat yang memasuki sistem anda untuk mencuri, menyulitkan atau memusnahkan maklumat. Ia menyulitkan fail anda dan meminta wang tebusan untuk mendapatkannya semula. Ia merupakan salah satu bentuk pemerasan yang paling menguntungkan bagi penyerang dan salah satu yang paling dahsyat bagi syarikat..

Mengapakah pelan tindak balas insiden adalah penting (walaupun anda kecil)

Syarikat-syarikat mengalami percubaan serangan yang berterusan; kajian menunjukkan impak setiap beberapa puluh saat di seluruh dunia. Tanpa pelan tindak balas insiden, tindak balas biasanya huru-hara, perlahan dan mahal.Dan dalam keselamatan siber, masa adalah segalanya.

Pelan tindak balas insiden keselamatan siber yang baik, malah pelan yang dipermudahkan untuk organisasi kecil (lihat panduan keselamatan siber untuk PKS), digunakan untuk: Kesan masalah lebih awal, kawal, sambung semula aktiviti secepat mungkin dan pelajari daripada setiap insiden untuk mengukuhkan pertahanan..

Selain itu, Banyak peraturan memerlukan demonstrasi bahawa langkah-langkah yang munasabah diambil untuk melindungi data peribadi dan sistem kritikal.GDPR di Eropah, NIS2, piawaian seperti NIST atau CIS atau keperluan khusus sektor (kesihatan, perbankan, tenaga) menghendaki anda mendokumentasikan apa yang anda lakukan sebelum, semasa dan selepas serangan.

Dari perspektif perniagaan, pelan tindak balas memberi kesan langsung kepada tiga bidang utama: pengurusan risiko dan kos, kesinambungan perniagaan, pematuhan undang-undang dan reputasiIa bukan sekadar tentang "menjadi selamat", tetapi tentang dapat terus bekerja tanpa menenggelamkan syarikat dalam menghadapi krisis digital.

6 fasa kitaran hayat tindak balas insiden

Rangka kerja profesional berkongsi kitaran yang agak standard, yang boleh anda sesuaikan dengan mudah walaupun pasukan anda terhad. Anggap fasa-fasa ini sebagai kitaran yang berulang dan bertambah baik dengan setiap kejadian.

1. PersediaanDi sinilah asas diletakkan sebelum sesuatu yang serius berlaku. Menentukan dasar mudah (“apa yang perlu dilakukan jika…”), peranan asas (siapa yang menyelaras, siapa yang bercakap dengan pelanggan, siapa yang bercakap dengan penyedia IT), inventori aset, menyemak sandaran dan melatih pengguna supaya mereka tidak terjebak dalam perangkap asas.

2. Pengenalpastian atau pengesananMatlamatnya adalah untuk mengetahui secepat mungkin bahawa sesuatu yang luar biasa sedang berlaku. Di sinilah perkara berikut memainkan peranan. Amaran antivirus, pemberitahuan e-mel, tingkah laku komputer yang pelik, log masuk yang luar biasa, sistem perlahan yang tidak dapat dijelaskanPengguna tidak perlu mendiagnosis serangan itu; mereka hanya perlu melaporkannya dengan cepat.

3. PembendunganSebaik sahaja anda tahu anda mempunyai masalah, matlamat pertama adalah untuk mencegahnya daripada menjadi lebih teruk. Ini melibatkan Asingkan peranti yang dijangkiti, putuskan sambungannya daripada rangkaian, sekat pengguna yang mencurigakan, putuskan akses jauh buat sementara waktu dan tutup perkhidmatan yang terdedah..

4. PembasmianSudah tiba masanya untuk membersihkan. Buang perisian hasad, nyahpasang perisian yang tidak dibenarkan, tutup titik masuk (kelemahan, kata laluan bocor, akaun yang tinggal) dan pastikan penyerang tidak lagi mempunyai cara mudah untuk masuk semula.

5. PemulihanSebaik sahaja persekitaran terkawal dan bersih, anda mesti kembali kepada keadaan normal dengan berhati-hati. Pulihkan daripada sandaran yang disahkan. Hidupkan sistem secara berperingkat dan pantau dengan teliti beberapa hari pertama untuk mengesan sebarang aktiviti luar biasa..

6. Pengajaran yang dipelajariIni adalah bahagian yang hampir semua orang langkau, namun ia adalah bahagian yang menambah nilai paling tinggi dalam jangka masa sederhana. Dokumentasikan apa yang berlaku, berapa lama masa yang diambil untuk anda mengesannya, apa yang berkesan dan apa yang tidak. Kemas kini pelan tindak balas dan perkukuhkan kawalan dan latihan. supaya ketakutan seterusnya tidak begitu teruk.

Panduan praktikal untuk pengguna yang tidak berpengalaman

Walaupun syarikat-syarikat bercakap tentang CSIRT, SOC, SIEM dan akronim lain, bagi pengguna biasa, perkara yang penting adalah mempunyai skrip yang jelas dan ringkas apabila mereka mengesan masalah. Anggap langkah-langkah ini sebagai "pertolongan cemas digital" sebelum pakar terlibat..

1. Kekal tenang dan tuliskan apa yang anda lihatRalat pelik, tetingkap timbul yang tidak muncul sebelum ini, fail yang disulitkan, mesej yang meminta wang, e-mel yang dihantar atas nama anda tanpa pengetahuan anda… Lebih banyak butiran yang anda catatkan (tangkapan skrin, anggaran masa, apa yang anda lakukan), lebih mudah bagi pasukan teknikal untuk merekodkan semula apa yang berlaku..

2. Putuskan sambungan peralatan yang terjejas daripada rangkaianJika anda mengesyaki sesuatu yang tidak kena, Tanggalkan kabel rangkaian atau matikan Wi-Fi pada peranti untuk memperlahankan potensi penyebaranTidak perlu mematikannya sepenuhnya melainkan diarahkan oleh kakitangan teknikal; kadangkala adalah lebih baik untuk memastikan ia dihidupkan bagi membolehkan analisis forensik dijalankan.

3. Jangan cuba "membetulkannya" dengan memadam sesuatu secara rawak.Memformat secara sembarangan, memadam e-mel atau fail yang mencurigakan atau memasang semula program boleh memusnahkan bukti penting. Tindakan paling bijak adalah membiarkan semuanya tidak disentuh dan menunggu arahan daripada pasukan atau penyedia IT anda..

4. Tukar kata laluan daripada peranti yang bersihJika terdapat petunjuk akses tanpa kebenaran ke akaun (e-mel, perbankan dalam talian, intranet), Gunakan peranti lain yang anda tahu bersih untuk menukar kata laluan. dan dayakan pengesahan dua faktor apabila boleh.

5. Laporkan kejadian melalui saluran yang ditetapkanDalam sesebuah syarikat, biasanya terdapat peti mel atau telefon insiden, pegawai keselamatan atau penyedia luaran. Pelaporan dengan cepat dan tepat adalah kunci untuk mengurangkan masa pengesanan (MTTD) dan masa tindak balas (MTTR)..

Peranan alatan dan perkhidmatan khusus (SOC, SIEM, EDR, IR luaran)

Di sebalik tindak balas yang berkesan, biasanya terdapat satu set teknologi yang berfungsi di latar belakang. Pengguna yang tidak berpengalaman tidak perlu tahu cara mengkonfigurasinya, tetapi adalah berguna untuk memahami fungsi asasnya (lihat kunci keselamatan siber umum) untuk menilai sama ada syarikat itu dilindungi dengan baik atau tidak.

Penyelesaian keselamatan peranti (EDR, antivirus canggih) Mereka sentiasa memantau tingkah laku komputer dan pelayan untuk mengesan aktiviti yang mencurigakan, menyekat perisian hasad dan memudahkan pembendungan dan pemulihan.

Platform SIEM Mereka mengumpul dan menghubungkan rekod daripada pelbagai sumber (firewall, pelayan, aplikasi, sistem awan). Mereka membantu anda melihat "peta lengkap" tentang apa yang berlaku di persekitaran anda dan mengautomasikan amaran apabila ia mengesan corak serangan.

Alat perisikan ancaman Ia membantu mengkontekstualisasikan apa yang dilihat oleh sistem anda dengan apa yang berlaku di dunia: kempen pancingan data aktif, alamat IP berniat jahat, perisian hasad yang sedang popular, dsb. Ini membolehkan serangan disekat sebelum ia memberi impak yang serius..

Apabila sumber dalaman terhad, banyak organisasi beralih kepada perkhidmatan tindak balas insiden yang disumber luarPasukan khusus ini boleh: Menyediakan bantuan masa nyata semasa krisis, menyokong pematuhan peraturan, menyumbang kepakaran industri dan melengkapi infrastruktur keselamatan sedia ada..

Dalam kalangan yang lebih maju, sudah ada perbincangan tentang SOAR dan orkestrasiPlatform yang menghubungkan semua alat ini dan mengautomasikan banyak langkah berulang dalam tindak balas (menyekat IP, membuka insiden, mengasingkan pasukan), menyerahkan keputusan kritikal kepada orang ramai.

Persediaan proaktif: daripada Penilaian Kesediaan kepada daya tahan siber

Memberi respons yang baik di tengah-tengah krisis adalah lebih mudah jika anda telah membuat kajian terlebih dahulu. Tindak balas insiden proaktif adalah berdasarkan pengetahuan tentang persekitaran, kenalan dan alatan anda dengan baik sebelum masalah itu meletup..

Bahagian penting dalam persediaan itu ialah Penilaian KesediaanSemakan berkala di mana pasukan keselamatan mengesahkan bahawa, jika serangan berlaku esok, mereka boleh bertindak balas dalam beberapa minit, bukan beberapa hari. Matlamatnya ialah, apabila tiba masanya, serangan siber kritikal boleh ditangani dalam masa kurang daripada sejam.

Penilaian jenis ini memberi tumpuan kepada perkara-perkara yang sangat spesifik: Tentukan dengan jelas titik hubungan dalam organisasi, pastikan akses kepada alatan dan rekod yang diperlukan, mempunyai pengetahuan mendalam tentang sistem, perkhidmatan dan data kritikal, dan semak semula kewajipan undang-undang mengenai pemprosesan data.

Selain itu, Penilaian Kesediaan berfungsi untuk Mengesan jurang keselamatan, peluang untuk penambahbaikan dan menguji alatan baharu yang boleh melengkapi pertahanan sedia adaIa bukan sesuatu yang anda lakukan sekali sahaja dan itu sahaja; ia memerlukan pengemaskinian berterusan kerana persekitaran dan ancaman berubah.

Digabungkan dengan amalan proaktif lain seperti latihan insiden, penilaian komitmen dan latihan Pasukan MerahIni membina apa yang dipanggil daya tahan siber: keupayaan sesebuah organisasi untuk menentang, bertindak balas dan pulih daripada serangan tanpa tenggelam dalam percubaan tersebut.

Langkah pencegahan yang mudah tetapi berkesan untuk mana-mana organisasi

Walaupun tiada persekitaran yang akan 100% selamat, Terdapat langkah pencegahan organisasi, teknikal dan perundangan yang dapat mengurangkan kebarangkalian dan kesan serangan dengan ketara.walaupun dalam perniagaan kecil.

Dari sudut pandangan organisasi, adalah dinasihatkan untuk: Tentukan dasar keselamatan yang jelas, kelaskan maklumat mengikut sensitivitinya, hadkan akses mengikut peranan, kawal peranti boleh tanggal dan mudah alih, laksanakan dasar meja bersih dan selamat kertas, dan sediakan latihan berulang kepada semua kakitangan..

Dari sudut pandangan perundangan, ia adalah penting Mematuhi peraturan perlindungan data (seperti GDPR), mendokumentasikan insiden dan memasukkan klausa kerahsiaan dan penggunaan maklumat dalam kontrak dengan pekerja dan pihak ketiga.dan mewujudkan prosedur pemberitahuan kepada pihak berkuasa dan pihak yang terjejas apabila perlu.

Pada tahap teknikal, asasnya sangat jelas: Kemas kini sistem dan aplikasi, gunakan kata laluan dua faktor yang kukuh, kekalkan sandaran luar talian, lindungi rangkaian dengan tembok api, segmentasi dan pemantauan, serta gunakan penyelesaian keselamatan titik akhir dan e-mel..

Bagi banyak syarikat, membeli insurans siber khusus Ia satu lagi bahagian teka-teki: ia tidak menghalang serangan, tetapi ia membantu menampung kos pemulihan, nasihat undang-undang, pemberitahuan dan kerosakan reputasi apabila keadaan menjadi buruk.

Kos sebenar serangan siber: masa, wang, reputasi dan pihak ketiga yang terjejas

Kes-kes yang didokumentasikan daripada organisasi besar jelas menunjukkan kesan sebenar kegagalan untuk mengesan atau bertindak balas tepat pada masanya. Pengeluaran dihentikan selama berbulan-bulan, perkhidmatan kritikal terhenti, berjuta-juta kos langsung dan tidak langsung, dan kerosakan reputasi yang mengambil masa bertahun-tahun untuk sembuh..

Selain wang, kesannya terhadap pihak ketiga adalah sama atau lebih serius: Pelanggan tanpa perkhidmatan, pesakit tanpa akses kepada rekod perubatan mereka, pelajar tanpa platform pendidikan, penyedia yang disekat, rakan niaga yang tidak mempercayai hubungan tersebut.

Satu perkara penting yang diserlahkan dalam panduan profesional ialah masa tindak balas: Lebih cepat insiden dikesan dan tindak balas diaktifkan, lebih pendek tempohnya, lebih kecil skopnya, dan lebih mudah pemulihannya.Bertujuan untuk bertindak balas dalam masa kurang daripada sejam bagi menunjukkan tanda-tanda komitmen yang jelas bukanlah satu kemewahan, ia adalah satu keperluan.

Tekanan pengawalseliaan juga mesti diambil kira: Banyak syarikat dikehendaki melaporkan pelanggaran keselamatan kepada pihak berkuasa dan pihak yang terjejas.Menyembunyikan insiden atau menangguhkan pemberitahuan boleh menyebabkan penalti tambahan dan seterusnya menghakis keyakinan pelanggan dan pelabur.

Oleh itu, Pelan tindak balas yang difikirkan dengan teliti juga merangkumi strategi komunikasiMaklumat apa yang dikongsi, kepada siapa, bila, dan siapa yang dihadapi oleh orang ramai kepada pelanggan, media dan pengawal selia. Ketelusan yang diurus dengan baik boleh membuat perbezaan antara kehilangan atau mengekalkan kepercayaan.

Secara keseluruhannya, semua perkara di atas menunjukkan bahawa, walaupun serangan siber mungkin kelihatan seperti sesuatu yang "teknikal", kesannya sangat berkaitan dengan manusia dan perniagaan: Ia menjejaskan kesinambungan perniagaan, orang yang bergantung pada perkhidmatan, reputasi yang dibina selama bertahun-tahun, dan kestabilan ekonomi organisasi.Dengan langkah pencegahan yang bijak, pelan tindak balas insiden yang disesuaikan dengan saiz setiap entiti dan pengguna yang terlatih secara minimum, walaupun tanpa pengetahuan lanjutan, boleh mengubah bencana yang berpotensi menjadi masalah yang serius tetapi boleh diurus.

Artikel berkaitan:

Keselamatan mudah alih: panduan lengkap untuk melindungi telefon pintar anda