První hodina po zjištění kybernetického incidentu často rozhoduje o tom, zda organizace zvládne problém izolovat, nebo se škody začnou rychle násobit.
Kybernetický incident často nezačíná dramatickou obrazovkou s odpočtem. Prvním signálem může být neobvyklé chování účtu, nedostupná služba, podezřelý alert nebo informace od uživatele, že se děje něco neobvyklého.
Prvních několik desítek minut není především závodem o co nejrychlejší restart serveru. Je to závod o získání přehledu, omezení dalšího šíření a zachování informací, které budou potřeba k pochopení toho, co se skutečně stalo.
1. Nejdříve zjistit, co vlastně vidíme
První informace bývají neúplné. Důležité je zaznamenat, kdy byl problém zjištěn, kdo jej oznámil, které systémy vykazují neobvyklé chování a jaké události mu předcházely.
2. Omezit šíření, ale nezničit stopy
Přirozenou reakcí bývá všechno vypnout. Někdy je izolace správným krokem, jindy může nepromyšlené vypnutí zkomplikovat další analýzu a odstranit důležité informace.
3. Zapojit správné lidi
Závažnější incident rychle přesahuje samotné IT. Může být potřeba zapojit vedení, bezpečnostní role, správce klíčových služeb nebo externí podporu.
4. Vytvořit jeden společný obraz situace
Během incidentu velmi rychle vznikají paralelní informace. Proto pomáhá jeden průběžně aktualizovaný přehled známých skutečností, zasažených systémů, provedených kroků a otevřených otázek.
5. První hodina nekončí vyřešením incidentu
Po šedesáti minutách nemusí být příčina známá a provoz nemusí být obnoven. Dobře zvládnutá první hodina ale znamená, že organizace získala kontrolu nad způsobem řešení.
Aktuální doporučení NIST pro přípravu, detekci, reakci a obnovu při kybernetických incidentech.
Praktické postupy pro containment, omezení škod, zachování důkazů a další kroky při řešení incidentu.
Doporučení k rolím, odpovědnostem, containmentu, eradikaci, recovery a zachování důkazů při incident response.
