Сайт заражён и перенаправляет
В коде появились посторонние скрипты, посетителей перекидывает на чужие домены, поисковые системы помечают сайт как опасный.
Реагирование на инциденты
Атака идёт? Действуем по регламенту, а не в панике
Подключаемся к инциденту, локализуем атаку, не даём ей распространиться, восстанавливаем работу сервиса и разбираем первопричину. Дальше — меры, чтобы это не повторилось.
Или сразу: +7 (962) 368-39-51 Telegram
1 час
реакция по соглашению об уровне сервиса
24/7
канал для критичных инцидентов
изоляция
останавливаем распространение
разбор
отчёт о причинах и мерах
С чем к нам приходят
Первые часы инцидента определяют масштаб последствий: что успеет сделать атакующий и сколько данных будет потеряно.
Данные зашифрованы или удалены
Файлы и база данных недоступны, обнаружено требование выкупа. Каждое действие без плана снижает шансы на восстановление.
Утечка данных клиентов
Есть подозрение или подтверждение, что база выгружена. Важно быстро оценить объём, состав данных и обязательства перед клиентами.
Всплеск нагрузки и отказ сервиса
Сервис недоступен из-за атаки на отказ в обслуживании или из-за использования ваших ресурсов для рассылок и майнинга.
Подозрительная активность без явных следов
Появились неизвестные администраторы, изменились настройки, в логах видны попытки входа из необычных мест.
Нет плана на случай атаки
Непонятно, кто принимает решения, кому звонить ночью и в каком порядке действовать. В момент атаки это стоит часов.
Что мы делаем при инциденте
Работаем по протоколу: сначала остановить ущерб, потом восстановить, только затем — разбирать причины.
Локализация
Останавливаем распространение атаки, не разрушая доказательства.
- Изоляция затронутых сервисов и учётных записей
- Блокировка точек входа и каналов управления
- Сохранение копий логов и дисков до очистки
- Оценка того, какие данные могли быть затронуты
Устранение причины
Находим, как именно получили доступ, и закрываем эту возможность.
- Определение первоначальной точки входа
- Поиск закрепления: лишние пользователи, задачи, ключи
- Закрытие уязвимости, через которую пришли
- Полная ротация паролей, ключей и токенов
Восстановление
Возвращаем сервис в работу на проверенной копии, а не на заражённой.
- Выбор пригодной резервной копии и проверка её целостности
- Восстановление на чистой инфраструктуре
- Проверка, что в восстановленных данных нет вредоносных изменений
- Постепенное включение трафика с контролем состояния
Разбор и профилактика
Превращаем инцидент в изменения, которые не дадут ему повториться.
- Хронология инцидента и ответ на вопрос «что произошло»
- Оценка объёма и состава затронутых данных
- План мер: технических и организационных
- Регламент реагирования и роли на будущее
Этапы реагирования
Первые два этапа идут параллельно — скорость реакции важнее строгой последовательности.
-
01 до 1 часа
Приём и квалификация
Фиксируем симптомы, оцениваем критичность и подключаем нужных специалистов. Согласуем, кто принимает решения со стороны заказчика.
-
02 2–8 часов
Сдерживание
Изолируем атаку, сохраняем доказательства, блокируем доступ атакующего. Сервис может быть временно ограничен — это осознанный выбор.
-
03 1–5 дней
Восстановление
Устраняем причину, восстанавливаем сервис из проверенной копии, контролируем поведение системы после включения.
-
04 3–7 дней
Отчёт и меры
Описываем хронологию и причины, даём план технических и организационных мер, при необходимости готовим регламент реагирования.
Что делать в первые часы после взлома
Первое — не удалять и не «чистить» ничего до сбора информации. Удалённые файлы и очищенные логи уничтожают доказательства, по которым можно понять, как именно получили доступ и что ещё осталось незамеченным. Второе — изолировать скомпрометированные узлы от сети, но не выключать их без необходимости: содержимое памяти помогает восстановить хронологию.
Третье — сменить пароли административных учётных записей и отозвать активные сессии и API-токены. Четвёртое — зафиксировать, какие данные могли быть затронуты: это понадобится, если инцидент касается персональных данных клиентов. И только после этого имеет смысл восстанавливать сервис.
Как подготовиться до того, как инцидент произойдёт
Большая часть ущерба определяется не самой атакой, а готовностью к ней. Практический минимум: проверенные резервные копии, которые действительно восстанавливаются на чистой инфраструктуре; централизованный сбор логов с понятным сроком хранения; список контактов, по которым можно поднять специалистов ночью.
Далее — регламент реагирования: кто принимает решение об остановке сервиса, кто общается с клиентами и партнёрами, в каком порядке выполняется локализация. Мы помогаем составить такой документ под вашу инфраструктуру, чтобы в момент атаки не тратить время на организацию.
Платить ли выкуп при шифровании данных
Наша позиция — платёж не является способом решения проблемы. По статистике значительная часть тех, кто заплатил, либо не получает рабочий ключ, либо сталкивается с повторной атакой, потому что точка входа осталась открытой. Кроме того, оплата финансирует дальнейшую деятельность атакующих.
Разумнее сосредоточиться на восстановлении из резервных копий и на поиске первоначальной точки входа. Если пригодных копий нет, мы оцениваем возможность частичного восстановления данных и параллельно закрываем все каналы, через которые злоумышленник получил и удерживал доступ.
Частые вопросы
Для критичных инцидентов — в течение часа после подтверждения заявки, включая нерабочее время, если это предусмотрено соглашением об уровне сервиса. Квалификация обращения и первичная оценка ситуации начинаются сразу после получения информации о симптомах.
Стоимость зависит от масштаба: количества затронутых сервисов, объёма данных и требуемой глубины разбора. После первичной оценки мы называем диапазон и фиксируем его. Отдельно можно заключить соглашение на сопровождение, чтобы реакция была гарантирована, а не разовой.
Да. Мы подписываем соглашение о конфиденциальности до начала работ, работаем с доступом по принципу минимальной необходимости и не передаём третьим лицам сведения об инциденте. Все материалы по инциденту храним в согласованном виде и по завершении передаём заказчику.
Не всегда. Полное отключение иногда полезно — оно гарантированно прерывает активность атакующего, но заодно останавливает бизнес и может уничтожить следы. Чаще правильнее изолировать конкретные узлы и точки входа, сохранив систему в рабочем состоянии. Решение принимаем вместе, исходя из риска продолжения атаки и стоимости простоя.
Кибербезопасность: другие направления
Смежные задачи, которые обычно решаются в одном проекте с этой.
Произошёл инцидент?
Напишите или позвоните — оценим ситуацию и скажем, что делать в первую очередь.