Цель модуля
Научить работника действовать при подозрении на компрометацию: сообщить, локализовать, заменить защитные сведения и помочь расследованию.
Признаки компрометации
- незнакомые устройства и сеансы в списке активных;
- сообщения и письма, которых вы не отправляли, но они пришли от вашего имени;
- изменённые правила пересылки почты или добавленные получатели копий;
- запросы на восстановление доступа, которых вы не делали;
- новые установленные программы и задачи, которых вы не создавали;
- невозможность входа в учётную запись при верном пароле.
Порядок действий
- Сообщите в службу информационной безопасности немедленно, описав, что заметили и когда.
- Сохраните следы: не удаляйте письма, сообщения и записи журналов.
- Замените пароль учётной записи после указаний службы безопасности.
- Проверьте и отзовите незнакомые устройства, сеансы и правила пересылки.
- Проверьте, не передавались ли куда-либо данные заказчиков и работников.
- После восстановления следите за признаками повторного доступа и сообщайте о них.
Компрометация устройства
- Не работайте на устройстве с подозрением на заражение и не подключайте его к общей сети.
- Не передавайте устройство в ремонт посторонним без согласования со службой безопасности.
- Не пытайтесь самостоятельно «почистить» устройство программами из непроверенных источников.
- При потере устройства сообщите немедленно: важно отозвать доступы, а не только искать сам прибор.
Компрометация переписки
Если ваш адрес или учётная запись использовались для рассылки, об этом нужно предупредить адресатов — но через службу безопасности, которая организует уведомление. Самостоятельные предупреждения могут увеличить панику и подсказать злоумышленнику, что его заметили.
Что помогает расследованию
- точное время обнаружения и время подозрительных событий;
- сохранённые письма и сообщения вместе с заголовками;
- перечень устройств, которыми вы пользуетесь для работы;
- описание действий, выполненных до обнаружения проблемы.
Проверочный список перед выходом на работу
- О подозрении на компрометацию сообщено немедленно.
- Письма, сообщения и журналы сохранены и не удалены.
- Незнакомые устройства, сеансы и правила пересылки отозваны.
- Пароли заменены по указанию службы безопасности.
- Подозрительное устройство не подключено к общей сети.
- Описаны время и последовательность событий для расследования.
Вопросы для самопроверки
- Найден незнакомый сеанс в учётной записи. Первое действие? Немедленно сообщить в службу информационной безопасности, не удаляя следы, затем действовать по её указаниям.
- Можно ли самому почистить подозрительное устройство? Нет. Устройство не подключают к общей сети и не пытаются чистить самостоятельно до указаний службы безопасности.
- Что помогает расследованию? Точное время событий, сохранённые письма и сообщения с заголовками, перечень используемых устройств и описание выполненных действий.
Основание и что делать при сомнении
Модуль опирается на: Приказ ФСТЭК России от 11.02.2013 № 17, ГОСТ Р 56939-2016.
Если ситуация не описана в модуле и вы не уверены в правильном действии, не принимайте решение самостоятельно: обратитесь к руководителю и в службу информационной безопасности до того, как выполнить операцию с данными или доступами.