Первые часы после серьезного киберинцидента насыщены активностью. Служба безопасности начинает расследование, ИТ-отдел работает над локализацией последствий, юристы оценивают потенциальные обязательства, а руководство хочет знать, что произошло и какие меры предпринимает компания. Большинство команд для координации используют те же инструменты, что и в повседневной работе: электронную почту, Slack, Teams, общие документы и видеозвонки.
Координация становится намного сложнее, когда электронная почта или среда для совместной работы компании становятся частью инцидента. Электронная почта может по-прежнему работать, сотрудники могут присоединяться к совещаниям, и ничто на первый взгляд не указывает на потерю контроля над коммуникациями. Тем временем злоумышленник, получивший доступ к учетным записям, используемым командой реагирования, может читать сообщения, отслеживать планы по сдерживанию или выдавать себя за кого-то из участников реагирования.
Когда это происходит, компания сталкивается со вторым кризисом внутри первого. Системы, на которые полагаются люди для управления инцидентом, больше нельзя считать надежными.
За более чем два десятилетия работы в сфере конфиденциальности и утечек данных, а также в еженедельных беседах с командами безопасности и юристами я вижу одну и ту же картину. Большинство планов реагирования на инциденты предусматривают недоступность электронной почты или инструментов для совместной работы. У команд есть телефонные справочники, личные контактные данные и резервные линии для конференц-связи. Они знают, кому нужно позвонить. Чего им часто не хватает, так это систематического подхода к более сложным случаям. Гораздо меньше планов охватывают более неоднозначную ситуацию, когда эти системы остаются функциональными, но организация больше не может быть уверена, кто читает, отправляет или изменяет сообщения внутри них.
Такой сценарий требует заранее спланированного способа вывода реагирования за пределы обычных каналов, пока следователи определяют, что было скомпрометировано.
Когда злоумышленник может быть внутри системы реагирования
Эту проблему легко увидеть при атаках программ-вымогателей. Системы выходят из строя, сотрудники теряют доступ, и необходимость в альтернативных способах связи становится очевидной. Компрометация коммуникаций затрудняет принятие решений, поскольку затронутая среда может выглядеть совершенно нормально.
Предположим, команда безопасности обнаруживает, что злоумышленник получил доступ к учетным записям электронной почты и совместной работы, используемым членами команды реагирования на инциденты. Команде необходимо определить масштабы этого доступа, удалить злоумышленника и локализовать вторжение, но обсуждение этих действий в обычном канале инцидента может сообщить злоумышленнику, что именно готовится. Юридическому отделу нужны последние факты для оценки требований к уведомлению, команда по связям с общественностью готовится к вопросам клиентов, а руководство ожидает регулярных обновлений. Каждое из этих обсуждений может раскрыть что-то ценное для того, кого компания пытается устранить. Злоумышленник присутствует на совещании.
Прежде чем безопасно координировать что-либо еще, участники реагирования должны ответить на основной вопрос: кто может видеть, что мы говорим?
Бесчисленное количество компаний полагаются на Teams или Slack во время инцидентов, потому что это системы, которые их сотрудники уже используют. Обратная сторона заключается в том, что реагирование остается в среде, к которой злоумышленник уже может иметь доступ и которую он имеет все основания отслеживать. Мне известно несколько случаев, когда злоумышленники присоединялись к конференциям Zoom и Teams, используемым для совещаний по инцидентам, или записывали их.
Что уже было сказано
Как я обсуждал в своей предыдущей статье на CSO, включение юриста в крупный канал инцидента не делает все разговоры привилегированными. Операционные факты и юридические консультации служат разным целям, и кризис не отменяет необходимости контролировать, кто участвует в конфиденциальных обсуждениях. Если злоумышленник читал канал, следует предполагать, что каждый план сдерживания, каждая откровенная оценка того, как произошло вторжение, и каждое черновик заявления для клиентов, опубликованное там, теперь находится за пределами компании. Часть этого может всплыть в требовании о выкупе. Все это может быть раскрыто в ходе судебного разбирательства.
Планируйте так, как будто компания окажется в суде. Альтернативный канал должен предоставить командам место для разделения оперативной координации и юридического анализа, ограничения участия и начала формирования документации, которую регуляторы и истцы могут впоследствии изучить: что было решено, кем, на основании каких фактов и почему. Юридический отдел должен разработать эту структуру до инцидента. Попытка создать ее во время инцидента, в канале, который может читать злоумышленник, усугубляет проблему.
Что должен решать план альтернативных каналов
Ошибка, которую я вижу, заключается в том, что начинают с резервного приложения. Начните со сценария отказа и определите все зависимости, общие для основного и экстренного каналов связи, включая службы идентификации, управляемые устройства, управление мобильными устройствами, административные учетные данные и каталоги сотрудников. Если оба канала зависят от одного и того же базового компонента, этот компонент остается единой точкой отказа.
Затем решите, как участники будут подтверждать свою личность. Злоумышленник, имеющий доступ к электронной почте или календарям, может знать о проведении экстренного совещания и иметь достаточно контекста, чтобы выдать себя за руководителя или сотрудника службы реагирования. Процесс проверки не может зависеть от учетных записей, находящихся под следствием.
Та же подготовка должна охватывать внешних юристов, следователей-криминалистов, страховщиков и консультантов по связям с общественностью. Поддерживайте актуальную контактную информацию, определяйте, кто может авторизовать их участие, и устанавливайте, как команда будет их проверять до начала инцидента.
Устройства также имеют значение. Альтернативный канал малоценен, если сотрудники службы реагирования могут получить к нему доступ только через корпоративные ноутбуки, которые им было предписано отключить. План должен определять, какие устройства могут использовать сотрудники службы реагирования и какую информацию они могут получить через них.
Конкретный подход будет зависеть от размера компании, профиля риска и существующих систем. Тест заключается в том, может ли реагирование продолжаться без опоры на среду, находящуюся под следствием.
Отработка переключения реагирования
Большинство организаций, тестирующих резервные каналы связи, сосредоточены на том, работает ли сам канал. Им также следует отрепетировать принятие решения о его активации. Участники должны распознать, когда основная среда стала ненадежной, уведомить команду реагирования, не раскрывая сам факт переключения, и продолжить работу в альтернативном канале.
На учебном совещании можно начать с доказательств того, что злоумышленник получил доступ к учетным записям электронной почты и совместной работы, используемым несколькими сотрудниками службы реагирования, даже если обе службы по-прежнему функционируют нормально. Команда должна решить, каких доказательств достаточно для запуска переключения, кто имеет полномочия принять это решение и как будет проверяться личность каждого после перехода.
В упражнении должны участвовать представители служб безопасности, юристы, руководители и ключевые внешние партнеры. Добавьте осложнения, которые делают реальные инциденты трудными, такие как руководитель, отправляющий противоречивые инструкции по корпоративной электронной почте, кто-то, присоединяющийся к совещанию с незнакомой учетной записи, устаревший экстренный контакт или третьи лица, неспособные пройти аутентификацию.
Эти моменты показывают, есть ли у компании реальная возможность или только документ, описывающий ее. Я бы оценил, сколько времени требуется, чтобы распознать необходимость переключения, привлечь ключевых заинтересованных лиц, создать проверенную группу реагирования и проинформировать руководство. Каждое действие, при котором участники возвращаются к затронутой среде, выявляет зависимость, которую упустил письменный план.
Большинство планов реагирования на инциденты исходят из того, что у компании будет безопасное место для координации. Это предположение заслуживает такого же тщательного изучения, как и резервные копии, процедуры восстановления и руководства по сдерживанию. Решение покинуть привычные системы должно иметь определенные триггеры, четкого ответственного и место назначения, которым все уже практиковались пользоваться.
Когда среда связи становится частью утечки, юридические сроки, деловые решения, клиенты и сотрудники не ждут. Компании необходимо знать, когда переходить, куда идти и как продолжать работу после перехода.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Andy Lunsford
