"На каждом корпоративном тренинге по информационной безопасности вам рассказывают про огромные и сложные планы реагирования на инциденты. На практике же, когда на часах ночь или воскресенье, а в логах очевидные следы злоумышленника, всё сводится к простому вопросу: что делать прямо сейчас, чтобы не стало хуже? Вот несколько конкретных шагов, которые можно выполнить за 10 минут, даже если у вас нет выделенной команды SOC."

Что реально делать в первые 10 минут после обнаружения взлома?

Первые минуты после обнаружения признаков компрометации — критическое время. Паника, хаотичные действия или бездействие могут значительно увеличить ущерб. Вместо поиска стопки документов или длинных совещаний, сосредоточьтесь на последовательных и исполнимых шагах, которые помогут локализовать угрозу и подготовить почву для дальнейшего расследования.

1. Фиксация первого тревожного признака

Не закрывайте предупредительное окно, не перезагружайте компьютер и не удаляйте подозрительные письма. Ваша первая задача — собрать доказательства.

Сделайте скриншоты всех аномалий: странных сообщений об ошибках, незнакомых процессов в диспетчере задач, подозрительных входящих писем с вложениями или ссылками. Если речь идет о сетевой активности — например, сработала система обнаружения вторжений (СОВ) или антивирус — зафиксируйте IP-адреса, имена хостов, временные метки и текст оповещения.

Запишите время обнаружения и свои действия до этого момента. Это может быть ключевым для установления точки входа и вектора атаки. Все эти данные позже понадобятся как для внутреннего расследования, так и, возможно, для обращения в правоохранительные органы.

2. Изоляция поражённой системы

Если подозрение падает на конкретный компьютер или сервер, немедленно отключите его от сети. Выдерните сетевой кабель или отключите Wi-Fi. Цель — предотвратить дальнейшую утечку данных, распространение вредоносного ПО внутри сети или установку злоумышленником дополнительных бэкдоров.

Важно понимать разницу: если система является критически важным сервером, её физическое отключение может остановить бизнес-процессы. В таком случае рассмотрите возможность логической изоляции через настройки межсетевого экрана (файрвола) — заблокируйте весь входящий и исходящий трафик для этого хоста, кроме управляющего, если это необходимо. Однако физическое отключение — самый быстрый и гарантированный метод.

3. Смена критических учётных данных

Пока поражённая система изолирована, немедленно смените пароли для ключевых учётных записей, которые могли быть скомпрометированы. Начните с учётной записи пользователя, на чьём компьютере обнаружена проблема, а также любых административных и привилегированных учётных записей (администраторы домена, root, учётные записи для доступа к внешним сервисам).

Измените пароли с другого, заведомо чистого устройства. Если есть подозрение на компрометацию контроллера домена или системы управления паролями, задача усложняется. В таком случае фокус смещается на изоляцию и блокировку подозрительных сессий через средства мониторинга активных сессий.

4. Уведомление ответственных лиц

Первые 10 минут, это не только технические действия, но и коммуникация. Чётко определите круг лиц, которых необходимо уведомить немедленно:

• Руководитель подразделения ИБ (или ответственный за ИБ).
• Системный администратор или команда эксплуатации.
• Руководитель по информационным технологиям (CIO/CTO).
• Юридический отдел или служба комплаенса (особенно если обрабатываются персональные данные, попадающие под 152-ФЗ).

Сформулируйте сообщение кратко, но ёмко: что обнаружено, на какой системе, какие первоначальные действия уже предприняты (например, «обнаружены признаки вредоносного ПО на рабочей станции бухгалтерии, система отключена от сети, начата фиксация признаков»). Избегайте панических формулировок и домыслов.

5. Начало сбора первичных артефактов

Пока вы ждёте реакции от команды, можно начать собирать данные, которые могут быть перезаписаны или потеряны. Если изолированная система всё ещё работает, с заведомо чистого носителя (например, флешки с предустановленными инструментами) можно запустить сбор летучих данных.

Наиболее ценные артефакты для первых минут:

• Список активных сетевых подключений: Команда netstat -ano (Windows) или ss -tunap (Linux) покажет, с какими внешними адресами связана система.
• Список запущенных процессов: Диспетчер задач (Windows) или ps aux (Linux).
• История командной строки: Посмотреть, какие команды выполнялись незадолго до обнаружения инцидента.
• Недавно изменённые файлы: Поиск файлов, изменённых в последние несколько часов или дней.

Важно: Собирайте артефакты аккуратно, стараясь минимально влиять на систему. Лучше всего сохранять вывод команд в текстовые файлы на чистый внешний носитель.

6. Проверка смежных систем

Злоумышленник редко действует в вакууме. Используя данные из первого шага (например, IP-адрес атаковавшего или имя вредоносного файла), проверьте другие системы в сети на наличие похожих признаков.

Быстро просканируйте логи централизованных систем:

• Антивирусного ПО.
• Межсетевых экранов.
• Прокси-серверов или систем веб-фильтрации.
• Систем мониторинга.

Ищите похожие события, исходящие с других IP-адресов или на другие хосты. Это поможет понять масштаб инцидента: единичная компрометация или скоординированная атака на несколько узлов.

7. Что делать НЕЛЬЗЯ в первые 10 минут

Некоторые инстинктивные действия могут навредить расследованию сильнее, чем сам злоумышленник.

• Не пытайтесь «починить» систему. Удаление подозрительных файлов, «лечение» антивирусом или переустановка ОС уничтожает следы, необходимые для понимания метода атаки, её источника и потенциального ущерба.
• Не проводите активное сканирование уязвимостей с поражённой системы. Это создаст дополнительный шум в логах и может усугубить ситуацию.
• Не рассылайте массовые уведомления всей компании. Это вызовет панику и может спровоцировать злоумышленника на эскалацию.
• Не вступайте в диалог с злоумышленником, если это, например, инцидент с ransomware (шифровальщиком). Любая коммуникация до консультации с экспертами может быть использована против вас.

8. Подготовка к следующему этапу

Первые 10 минут заканчиваются. К этому моменту у вас должны быть:

1. Первичные доказательства (скриншоты, логи).
2. Изолированная система-жертва.
3. Сменённые пароли ключевых учётных записей.
4. Уведомлённые ответственные лица.
5. Собранные базовые артефакты с системы.
6. Предварительная оценка масштаба (по результатам проверки смежных систем).

На основании этого можно начинать формальный процесс реагирования на инцидент: создание рабочей группы, углублённый сбор и анализ цифровых доказательств, принятие решения о восстановлении работы и уведомление регуляторов, если этого требует закон (например, в случае утечки персональных данных по 152-ФЗ). Эти первые быстрые и правильные шаги создают прочный фундамент для всей последующей работы, экономя время и ресурсы и минимизируя итоговый ущерб.