Rispondere: isolare una macchina

Il rilevamento conta solo se porta a un’azione. Questa lezione riguarda i primi minuti dopo che noti qualcosa che non va: un’app che si connette dove non dovrebbe, un Mac che si comporta stranamente, o un avviso da qualcuno di cui ti fidi che potresti essere stato preso di mira. L’obiettivo qui non è risolvere tu stesso il problema sottostante; è impedire che peggiori e conservare ciò di cui avrai bisogno per ottenere un aiuto reale.

Prima isola, poi indaga

La guida alla gestione degli incidenti di sicurezza informatica del NIST (SP 800-61) inquadra il contenimento come una scelta da fare rapidamente, e avverte che “un aggressore potrebbe intensificare l’accesso non autorizzato o compromettere altri sistemi” per tutto il tempo in cui il contenimento viene ritardato. Su un solo Mac, il contenimento significa tagliare il suo accesso alla rete: disattivare il Wi-Fi, scollegare un cavo Ethernet, o attivare la Modalità Aereo se disponibile, invece di continuare a usarlo normalmente mentre rifletti. Questo non risolve nulla da solo, ma interrompe una connessione in corso verso un aggressore, e impedisce che il Mac venga usato per raggiungere qualsiasi altra cosa, come un altro dispositivo sulla stessa rete o un account a cui sei ancora connesso.

• Disconnettiti dalla rete: Wi-Fi spento, Ethernet scollegato. Questa è la singola azione iniziale più utile, poiché taglia contemporaneamente sia le istruzioni in entrata sia i dati in uscita.
• Non spegnere né riavviare il Mac a meno che qualcuno che ti sta aiutando non te lo abbia detto. Spegnere può far perdere informazioni in memoria che altrimenti aiuterebbero a spiegare cosa è successo, e può innescare software dannoso progettato per notare uno spegnimento e coprire le proprie tracce.
• Non disinstallare l’app sospetta, eliminare file, o “ripulire” prima di ottenere aiuto. È allettante, ma distrugge le prove di cui un aiutante avrebbe bisogno per capire cosa è successo.
• Se il Mac viene usato per lavoro, o l’incidente potrebbe coinvolgere i dati di qualcun altro, avvisa immediatamente chi ne è responsabile (il contatto IT o di sicurezza di un datore di lavoro, il responsabile della sicurezza di un’organizzazione), invece che dopo averlo esaminato tu stesso.

Conservare ciò che puoi, brevemente

La guida del NIST raccomanda di documentare “ogni passaggio compiuto dal momento in cui l’incidente è stato rilevato fino alla sua risoluzione finale”, con marca temporale, idealmente da qualcuno diverso dalla persona che svolge il lavoro tecnico. Su un solo Mac, senza un team formale, questo può essere semplice: scrivi o fotografa cosa hai visto e quando (l’app, la destinazione, l’orario), annota qualsiasi cosa tu abbia cambiato (hai disconnesso la rete? hai chiuso un’app?), e conserva eventuali screenshot già scattati. Questo è esattamente il tipo di dettaglio che gli strumenti della lezione precedente, come un registro delle connessioni per app, sono utili a catturare prima di disconnetterti.

Ottenere aiuto

Chi contattare dipende da chi sei e cosa è in gioco. Per la maggior parte delle persone, questo inizia con chi gestisce il dispositivo se non è personale (un datore di lavoro, l’IT di un’organizzazione), o una persona fidata e tecnicamente capace se lo è. Per giornalisti, attivisti, difensori dei diritti umani e altri che potrebbero essere presi di mira a causa del loro lavoro, due organizzazioni offrono specificamente questo tipo di supporto senza costi:

• La Digital Security Helpline di Access Now offre aiuto a risposta rapida, in più lingue, per gruppi della società civile e individui che credono di essere a rischio o già sotto attacco, dopo un processo di verifica per confermare che rientrino nel suo mandato.
• La Freedom of the Press Foundation offre formazione sulla sicurezza digitale e consulenza personalizzata per giornalisti e redazioni, inclusa una guida sulla sicurezza dei dispositivi e sulla protezione delle fonti.

Né l’una né l’altra organizzazione, né questa lezione, possono promettere che una qualsiasi serie di passaggi renda sicura una persona presa di mira; l’obiettivo onesto è ridurre il rischio e coinvolgere rapidamente una persona esperta, non eliminarlo.