Reagere: isolere en maskin

Deteksjon har bare betydning hvis det fører til handling. Denne leksjonen handler om de første minuttene etter at du oppdager noe galt: en app som kobler seg til et sted den ikke burde, en Mac som oppfører seg rart, eller en advarsel fra noen du stoler på om at du kan ha blitt målrettet. Målet her er ikke å fikse det underliggende problemet selv; det er for å stoppe det fra å bli verre og for å beholde det du trenger for å få reell hjelp.

Isoler først, undersøk deretter

NISTs Computer Security Incident Handling Guide (SP 800-61) rammer inneslutning som et valg som må gjøres raskt, og advarer om at "en angriper kan eskalere uautorisert tilgang eller kompromittere andre systemer" så lenge inneslutningen er forsinket. På én Mac betyr inneslutning å kutte nettverkstilgangen: å slå av Wi-Fi, koble fra en Ethernet-kabel eller slå på flymodus hvis det er tilgjengelig, i stedet for å fortsette å bruke det normalt mens du tenker. Dette fikser ikke noe av seg selv, men det stopper en pågående tilkobling til en angriper, og stopper Mac-en fra å bli brukt til å nå noe annet, for eksempel en annen enhet på samme nettverk eller en konto du fortsatt er logget på.

• Koble fra nettverket: Wi-Fi av, Ethernet koblet fra. Dette er den mest nyttige første handlingen, siden den avskjærer både innkommende instruksjoner og utgående data på en gang.
• Ikke slå av eller start Mac-en på nytt med mindre du har blitt bedt om det av noen som hjelper deg. Slå av kan miste informasjon i minnet som ellers ville bidratt til å forklare hva som skjedde, og kan utløse skadelig programvare utviklet for å legge merke til en nedleggelse og dekke sporene.
• Ikke avinstaller den mistenkelige appen, slett filer eller "ryd opp" før du får hjelp. Det er fristende, men det ødelegger bevisene en hjelper trenger for å forstå hva som skjedde.
• Hvis Mac-en brukes til arbeid, eller hendelsen kan involvere andres data, fortell den som er ansvarlig for det (en arbeidsgivers IT- eller sikkerhetskontakt, en organisasjons sikkerhetsleder) umiddelbart, i stedet for etter at du har undersøkt det selv.

Bevare det du kan, kort

NISTs guide anbefaler å dokumentere "hvert trinn tatt fra hendelsen ble oppdaget til den endelige løsningen," tidsstemplet, ideelt sett av noen andre enn personen som utfører det tekniske arbeidet. På én Mac, uten et formelt team, kan dette være enkelt: skriv ned eller fotografer hva du så og når (appen, destinasjonen, klokkeslettet), noter alt du endret (koplet du fra nettverket? lukket du en app?), og behold skjermbilder du allerede har tatt. Dette er akkurat den typen detaljer verktøyene i forrige leksjon, for eksempel en tilkoblingslogg per app, er nyttige for å fange opp før du kobler fra.

Får hjelp

Hvem du skal kontakte avhenger av hvem du er og hva som står på spill. For de fleste starter dette med den som administrerer enheten hvis den ikke er personlig (en arbeidsgiver, en organisasjons IT), eller en pålitelig, teknisk dyktig person hvis den er det. For journalister, aktivister, menneskerettighetsforkjempere og andre som kan bli målrettet på grunn av deres arbeid, tilbyr to organisasjoner spesifikt denne typen støtte uten kostnad:

• Access Nows hjelpelinje for digital sikkerhet tilbyr hurtigreaksjonshjelp, på flere språk, for sivilsamfunnsgrupper og enkeltpersoner som tror de er i faresonen eller allerede er under angrep, etter en kontrollprosess for å bekrefte at de faller innenfor mandatet.
• Freedom of the Press Foundation tilbyr digital sikkerhetsopplæring og personlig tilpasset råd for journalister og redaksjoner, inkludert veiledning om enhetssikkerhet og kildebeskyttelse.

Verken organisasjonen eller denne leksjonen kan love at et sett med trinn gjør en målrettet person trygg; det ærlige målet er å redusere risiko og få en kunnskapsrik person raskt involvert, ikke å eliminere den.