Odpowiadanie: izolowanie maszyny

Wykrywanie ma znaczenie tylko wtedy, gdy prowadzi do działania. Ta lekcja dotyczy pierwszych minut po tym, jak zauważysz coś złego: aplikacja łączy się w miejscu, w którym nie powinna, dziwne zachowanie komputera Mac lub ostrzeżenie od zaufanej osoby, że mogłeś stać się celem. Celem nie jest samodzielne naprawienie podstawowego problemu; chodzi o to, aby zapobiec pogorszeniu się choroby i zachować to, czego będziesz potrzebować, aby uzyskać prawdziwą pomoc.

Najpierw izoluj, potem badaj

Przewodnik NIST dotyczący postępowania z incydentami związanymi z bezpieczeństwem komputerowym (SP 800-61) określa powstrzymywanie jako wybór, którego należy dokonać szybko i ostrzega, że ​​„osoba atakująca może zwiększyć nieautoryzowany dostęp lub narazić na szwank inne systemy” tak długo, jak zabezpieczanie będzie opóźnione. Na jednym komputerze Mac zabezpieczenie oznacza odcięcie dostępu do sieci: wyłączenie Wi-Fi, odłączenie kabla Ethernet lub włączenie trybu samolotowego, jeśli jest dostępny, zamiast normalnego korzystania z niego w trakcie myślenia. Samo to niczego nie naprawia, ale przerywa trwające połączenie z atakującym i uniemożliwia użycie komputera Mac do uzyskania dostępu do czegokolwiek innego, na przykład innego urządzenia w tej samej sieci lub konta, na którym nadal jesteś zalogowany.

• Odłącz od sieci: Wi-Fi wyłączone, Ethernet odłączony. Jest to najbardziej użyteczna pierwsza akcja, ponieważ odcina jednocześnie przychodzące instrukcje i wychodzące dane.
• Nie wyłączaj ani nie uruchamiaj ponownie komputera Mac, chyba że ktoś Ci o tym poleci. Wyłączenie może spowodować utratę informacji z pamięci, które w przeciwnym razie pomogłyby wyjaśnić, co się stało, i może uruchomić szkodliwe oprogramowanie zaprojektowane w celu wykrycia wyłączenia i zatarcia śladów.
• Nie odinstalowuj podejrzanej aplikacji, nie usuwaj plików ani nie „czyść” komputera przed uzyskaniem pomocy. Jest to kuszące, ale niszczy dowody, których pomocnik potrzebowałby, aby zrozumieć, co się stało.
• Jeśli Mac jest używany w pracy lub incydent może dotyczyć danych innej osoby, natychmiast powiadom o tym osobę za to odpowiedzialną (osobę kontaktową pracodawcy ds. IT lub ds. bezpieczeństwa, osobę odpowiedzialną za bezpieczeństwo w organizacji), a nie dopiero po sprawdzeniu sprawy samodzielnie.

Krótko zachowując to, co się da

Przewodnik NIST zaleca dokumentowanie „każdego kroku podjętego od chwili wykrycia incydentu do jego ostatecznego rozwiązania”, opatrzonego znacznikiem czasu, najlepiej przez osobę inną niż osoba wykonująca prace techniczne. Na jednym komputerze Mac i bez formalnego zespołu może to być proste: zapisz lub sfotografuj to, co widziałeś i kiedy (aplikacja, miejsce docelowe, godzina), zanotuj wszystko, co zmieniłeś (czy odłączyłeś sieć? zamknąłeś aplikację?) i zachowaj wszystkie zrobione już zrzuty ekranu. Dokładnie tego rodzaju szczegóły narzędzia z poprzedniej lekcji, takie jak dziennik połączeń dla poszczególnych aplikacji, są przydatne do przechwytywania przed rozłączeniem.

Uzyskiwanie pomocy

To, z kim się skontaktować, zależy od tego, kim jesteś i jaka jest stawka. W przypadku większości osób zaczyna się to od osoby zarządzającej urządzeniem, jeśli nie jest ono osobiste (pracodawca, dział IT organizacji), lub od zaufanej osoby posiadającej odpowiednie umiejętności techniczne, jeśli tak jest. Dziennikarzom, aktywistom, obrońcom praw człowieka i innym osobom, które mogą stać się celem ze względu na swoją pracę, dwie organizacje oferują tego rodzaju wsparcie bezpłatnie:

• Infolinia ds. bezpieczeństwa cyfrowego w Access Now oferuje szybką pomoc w wielu językach grupom społeczeństwa obywatelskiego i osobom fizycznym, które uważają, że są zagrożone lub już są atakowane, po przeprowadzeniu procesu weryfikacji potwierdzającego, że spełniają swoje uprawnienia.
• Fundacja Freedom of the Press oferuje szkolenia w zakresie bezpieczeństwa cyfrowego oraz spersonalizowane porady dla dziennikarzy i redakcji, w tym wskazówki dotyczące bezpieczeństwa urządzeń i ochrony źródeł.

Ani organizacja, ani ta lekcja nie mogą obiecać, że dowolny zestaw kroków zapewni bezpieczeństwo docelowej osoby; uczciwym celem jest zmniejszenie ryzyka i szybkie zaangażowanie kompetentnej osoby, a nie jego eliminacja.