Реагирование: изоляция машины

Обнаружение имеет смысл только тогда, когда за ним следует действие. Этот урок — о первых минутах после того, как вы заметили что-то неладное: приложение подключается куда-то, куда не должно, Mac ведёт себя странно, или кто-то, кому вы доверяете, предупредил, что вас могли атаковать. Цель здесь не в том, чтобы самостоятельно устранить первопричину проблемы; цель — не дать ей усугубиться и сохранить то, что понадобится, чтобы получить настоящую помощь.

Сначала изолируйте, потом расследуйте

Руководство NIST по обработке инцидентов компьютерной безопасности (SP 800-61) описывает сдерживание как решение, которое нужно принять быстро, и предупреждает, что «злоумышленник может расширить несанкционированный доступ или скомпрометировать другие системы» (an attacker could escalate unauthorized access or compromise other systems), пока сдерживание откладывается. На одном Mac сдерживание означает отключение его от сети: выключить Wi-Fi, отсоединить кабель Ethernet или включить авиарежим, если он доступен, — вместо того чтобы продолжать пользоваться машиной как обычно, пока вы размышляете. Само по себе это ничего не исправляет, но останавливает текущую связь со злоумышленником и не даёт использовать этот Mac, чтобы дотянуться до чего-то ещё, например до другого устройства в той же сети или до учётной записи, в которую вы всё ещё вошли.

• Отключитесь от сети: выключите Wi-Fi, отсоедините Ethernet. Это самое полезное первое действие, потому что оно сразу же перекрывает и входящие инструкции, и исходящие данные.
• Не выключайте и не перезагружайте Mac, если только вам не сказал это сделать тот, кто вам помогает. Выключение может стереть информацию в памяти, которая иначе помогла бы объяснить произошедшее, а также может запустить опасную программу, спроектированную так, чтобы заметить выключение и замести следы.
• Не удаляйте подозрительное приложение, файлы и не «наводите порядок» до получения помощи. Это соблазнительно, но так уничтожаются улики, которые понадобятся тому, кто будет разбираться в произошедшем.
• Если Mac используется для работы или инцидент может затрагивать чужие данные, немедленно сообщите об этом тому, кто за это отвечает (ИТ-службе или контакту по безопасности работодателя, руководителю по безопасности организации), а не после того, как разберётесь сами.

Сохраните что можете, кратко

Руководство NIST рекомендует документировать «каждый шаг, предпринятый с момента обнаружения инцидента до его окончательного разрешения» (every step taken from the time the incident was detected to its final resolution), с временными метками, в идеале сделанными кем-то, кто не занимается технической частью работы. На одном Mac без формальной команды это может быть просто: запишите или сфотографируйте, что вы увидели и когда (приложение, адрес назначения, время), отметьте всё, что вы изменили (отключили ли вы сеть? закрыли ли приложение?), и сохраните все уже сделанные снимки экрана. Именно такие детали удобно фиксировать с помощью инструментов из предыдущего урока, например журнала подключений по приложениям, прежде чем отключаться от сети.

Получение помощи

К кому обращаться, зависит от того, кто вы и что поставлено на карту. Для большинства людей это начинается с того, кто управляет устройством, если оно не личное (работодатель, ИТ-служба организации), либо с доверенного, технически подкованного человека, если оно личное. Для журналистов, активистов, правозащитников и других, кто может стать мишенью из-за своей работы, есть две организации, специально предлагающие такую поддержку бесплатно:

• Линия цифровой безопасности Access Now (Digital Security Helpline) предлагает быструю помощь на нескольких языках группам гражданского общества и отдельным людям, которые считают себя в группе риска или уже подвергшимися атаке, после проверки на соответствие её мандату.
• Freedom of the Press Foundation предлагает обучение цифровой безопасности и персональные советы для журналистов и редакций, включая рекомендации по безопасности устройств и защите источников.

Ни одна из этих организаций, ни этот урок не могут обещать, что какой-либо набор шагов сделает человека, ставшего мишенью, в безопасности; честная цель — снизить риск и быстро подключить к делу знающего человека, а не устранить риск полностью.