Svara: isolera en maskin

Detektion spelar bara roll om det leder till handling. Den här lektionen handlar om de första minuterna efter att du upptäcker något fel: en app som ansluter någonstans den inte borde, en Mac som beter sig konstigt eller en varning från någon du litar på att du kan ha blivit måltavla. Målet här är inte att fixa det underliggande problemet själv; det är för att förhindra att det blir värre och att behålla det du behöver för att få verklig hjälp.

Isolera först, undersök sedan

NIST:s Computer Security Incident Handling Guide (SP 800-61) framställer inneslutning som ett val som måste göras snabbt och varnar för att "en angripare kan eskalera obehörig åtkomst eller äventyra andra system" så länge inneslutningen är försenad. På en Mac innebär inneslutning att man avbryter nätverksåtkomsten: stänga av Wi-Fi, koppla ur en Ethernet-kabel eller slå på flygplansläge om det är tillgängligt, istället för att fortsätta använda det normalt medan du tänker. Detta fixar ingenting av sig självt, men det stoppar en pågående anslutning till en angripare och stoppar Mac från att användas för att nå något annat, till exempel en annan enhet på samma nätverk eller ett konto som du fortfarande är inloggad på.

• Koppla från nätverket: Wi-Fi avstängt, Ethernet frånkopplat. Detta är den enskilt mest användbara första åtgärden, eftersom den stänger av både inkommande instruktioner och utgående data på en gång.
• Stäng inte av eller starta om Mac-datorn om du inte har blivit tillsagd av någon som hjälper dig. Att stänga av kan förlora information i minnet som annars skulle hjälpa till att förklara vad som hände, och kan utlösa skadlig programvara som är utformad för att upptäcka en avstängning och täcka dess spår.
• Avinstallera inte den misstänkta appen, ta inte bort filer eller "städa upp" innan du får hjälp. Det är frestande, men det förstör bevisen som en hjälpare skulle behöva för att förstå vad som hände.
• Om Mac-datorn används för arbete, eller om incidenten kan involvera någon annans data, berätta omedelbart för den som är ansvarig för det (en arbetsgivares IT- eller säkerhetskontakt, en organisations säkerhetsledare) snarare än efter att du själv har undersökt det.

Bevara det du kan, kort och gott

NIST:s guide rekommenderar att man dokumenterar "varje steg från det att incidenten upptäcktes till dess slutliga lösning", tidsstämplad, helst av någon annan än den som utför det tekniska arbetet. På en Mac, utan ett formellt team, kan detta vara enkelt: skriv ner eller fotografera vad du såg och när (appen, destinationen, tiden), notera allt du ändrade (kopplade du från nätverket? stängde du en app?) och behåll alla skärmdumpar du redan tagit. Det är precis den här typen av detaljer som verktygen i föregående lektion, till exempel en anslutningslogg per app, är användbara för att fånga innan du kopplar bort.

Får hjälp

Vem man ska kontakta beror på vem man är och vad som står på spel. För de flesta börjar detta med den som hanterar enheten om den inte är personlig (en arbetsgivare, en organisations IT), eller en pålitlig, tekniskt kapabel person om den är det. För journalister, aktivister, människorättsförsvarare och andra som kan bli måltavla på grund av sitt arbete, erbjuder två organisationer specifikt denna typ av stöd utan kostnad:

• Access Nows digitala säkerhetshjälplinje erbjuder snabbresponshjälp på flera språk för civilsamhällesgrupper och individer som tror att de är i riskzonen eller redan är under attack, efter en granskning för att bekräfta att de faller inom dess mandat.
• Freedom of the Press Foundation erbjuder digital säkerhetsutbildning och personlig rådgivning för journalister och nyhetsrum, inklusive vägledning om enhetssäkerhet och källskydd.

Varken organisationen eller den här lektionen kan lova att någon uppsättning steg gör en riktad person säker; det ärliga målet är att minska risken och få en kunnig person involverad snabbt, inte att eliminera den.