Відповідь: ізоляція машини

Виявлення має значення, лише якщо воно веде до дії. У цьому уроці йдеться про перші хвилини після того, як ви помітили щось не так: програма підключається кудись, куди вона не повинна підключатися, Mac поводиться дивно або попередження від людини, якій ви довіряєте, про те, що ви могли бути ціллю. Мета тут не полягає в тому, щоб самостійно вирішити основну проблему; це зупинити погіршення стану та зберегти те, що вам знадобиться для отримання справжньої допомоги.

Спочатку ізолюйте, а потім досліджуйте

Посібник з обробки інцидентів комп’ютерної безпеки NIST (SP 800-61) розглядає стримування як вибір, який потрібно зробити швидко, і попереджає, що «зловмисник може розширити несанкціонований доступ або скомпрометувати інші системи» до тих пір, поки стримування відкладено. На одному Mac обмеження означає припинення доступу до мережі: вимикання Wi-Fi, від’єднання кабелю Ethernet або ввімкнення режиму польоту, якщо він доступний, замість того, щоб продовжувати використовувати його в звичайному режимі, поки ви думаєте. Це само по собі нічого не виправляє, але припиняє поточне з’єднання зі зловмисником і запобігає використанню Mac для доступу до чогось іншого, наприклад іншого пристрою в тій самій мережі або облікового запису, у який ви все ще ввійшли.

• Відключитися від мережі: Wi-Fi вимкнено, Ethernet від’єднано. Це найкорисніша перша дія, оскільки вона одночасно відсікає як вхідні інструкції, так і вихідні дані.
• Не вимикайте та не перезавантажуйте Mac, якщо хтось вам не наказав це зробити. Вимкнення може призвести до втрати інформації в пам’яті, яка б інакше допомогла пояснити, що сталося, і може запустити шкідливе програмне забезпечення, призначене для виявлення завершення роботи та замітання його слідів.
• Не видаляйте підозрілу програму, не видаляйте файли та не «очищайте», перш ніж отримати допомогу. Це спокусливо, але це знищує докази, необхідні помічнику, щоб зрозуміти, що сталося.
• Якщо комп’ютер Mac використовується для роботи або інцидент може стосуватися чиїхось даних, негайно повідомте про це того, хто відповідальний за це (контактну службу роботодавця з інформаційних технологій або служби безпеки, керівника служби безпеки організації), а не після того, як ви самі перевірите це.

Зберігаючи те, що можна, коротко

Посібник NIST рекомендує документувати «кожен крок, зроблений з моменту виявлення інциденту до його остаточного вирішення», з позначкою часу, в ідеалі кимось іншим, ніж особа, яка виконує технічну роботу. На одному Mac, без офіційної команди, це може бути просто: запишіть або сфотографуйте те, що ви бачили і коли (програма, пункт призначення, час), занотуйте все, що ви змінили (чи від’єднали ви мережу? чи закрили програму?), і збережіть будь-які знімки екрана, які ви вже зробили. Це саме ті деталі, які інструменти попереднього уроку, такі як журнал підключень для кожної програми, корисні для запису перед від’єднанням.

Отримання допомоги

До кого звертатися, залежить від того, хто ви і що поставлено на карту. Для більшості людей це починається з того, хто керує пристроєм, якщо він не є особистим (роботодавець, ІТ-служба організації), або довіреної, технічно обізнаної особи, якщо це так. Журналістам, активістам, правозахисникам та іншим особам, які можуть стати мішенню через свою роботу, дві організації спеціально пропонують такий вид безкоштовної підтримки:

• Гаряча лінія цифрової безпеки Access Now пропонує швидку допомогу кількома мовами групам громадянського суспільства та окремим особам, які вважають, що вони знаходяться під загрозою або вже зазнали атаки, після процесу перевірки, щоб підтвердити, що вони підпадають під її повноваження.
• Фундація «Свобода преси» пропонує тренінги з цифрової безпеки та персоналізовані поради для журналістів і редакцій, включаючи вказівки щодо безпеки пристроїв і захисту джерела.

Ні організація, ні цей урок не можуть обіцяти, що будь-який набір кроків зробить цільову особу безпечною; чесною метою є зменшення ризику та швидке залучення обізнаної людини, а не його усунення.