DeteAct

Анализ компрометации

Анализ последствий и причин киберинцидента и поиск следов присутствия атакующих в инфраструктуре. Отвечаем на три вопроса: как вошли, что затронуто и остался ли доступ, а затем закрываем путь атаки и соседние с ним.

СвязатьсяЧто ищем
Что предоставляет заказчик
Корпоративная инфраструктура
VPN или удалённый доступ к рабочей станции в сети
Продуктовая инфраструктура
Репозитории кода, dev-инфраструктура, продакшен
Резервные копии
Копии скомпрометированных ресурсов на момент до и после инцидента
Логи
Журналы скомпрометированных и связанных с ними систем, средств защиты и сетевого оборудования

Что ищем

Признаки присутствия атакующих и то, что позволит им вернуться после восстановления.
НаправлениеЧто проверяемЧто это значит для заказчика
Активные сессииОстаточные признаки нелегитимных сессий: VPN, RDP, SSH, веб-сессии администраторовАтакующий всё ещё внутри и сохраняет доступ
Бэкдоры в кодеИзменения в исходных текстах, зависимостях, конфигурации и CI/CD, не относящиеся к легитимной разработкеПовторная компрометация после восстановления из резервной копии
Учётные записиСозданные или изменённые атакующими учётные записи, ключи, токены и праваСкрытый канал доступа, переживающий смену паролей
ХронологияПоследовательность действий по логам и артефактам: первое проникновение, перемещение, целиПонимание, что именно утекло и откуда началась атака
Пути перемещенияВозможные дальнейшие маршруты горизонтального перемещения из скомпрометированных узловСистемы, которые нужно проверить и защитить в первую очередь
УтечкиДанные о компании в базах утечек и исторические данные о внешнем периметреИсходная точка атаки: утёкшие пароли, забытые сервисы

Этапы анализа компрометации

Исследование инцидента и аудит безопасности идут в одном проекте: сначала понять, что произошло, затем закрыть причины.
  1. 01

    Сбор информации

    Изучаем схему сети и продукта, проводим инвентаризацию активов. Собираем логи из скомпрометированных и связанных с ними систем. Ищем сведения о компании в базах утечек и исторических данных о внешнем периметре, чтобы определить вероятную точку входа.

  2. 02

    Исследование инцидента

    Интервьюируем команду заказчика, анализируем информационные системы и артефакты инцидента. Проверяем остаточные признаки активных нелегитимных сессий, бэкдоры в коде, учётные записи, созданные атакующими. Восстанавливаем хронологию инцидента и строим возможные дальнейшие пути горизонтального перемещения.

  3. 03

    Аудит безопасности

    Анализируем архитектуру продукта и определяем потенциальные проблемы безопасности на внешнем периметре, во внутренней инфраструктуре и с точки зрения инсайдерских угроз. Проводим автоматизированное сканирование уязвимостей всей инфраструктуры и ручные проверки результатов, чтобы закрыть не только использованный путь, но и соседние.

  4. 04

    Отчёт

    Описание проведённых проверок и обнаруженных признаков компрометации; найденные уязвимости с уровнями риска и рекомендациями; приоритизированный перечень общих и частных рекомендаций по устранению последствий инцидента, закрытию уязвимостей и построению процесса информационной безопасности.

Что делать после отчёта

Отчёт по инциденту закрывает конкретный случай. Чтобы следующий не повторился, периметр и приложения проверяются регулярно.

Вопросы об анализе компрометации

Когда нужен анализ компрометации?
После подтверждённого или подозреваемого инцидента: утечки данных, шифровальщика, несанкционированных действий в системах, обращения от регулятора или партнёра, а также при обнаружении данных компании в утечках. Второй случай — проверка «чистоты» инфраструктуры перед сделкой, миграцией или после ухода администратора с широкими правами.
Чем это отличается от пентеста?
Пентест ищет пути, которыми можно проникнуть; анализ компрометации отвечает на вопрос, проник ли кто-то уже, как именно, что затронуто и остался ли доступ. Аудит безопасности в составе услуги затем закрывает не только использованный атакующими путь, но и соседние, чтобы инцидент не повторился.
Что нужно предоставить?
Доступ к задействованным в инциденте активам: корпоративной инфраструктуре через VPN или рабочую станцию, продуктовой инфраструктуре (репозитории, dev-окружение, продакшен), резервным копиям скомпрометированных ресурсов и логам. Чем раньше сохранены логи и образы систем, тем полнее картина.
Нужно ли останавливать системы на время работ?
Нет. Исследование ведётся по логам, резервным копиям и артефактам без остановки сервисов. Если по ходу обнаруживается активный доступ атакующих, порядок изоляции узлов и отзыва доступов согласуется с заказчиком до действий, чтобы не уничтожить следы и не нарушить работу.
Как обеспечивается конфиденциальность?
Работы ведутся по договору с NDA. Доступы, логи и артефакты хранятся в ограниченном контуре на время проекта и удаляются после его завершения по согласованной процедуре. Персональные данные из систем не выгружаются сверх необходимого для подтверждения факта.
Что получает заказчик по итогам?
Отчёт с описанием проведённых проверок, обнаруженных признаков компрометации и восстановленной хронологии, перечнем уязвимостей с уровнями риска и приоритизированным планом устранения последствий и повышения защищённости. Разбор результатов с командой заказчика и помощь при устранении.

Связаться по инциденту

Опишите, что произошло и какие системы затронуты. Ответит специалист, который будет вести проект; состав работ и сроки согласуем в первый рабочий день.

Почта
info@deteact.ru
Телефон
+7 499 444-12-46
Офис
Москва, Пресненская набережная, 10с2 (IQ-квартал, Москва-Сити)
Лицензия
ФСТЭК России №Л024-00107-00/00581935
Заявка уходит напрямую команде, без колл-центра. Ответим с рабочей почты.