Syndis hefur komið að mörgum atvikum eftir tölvuárásir, allt frá árásum sem hafa áhrif á einstaka notendur yfir í árásir sem lama heil tölvukerfi og fyrirtæki. Tíðni árása er orðin töluverð og kemur varla fyrir sú vika sem ekki þarf að framkvæma einhverjar rannsóknir á innbroti, þó að fréttaflutningur af slíkum árásum sé takmarkaður. Miðað við reynslu Syndis rata líklega ekki nema 10-20% af innbrotum í tölvukerfi í fréttirnar og oftar en ekki eru það einungis víðtækustu árásirnar sem verða opinberar.
Það er tvennt sem þarf að hafa í huga áður en atvik kemur upp.
Árið 2012 sagði Robert S. Mueller III þáverandi yfirmaður FBI þessi orð:
I am convinced that there are only two types of companies: those that have been hacked and those that will be. And even they are converging into one category: companies that have been hacked and will be hacked again.
FBI — Combating Threats in the Cyber World: Outsmarting Terrorists, Hackers, and Spies
En hvað á að gera þegar upp kemur atvik?
Því miður er það svo að mörg atvik uppgötvast þegar árásaraðili gerir vart við sig t.d. við breytingar á vefsíðu, með lausnargjaldskröfum vegna gagnastuldar eða gagnagíslatöku. Árásir á pósthólf uppgötvast oft þegar utanaðkomandi aðili lætur vita að hann hafi fengið tölvupóst frá pósthólfi sem búið er að brjótast inn í.
Hins vegar eru einnig til mörg dæmi þar sem öryggisvarnir t.d. SOC vöktun, EDR lausnir, eldveggir og fleira flagga óeðlilegri hegðun og er þá mjög mikilvægt að ferlarnir varðandi atvikastjórnun séu skýrir eða haft sé samband við sérfræðinga í atvikastjórnun þar sem skortur á aðgerðum eða jafnvel rangar aðgerðir geta gert illt verra.
Þegar búið er að uppgötva atvik þarf að fara í skaðaminnkandi aðgerðir sem geta verið allt frá því að breyta lykilorði og óvirkja setur notanda (e. sessions) yfir í að aftengja mikilvæga þjóna/kerfi við önnur kerfi og er þá mikilvægt að skýrar heimildir séu til staðar um hver má framkvæma slíkar aðgerðir, hvað þarf til þess að heimila aðgerðirnar en síðast enn ekki síst, hvernig eru slíkar aðgerðir framkvæmdar.
Þegar búið er að framkvæma skaðaminnkandi aðgerðir, þarf að ná utan um heildaratvikið. Er atvikið bundið við einstaka notendur, einstök kerfi / netþjóna eða er allt umhverfið undir ?
Umfangsmatið leiðir í ljós hve víðtækt atvikið er og þá í framhaldi er hægt að meta hvaða áhrif atvikið hefur á reksturinn og hvaða viðbótaraðgerðir þarf að framkvæma.
Hversu mikil áhrif hefur það á reksturinn ef eitt pósthólf notanda er undir í atvikinu ? En allur skýjageirinn? Allt AD umhverfið?
Þetta eru spurningar sem þarf að spyrja til að geta greint áhrif atviksins. Þetta er sérstaklega mikilvægt þar sem atvik geta haft ýmis áhrif t.d.
Í framhaldi þarf að hefja aðgerðir til að kom kerfum í eðlilegt ástand, en umfangsmatið getur gefið til kynna hvort og þá hve mikillar aðstoðar frá sérfræðingum sé þörf.
Þar sem árásaraðili komst inn í kerfið, þarf að tryggja að árásaraðili sé í raun kominn út úr kerfinu og koma tölvukerfinu í eðlilegt ástand. Slíkar aðgerðir velta á umfangi árásarinnar og hvort hægt sé að sýna fram á hvaða aðgerðir árásaraðilinn framkvæmdi í umhverfinu. Í ýmsum málum sem Syndis hefur rannsakað var eitt af fyrstu skrefum árásaraðila að festa aðgang sinn í sessi með uppsetningu á einhverskonar bakdyrum.
Til að ná utan um slíkt er hægt að spyrja nokkurra spurninga
Þegar búið er að svara þessum spurningum er hægt að fara í þær aðgerðir sem þarf til að koma kerfum í eðlilegt ástand, en ef ekki er hægt að svara öllum þessum spurningum þá þarf að taka ákvörðun hvort eðlilegt sé að notast við kerfin áfram, sérstaklega ef ekki er ljóst hvernig árásaraðili komst inn eða hvaða aðgerðir voru framkvæmdar.
Dæmi um bakdyr sem árásaraðilar notast við eru t.d. fjartengingarhugbúnaður (AnyDesk, TeamViewer og slíkt), uppsetning á tæki til að nota við tvíþátta auðkenningu, stofnun nýrra notenda og fleira.
Hafa þarf sérstaklega í huga að atburðaskráningar eru lykill að því að geta svarað þessum spurningum og því þurfa þær að vera stilltar á viðeigandi hátt og helst ritvarðar og geymdar í þar til gerðu kerfi.
Gott er að fara í eftirfylgni af atviki þar sem farið er sérstaklega yfir hvað gerðist, hvað hefði mátt gera betur og hvernig er komið í veg fyrir að sambærilegt atvik gerist aftur. Hver var frumorsök atviksins og í framhaldi voru einhverjar viðbótarstýringar sem hefðu þurft að vera til staðar sem hefðu getað lágmarkað tjónið eða gert árásina sýnilegri þannig að hægt hefði verið að bregðast við fyrr.
Einnig ætti að fara yfir atvikastjórnunarferla um hvort og þá hvað hefði mátt gera öðruvísi.
Nokkrar spurningar sem gott væri að spyrja áður en til atviks kemur