Как реагировать на инциденты в информационной безопасности?

Мы уже писали, что в ИБ состояния абсолютной безопасности не существует. Однако можно минимизировать ущерб и быстро восстановить функционирование системы.

В эфире AM Live наш технический руководитель направления МТС RED SOC Ильназ Гатауллин и ведущие эксперты отрасли уделили особое внимание основным этапам реагирования на инциденты. Традиционно принято выделять 6 этапов:

1️⃣ Подготовка: разработка правил и сценариев реагирования.

2️⃣ Идентификация: выявление инцидента, анализ событий и оповещение.

3️⃣ Сдерживание: остановка развития инцидента, изоляция заражённых сегментов, сбор улик.

4️⃣ Ликвидация: полное устранение угрозы и рисков его распространения.

5️⃣ Восстановление: возврат в строй пострадавших ресурсов, обновление доступов.

6️⃣ Разбор полётов: анализ произошедшего и обновление плана реагирования на инциденты.

Инциденты возникают по разным причинам — то очень хитрый и умный хакер, то не очень умный сотрудник. Поэтому важно делать выводы и учиться на своих и, что дешевле, чужих ошибках.

Бонусом прикладываем видео с кейсом от Ильназа 😉