Плейбук: доступ или данные компании предлагают на закрытых площадках

Вам сообщили, что доступ в вашу сеть, учётки или база продаются на закрытой площадке. Сначала проверьте подлинность и отзовите доступ, потом ищите источник. Данные уже в паблике — ваши данные в паблике. Сутки: первые 24 часа. Каталог: каталог плейбуков.

Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17: cisecurity.org/controls. Это не российский закон. Покупать доступ, торговаться и заходить на площадки без юриста не нужно; схема веток опирается на общедоступный гайдлайн Лаборатории Касперского, переписано своими словами.

Признаки и что не делать

Сообщение от аналитика угроз, исследователя или клиента; пост продавца с фрагментом структуры сети, списком учёток или образцом базы. Не открывайте образцы на рабочей станции: сначала проверка на вредоносное. Не платите и не вступайте в переписку. Не раскрывайте источник сведений без решения юриста.

Схема решений

Читайте сверху вниз. Оранжевая рамка — вопрос: «да» уводит вправо, «нет» продолжает путь вниз. Текст ниже ведёт по тем же шагам и добавляет команды и пояснения.

Первые шаги

1. Запишите источник, время, продавца и что именно продают: доступ, учётки или данные.
2. Проверьте подлинность: относится ли доступ или образец к вам (домены, системы, формат данных, подрядчики).
3. Ветка доступа: отзовите учётки и VPN, найдите скомпрометированную систему по журналам; следы нет — проверьте вероятность инсайдера.
4. Ветка учёток: найдите, какие записи актуальны, смените пароли и завершите сеансы, проверьте источник: стилер или утечка из чужой базы.
5. Ветка данных: оцените состав по образцам и точку входа; ПДн — сроки РКН: уведомление.

Приоритет: критический, если доступ актуален или есть образцы ПДн; высокий при старых учётках. Эскалация директору и юристу.

Кто что делает и в какой срок

Первый звонок: директор и юрист. Ориентир срока первой реакции в малой компании: критический приоритет — сразу и не позже 15 минут, высокий — в течение часа, средний — в течение рабочего дня. Подставьте свои сроки в карточку инцидента; уровень выбирайте по наибольшему возможному ущербу, а не по тому, что видно сейчас (классификация).

Если людей двое, руководитель инцидента ведёт и журнал, а администратор делает действия.

Когда считать закрытым

• Подлинность образцов подтверждена или отвергнута, запись есть
• Актуальный доступ и учётки отозваны
• Источник найден или записан как неизвестный, мониторинг усилен
• Уведомление Роскомнадзора отправлено или записано решение, что оно не нужно, с причиной (сроки 24 и 72 часа идут от выявления)

Что сохранить: адрес и время находки, образцы без открытия на рабочей машине; журналы отозванных доступов; решение юриста по связи с площадкой. Ссылки на материалы кладите в карточку инцидента, сами значения секретов и персональные данные в карточку не копируйте. Если затронуты персональные данные, часы Роскомнадзора идут от выявления, а не от подтверждения.

Разбор: в течение пяти рабочих дней по схеме разбора после инцидента. Типичная первопричина здесь: нет мониторинга своих доменов и нет пересмотра доступов подрядчиков. Допишите в этот плейбук шаг, которого не хватило, и укажите дату правки. Остальные сценарии — в каталоге плейбуков.

Диагностика

Где это в модели зрелости

Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). Мониторинг площадок — работа аналитика угроз; здесь описано, что делать, когда сигнал уже пришёл.

Как проверить

1. В плейбуке три ветки: данные, доступ, учётки.
2. Образцы проверяют на вредоносное до открытия.
3. Назначен тот, кто принимает такие сообщения.

Источники

• CIS Control 17: cisecurity.org/controls.
• Лаборатория Касперского, гайдлайн реагирования на угрозы из даркнета: dfi.kaspersky.ru.