Плейбук: съёмный носитель с неизвестным содержимым или утечкой
Не вставляйте найденную или «гостевую» флешку в рабочий компьютер. Потеря ноутбука — другой сценарий: потеря устройства. Сутки: первые 24 часа. Каталог: каталог плейбуков.
Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17: cisecurity.org/controls. Это не российский закон. Носитель не разбираем как лаборатория malware.
Признаки и что не делать
| Случай | Не делать |
|---|---|
| Флешка в почте, на ресепшн, «от курьера» | Вставлять в ПК бухгалтера «просто открыть PDF» |
| Сотрудник вынес базу на диск | Форматировать диск до копирования доказательств |
Автозапуск со съёмных носителей должен быть выключен заранее: hardening Windows. Политика запрета носителей — отдельная тема очереди, здесь только инцидент.
Первые шаги
- Носитель в пакет, не в ПК. Подпишите кто нашёл, когда, где.
- Если уже вставили — изолируйте эту станцию как при вредоносе: вредонос на станции.
- Вынос данных: отзовите доступ, сохраните факт (журнал шары, письмо), кадры и юрист. Класс данных: классификация.
- ПДн на носителе вне периметра — считайте утечкой и сроки РКН.
- Чтение содержимого — только на выделенной изолированной машине по решению руководителя инцидента или у подрядчика расследований, не «у админа на столе».
Приоритет: высокий при неизвестном носителе в слоте; критический при выносе базы. Эскалация директору при ПДн или тайне. Не фотографируйте содержимое в общий чат.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Нашли флешку и «проверили антивирусом на месте» | Автозапуск мог сработать. Станцию в плейбук вредоноса |
| Диск отформатировали до разбора | Доказательств нет. Дальше только опрос и журналы |
Где это в модели зрелости
Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). DLP и запрет USB — профилактика данных. Плейбук — что делать с уже найденным предметом.
Как проверить
- На ресепшн знают: найденный носитель не вставлять, звать ИБ.
- Есть пакет и журнал находки.
- Нет шага «открыть файл на рабочем ПК».
Источники
- CIS Control 17: cisecurity.org/controls.
