CICADA8 DFIR

Понимание причин и хода инцидента

Устанавливаем, как именно злоумышленник проник в инфраструктуру, что позволило ему закрепиться, повысить привилегии, и как развивалась атака во времени

Уверенность в том, что угроза устранена

Подтверждаем факт отсутствия злоумышленника в инфраструктуре, скрытых механизмов доступа и следов повторной компрометации

Доказательная база для официальных процедур

Предоставляем технически обоснованные материалы для передачи в правоохранительные органы, страховые компании и регуляторные органы

Рекомендации по предотвращению повторного инцидента

Предлагаем конкретные меры по усилению защиты, устранению уязвимостей и корректировке процессов реагирования

1

Обнаружение и оценка

Выявление активной атаки в реальном времени (подтверждение, определение масштаба атаки и т. д.)

2

Сдерживание угрозы

Разработка первичных рекомендаций для остановки атаки, предотвращения дальнейшего ущерба

3

Ликвидация и восстановление

Удаление вредоносного кода и закладок, восстановление данных из резервных копий, возврат систем в рабочее состояние и т. д.

4

Минимизация ущерба

Снижение финансовых, репутационных и операционных потерь

5

Анализ

Исследование собранных данных с целью понимания причин, хода инцидента, его последствий

6

Рекомендации

Предотвращение подобных инцидентов в будущем

2

1

Сбор доказательств

Сохранение данных (логи, дампы памяти, образы дисков) с соблюдением юридических процедур (chain of custody)

2

Анализ произошедшего

Реконструкция событий, глубокое изучение данных — когда, при каких обстоятельствах и что произошло

3

Подготовка доказательств

Документирование доказательств для судебных разбирательств или страховых кейсов

4

Профилактика

Конкретные рекомендации по устранению уязвимостей, корректировки бизнес-процессов, устранению любых выявленных недостатков

1

Хищение данных

Атаки с вредоносным ПО

Финансовые преступления

Подписка на реагирование — это возможность мгновенного реагирования на инцидент без лишнего документооборота и с уже подготовленной позиции. По сути, это подписка на услуги CICADA8, которую можно использовать в любой момент.

Эксперты проводят предварительную оценку инфраструктуры

Подписываются все необходимые документы

Подписка активирована

Атаки через доверительные отношения становятся обыденностью, наличие доступа к ИТ-подрядчику перестает быть чем-то эксклюзивным, атаки становятся «грубее».

«Легкое» повышение привилегий через типовые ошибки конфигурации.

Использование ИИ для отдельных этапов кибератак.

Шифрование без требования выкупа.

Смещение фокуса с финансовой выгоды в сторону хактивизма и нанесения максимального ущерба.

Значительный рост числа атак через доверительные отношения (операторы шифровальщиков «распробовали» этот вектор).

Еще больший рост числа атак, где целью является нанесение максимального ущерба потерпевшему, а не финансовая выгода атакующего.

Громкие кейсы с попытками внедрения атакующих через процессы найма.

Выявление массовых атак на мобильные устройства с применением уязвимостей нулевого дня.

Атаки через доверительные отношения (через подрядчиков, обслуживающих ИТ-системы или их компоненты).

«Захват» внешних ИТ-активов (облачные диски, другие сторонние сервисы) для закрепления доступа.

Резкий рост числа политически мотивированных кибератак на российские организации.

Рост числа атак, где данные шифруются или уничтожаются, без требования выкупа.

Резкий рост числа атак, использующих громкие политические события для социальной инженерии или доставки вредоносных программ.

Развитие ландшафта киберугроз, спровоцированное переходом на удаленную работу, рост числа атак:

• эксплуатирующих веб-уязвимости и угадываемые пароли (RDP, RDG);
• эксплуатирующих уязвимости на периметре (ProxyLogon, ProxyShell);
• использующих социальную инженерию в контексте COVID-19.

Увеличение ущерба от атак шифровальщиков.

Громкие атаки на цепочки поставок программного обеспечения.