04/02/2026
Киберқауіпсіздік бойынша iQ-Solutions мамандарының сараптамалық жазбалар сериясын жалғастырамыз.
Деректердің сыртқа шығуы - бизнес үшін әрдайым дағдарыс. Нақты залал инциденттің өз фактісімен емес, компания алғашқы 24 сағатта қаншалықты жылдам әрі кәсіби әрекет еткенімен анықталады.
Негізгі әрекет ету протоколы
1. Инцидентті оқшаулау.
▪️зақымдалған хосттарды оқшаулау (желіден ажырату, firewall/EDR арқылы бұғаттау);
▪️компрометацияланған тіркелгілерді кері шақыру және бұғаттау;
▪️зиянды IP-мекенжайлар мен C2-серверлерді бұғаттау;
▪️бұзылған сервистерді немесе қосымшаларды өшіру.
2. Операциялық топ құру.
▪️команданы жинау: IT, ақпараттық қауіпсіздік, заңгерлер, PR;
▪️коммуникация мен шешім қабылдауға жауапты бірыңғай тұлғаны тағайындау.
3. Қауіпті жою.
▪️ дамптар мен оқиғалар журналдарын сақтау;
▪️ зақымдалған жүйелерге терең талдау жүргізу (форензика: жад, диск, логтар, желілік трафикті талдау);
▪️зиянды БҚ, бэкдорлар және persistence-механизмдерін жою (автожүктеу, scheduled tasks, бұзылған тіркелгілер);
▪️бастапқы енуге пайдаланылған осалдықтарға патч орнату;
▪️зақымдалған хосттарда ОС пен қосымшаларды толық қайта орнату (мүмкін әрі негізді болса);
▪️қауіптің барлық инстанстарын бүкіл инфрақұрылым бойынша іздеу және жою (тек оқшауланған хосттарда ғана емес);
▪️есеп үшін дәлелдемелік базаны жинау.
4. Жүйелердің жұмысын қалпына келтіру. Жүйелер мен бизнес-процестерді қалыпты жұмыс күйіне қайтару. Негізгі мақсат - downtime уақытын азайту және қауіпсіз жұмысқа көз жеткізу.
▪️таза резервтік көшірмелерден қалпына келтіру (бэкаптардың жұқпағанын тексеру арқылы);
▪️жүйелерді желіге кезең-кезеңімен, күшейтілген мониторингпен қайта қосу;
▪️қалпына келтірілген жүйелердің жұмысқа қабілеттілігін және қауіптің жоқтығын тестілеу;
▪️белгілі бір кезең бойы (әдетте 1–4 апта) қайта жұқтыру белгілеріне мониторинг жүргізу;
▪️қалыпты жұмыс режиміне оралу уақытын бекіту (жиі басшылықтың келісімімен).
5. Постинциденттік талдау. Бұл - жиі бағаланбайтын, бірақ ең маңызды кезеңдердің бірі.
▪️операциялық топты жинап, ретроспективті талдау жүргізу;
▪️есеп дайындау: инциденттің timeline-ы, root cause analysis, келтірілген залал (қаржылық, беделдік), не дұрыс/қате жасалды;
▪️әлсіз тұстарды анықтау (процестердегі, технологиялардағы, қызметкерлерді оқытудағы гэптер);
▪️ақпараттық қауіпсіздік саясаттарын, әрекет ету жоспарларын, мониторинг ережелерін, қызметкерлерге арналған оқыту материалдарын жаңарту;
▪️қажет болған жағдайда реттеушілерді, серіктестерді және клиенттерді хабардар ету.
Бұл кезеңнің мақсаты - инцидентті жай ғана «жабу» емес, компанияның болашақ шабуылдарға төзімділігін арттыру.
6. Не істеуге болмайды.
▪️шабуыл іздерін жою;
▪️жағдай бақылауда деп дәлелсіз мәлімдеу;
▪️инцидентті компания ішінде жасыру;
▪️зиянкестермен келіссөз жүргізу.
Қорытынды: ең тиімді қорғаныс - алдын ала дайындалған әрекет ету жоспары және өзекті резервтік көшірмелер.
Келесі жарияланымдарда кең таралған қауіптер мысалында нақты шабуыл сценарийлері мен қорғану тәжірибелерін талдаймыз.
