Incydent bezpieczeństwa to zdarzenie, które narusza poufność, integralność lub dostępność informacji i systemów, dlatego wymaga reakcji. Nie każde zdarzenie zarejestrowane w logach jest incydentem. Dopiero realne zagrożenie dla zasobów, polityki bezpieczeństwa albo ciągłości działania nadaje mu taki status.
Czym różni się incydent od zdarzenia?
Zdarzenie, czyli event, to zaobserwowana zmiana stanu systemu lub informacja zarejestrowana przez urządzenie. Może nią być poprawne logowanie użytkownika, uruchomienie usługi, zmiana konfiguracji albo odrzucenie połączenia przez zaporę sieciową. Takie informacje są potrzebne do monitorowania środowiska IT, ale same w sobie nie muszą oznaczać problemu.
Incydent pojawia się wtedy, gdy zdarzenie narusza zasady ochrony lub wskazuje na zagrożenie dla zasobów. Przykładowo, zwykłe logowanie pracownika jest zdarzeniem, natomiast seria nieudanych prób logowania z nieznanego adresu IP może wskazywać na próbę przejęcia konta. W praktyce zespoły bezpieczeństwa oceniają przede wszystkim kontekst, skalę i możliwe skutki.
W klasyfikacji stosowanej w zarządzaniu incydentami, między innymi zgodnej z podejściem ISO/IEC 27035 i NIST SP 800-61, analizuje się wpływ na trzy podstawowe właściwości informacji:
- Poufność – dostęp do danych uzyskują osoby lub systemy, które nie powinny ich znać.
- Integralność – dane albo konfiguracja zostają zmienione, uszkodzone lub sfałszowane.
- Dostępność – uprawnieni użytkownicy nie mogą skorzystać z systemu, usługi lub informacji.
Ta różnica ma znaczenie organizacyjne. Zdarzenia zwykle podlegają obserwacji i korelacji, a incydenty wymagają uruchomienia procedury reagowania, ustalenia priorytetu oraz dokumentowania działań.
Rodzaje incydentów bezpieczeństwa
Nie istnieje jedna uniwersalna lista obejmująca wszystkie możliwe przypadki. Organizacje mogą tworzyć własne kategorie, jednak najczęściej porządkują incydenty według rodzaju zagrożenia, zaatakowanego zasobu oraz wpływu na działalność.
| Typ incydentu | Krótka charakterystyka | Przykład |
|---|---|---|
| Złośliwe oprogramowanie | Wirusy, trojany, spyware i ransomware wykonują niepożądane działania, kradną dane albo blokują dostęp do systemów. | WannaCry szyfrujący dane i żądający okupu |
| Atak DoS lub DDoS | Duża liczba żądań lub inne działania przeciążają usługę, ograniczając jej dostępność dla użytkowników. | Skuteczne przeciążenie serwera WWW albo usługi publicznej |
| Naruszenie danych | Dane zostają ujawnione, skopiowane, utracone lub udostępnione osobom nieuprawnionym. | Wyciek danych klientów, haseł albo dokumentów pracowników |
| Nieautoryzowany dostęp | Napastnik omija uwierzytelnianie lub wykorzystuje przejęte konto do wejścia do systemu. | Włamanie do panelu administracyjnego przez skradzione dane logowania |
| Wykorzystanie podatności | Luka w oprogramowaniu, konfiguracji lub procesie umożliwia wykonanie nieuprawnionych działań. | Eksploatacja podatności w serwerze pocztowym |
| Incydent wewnętrzny | Działanie pracownika, podwykonawcy albo administratora prowadzi do naruszenia bezpieczeństwa, celowo lub przypadkowo. | Wysłanie pliku z danymi klientów do niewłaściwego odbiorcy |
Jedno zdarzenie może należeć do kilku kategorii. Atak ransomware może jednocześnie wykorzystywać podatność, prowadzić do nieautoryzowanego dostępu, naruszać poufność i ograniczać dostępność. Podobnie atak typu supply chain, taki jak kampania powiązana z oprogramowaniem SolarWinds, może dotknąć wielu organizacji przez zaufany komponent dostarczony przez zewnętrznego dostawcę.
O priorytecie nie decyduje sama nazwa techniki. Liczą się między innymi krytyczność zasobu, zakres naruszenia, czas trwania, możliwość dalszego rozprzestrzeniania się oraz wpływ na działalność. Mała anomalia na serwerze testowym może mieć mniejsze znaczenie niż pojedyncze podejrzane logowanie do systemu przechowującego dane wrażliwe.
Jak rozpoznać incydent?
Wykrywanie opiera się na logach, alertach z systemów monitorowania, analizie ruchu sieciowego oraz zgłoszeniach użytkowników. Pojedynczy sygnał nie zawsze wystarcza do potwierdzenia incydentu, ale kilka powiązanych oznak powinno uruchomić analizę:
- Nietypowy ruch sieciowy, nagły transfer danych lub połączenia z nieznanymi adresami.
- Nieoczekiwane zmiany w plikach systemowych, uprawnieniach albo konfiguracji.
- Powtarzające się błędy logowania, alarmy antywirusowe i nietypowe wpisy w logach.
- Spowolnienie działania usług, przerwy w dostępności lub nagłe zużycie zasobów.
- Nowe konta, procesy lub zadania uruchamiane bez potwierdzonej przyczyny.
Nie należy ignorować drobnych anomalii. Wczesny sygnał może poprzedzać większy atak, a szybka korelacja informacji ogranicza czas potrzebny na ustalenie źródła problemu.
Jak zarządzać incydentem bezpieczeństwa?
Standardowe podejście opisuje cykl obejmujący przygotowanie, wykrycie, analizę, ograniczenie skutków, usunięcie przyczyny i odtworzenie działania. Nazwy faz mogą różnić się między organizacjami, ale ich sens pozostaje podobny:
- Przygotowanie – określ role, kanały zgłoszeń, zasady eskalacji, kopie zapasowe i narzędzia do zbierania logów.
- Wykrycie i analiza – potwierdź, czy doszło do incydentu, ustal zakres, źródło, zaatakowane zasoby i możliwy wpływ.
- Powstrzymanie – ogranicz rozprzestrzenianie się zagrożenia, na przykład izolując urządzenie lub blokując przejęte konto.
- Usunięcie – usuń złośliwe pliki, zamknij wykorzystaną lukę, zmień dane uwierzytelniające i wyeliminuj przyczynę naruszenia.
- Odzyskanie – przywróć usługi z zaufanych źródeł, sprawdź ich poprawność i obserwuj środowisko pod kątem powrotu zagrożenia.
- Działania poincydentowe – udokumentuj przebieg, oceń reakcję, zachowaj materiał dowodowy i wprowadź usprawnienia.
W pierwszej fazie trzeba pogodzić szybkość reakcji z dokładnością analizy. Pochopne wyłączenie systemu może utrudnić zebranie dowodów, ale zwlekanie z izolacją zainfekowanego urządzenia zwiększa straty. Przy ransomware, wycieku danych wrażliwych lub podejrzeniu ataku na system krytyczny warto niezwłocznie zaangażować zespół bezpieczeństwa, administratorów i – zależnie od sytuacji – właściwe osoby odpowiedzialne za kwestie prawne oraz zgłoszenia regulacyjne.
Incydent bezpieczeństwa nie jest synonimem każdego alertu. To zdarzenie ocenione w kontekście ryzyka i wpływu na organizację. Jasne rozróżnienie tych pojęć, spójna klasyfikacja oraz uporządkowana reakcja pomagają szybciej ograniczyć szkody i wyciągnąć wnioski na przyszłość.
