Po wykryciu ataku nie formatuj od razu dysku. Najpierw odizoluj system, zabezpiecz logi i ustal, czy napastnik nadal ma dostęp. Najbezpieczniejszy schemat reagowania to: izolacja, diagnoza, oczyszczenie i ponowne zabezpieczenie.
Liczy się czas, ale pośpiech nie może zniszczyć dowodów. Jeżeli na komputerze znajdują się dane firmowe, dane klientów, kopie dokumentów lub informacje objęte ochroną, a Ty nie masz doświadczenia w reagowaniu na incydenty, przerwij samodzielne działania i skontaktuj się ze specjalistą.
Wstępna diagnoza i izolacja systemu
Izolacja ma zatrzymać dalsze rozprzestrzenianie się ataku i ograniczyć możliwość komunikacji z serwerem atakującego. Nie oznacza to automatycznego wyłączania każdego urządzenia. Nagłe odcięcie zasilania może utrudnić analizę, a czasem zniszczyć dane znajdujące się wyłącznie w pamięci operacyjnej.
W pierwszej kolejności wykonaj poniższe czynności, o ile sytuacja na to pozwala:
- Odłącz urządzenie od sieci – wypnij kabel Ethernet albo wyłącz Wi-Fi. W środowisku firmowym odizoluj urządzenie logicznie na przełączniku lub w systemie zarządzania siecią.
- Nie korzystaj z zaatakowanego konta – nie loguj się z niego do poczty, bankowości, panelu administracyjnego ani innych usług.
- Zapisz podstawowe informacje – zanotuj godzinę wykrycia problemu, komunikaty, nazwy podejrzanych plików, adresy e-mail oraz wykonane czynności.
- Zabezpiecz logi – skopiuj dzienniki systemowe, logi zapory, serwera, VPN i usług uwierzytelniania na zewnętrzny, zaufany nośnik.
- Wykonaj kopię obrazu, jeśli masz do tego narzędzia – kopia „na gorąco” może zachować stan systemu i pomóc w analizie. Nie modyfikuj oryginalnego nośnika bardziej, niż jest to konieczne.
- Sprawdź aktywne procesy i połączenia – szukaj programów uruchomionych z nietypowych lokalizacji oraz połączeń do nieznanych adresów.
W systemie Windows przydatne mogą być Podgląd zdarzeń, Menedżer zadań, Monitor zasobów, Microsoft Defender oraz PowerShell. W systemie Linux sprawdza się między innymi logi w katalogu /var/log, procesy uruchomione przez ps lub top, połączenia analizowane przez ss oraz zadania w cron. Same komendy nie potwierdzą jednak, że system jest czysty. Wyniki powinien ocenić ktoś, kto potrafi odróżnić normalne procesy od oznak przejęcia.
Nie kasuj podejrzanych plików i nie czyść logów przed ich zabezpieczeniem. Jeżeli incydent może mieć związek z kradzieżą danych, szantażem lub ransomware, zachowane informacje mogą pomóc w ustaleniu przebiegu zdarzenia.
Ocena skali naruszenia
Po odizolowaniu urządzenia ustal, czy problem dotyczy jednego komputera, konta, serwera, czy całej sieci. Zwróć uwagę na urządzenia, które korzystały z tych samych poświadczeń lub udostępniały wspólne zasoby.
Sprawdź przede wszystkim:
- nieznane konta użytkowników, administratorów i klucze SSH,
- nietypowe procesy, usługi i programy uruchamiane przy starcie systemu,
- harmonogram zadań w Windows Task Scheduler oraz zadania Cron w Linuksie,
- reguły przekierowania poczty, nowe filtry i sesje zalogowane do kont,
- zmiany w zaporze, routerze, DNS, VPN oraz panelach administracyjnych.
Szczególną uwagę poświęć backdoorowi, czyli „tylnej furtce” pozostawionej przez napastnika. Może nią być dodatkowe konto, zmodyfikowana usługa, skrypt, klucz dostępu albo złośliwy komponent aplikacji. Usunięcie jednego pliku nie wystarczy, jeśli atakujący zachował inną drogę wejścia.
Sprawdź także, do jakich danych miał dostęp przejęty użytkownik. Zmień zakres podejrzeń, jeżeli konto było administracyjne, miało dostęp do kopii zapasowych lub korzystało z tych samych haseł w innych usługach. Nie zmieniaj jednak haseł na zaatakowanym urządzeniu. Użyj odizolowanego, zaufanego komputera.
Procedura czyszczenia systemu
Czyszczenie powinno rozpocząć się dopiero po zabezpieczeniu materiału do analizy i ustaleniu, że ważne dane mają kopię zapasową. Kopia jest użyteczna tylko wtedy, gdy pochodzi sprzed ataku i można potwierdzić, że nie zawiera złośliwych plików.
Po usunięciu zagrożenia sprawdź integralność systemu według tej listy:
- Pełne skanowanie – uruchom aktualne narzędzie antywirusowe lub antymalware z zaufanego nośnika albo środowiska.
- Weryfikacja zmian – przejrzyj konta, usługi, zadania, reguły zapory i programy uruchamiane automatycznie.
- Aktualizacja – zainstaluj poprawki systemu, aplikacji, serwera, routera i urządzeń sieciowych.
- Kontrola kopii – przed przywróceniem danych przeskanuj backup i sprawdź, czy nie został zmodyfikowany.
- Test działania – monitoruj logowania, połączenia wychodzące i nowe alerty przez kolejne dni.
- Dokumentacja – zapisz, co usunięto, jakie konta zablokowano i z jakiej kopii przywrócono dane.
Jeżeli istnieje podejrzenie trwałego przejęcia systemu, samo skanowanie może nie wystarczyć. Formatowanie i czysta reinstalacja systemu są ostatecznością, ale często dają największą pewność usunięcia nieznanych modyfikacji. System należy instalować z zaufanego obrazu, a dane przywracać dopiero po jego aktualizacji i zabezpieczeniu.
W przypadku ransomware nie podłączaj od razu kopii zapasowych. Najpierw odizoluj wszystkie nośniki i urządzenia, ustal zakres szyfrowania oraz skontaktuj się ze specjalistą. Zapłata okupu nie gwarantuje odzyskania danych ani usunięcia dostępu napastnika.
Priorytety działań po ataku
Triage bezpieczeństwa pomaga rozdzielić czynności, które trzeba wykonać natychmiast, od tych, które mogą poczekać:
| Działanie | Priorytet | Cel |
|---|---|---|
| Izolacja urządzenia i kont | Natychmiast | Zatrzymanie komunikacji i ograniczenie rozprzestrzeniania ataku |
| Zabezpieczenie logów i obrazu systemu | Natychmiast | Zachowanie dowodów i informacji o sposobie włamania |
| Zmiana poświadczeń | Po izolacji | Odebranie napastnikowi dostępu do kont i usług |
| Czyszczenie lub reinstalacja | Po analizie | Usunięcie złośliwych komponentów i nieautoryzowanych zmian |
| Aktualizacja i monitoring | Długofalowo | Usunięcie przyczyny oraz wykrywanie kolejnych prób dostępu |
Zabezpieczenie systemu na przyszłość
Po odzyskaniu kontroli zmień hasła z czystego urządzenia. Dotyczy to nie tylko konta, które zostało przejęte, lecz także poczty, paneli administracyjnych, VPN, hostingu, chmury, routera i usług używających tych samych poświadczeń.
Wprowadź następujące zabezpieczenia:
- stosuj unikalne, długie hasła przechowywane w menedżerze haseł,
- włącz 2FA, najlepiej z użyciem aplikacji uwierzytelniającej lub klucza sprzętowego,
- aktualizuj systemy, aplikacje, firmware i komponenty serwerowe,
- ogranicz uprawnienia administratora i wyłącz nieużywane konta oraz usługi,
- włącz centralne logowanie zdarzeń i alerty dotyczące nietypowych logowań,
- twórz kopie zapasowe według zasady obejmującej także kopię odłączoną od sieci.
Przetestuj przywracanie danych, bo sama obecność backupu nie oznacza, że można go skutecznie użyć. Ustal też, kto ma reagować na alarmy i gdzie przechowywać dokumentację incydentu.
Kiedy wezwać specjalistów?
Pomoc profesjonalisty jest potrzebna, gdy nie masz pewności, co zostało zmienione, atak dotyczył serwera lub konta administratora, pojawiło się żądanie okupu, zniknęły dane albo mogło dojść do wycieku danych osobowych. W takich sytuacjach samodzielne formatowanie może utrudnić analizę i ograniczyć możliwość ustalenia odpowiedzialności.
Najważniejsze jest zachowanie kolejności: odizoluj system, zabezpiecz dowody, oceń zakres naruszenia, oczyść lub przeinstaluj środowisko, a następnie zmień poświadczenia i wzmocnij ochronę. Żadna pojedyncza czynność nie daje gwarancji stuprocentowego bezpieczeństwa po ataku.
Materiał ma charakter informacyjny i nie zastępuje audytu ani profesjonalnej obsługi incydentu. W przypadku podejrzenia wycieku danych, ransomware lub utraty kontroli nad systemem skontaktuj się ze specjalistą ds. cyberbezpieczeństwa oraz właściwymi instytucjami.
