Hva gjør du når du blir utsatt for et cyberangrep?

Det er en vanlig tirsdag formiddag, systemene går som normalt. Så, i løpet av sekunder, forandrer alt seg. En skjerm låser seg, dokumenter forsvinner eller merkelige meldinger dukker opp. Det kan være et løsepengevirus, en pågående inntrengning eller et angrep du ennå ikke kjenner omfanget av.

I en slik situasjon teller hvert minutt. Men det som teller mest, er hva du gjør og hva du ikke gjør i de første minuttene. Mange reagerer instinktivt ved å trekke ut strømmen, reinstallere systemer eller slette det som virker mistenkelig. Det kan stoppe noe av skaden, men det kan også fjerne avgjørende bevis og gjøre jobben med å forstå angrepet langt vanskeligere.

Sicras Security Operation Center (SOC) håndterer slike hendelser jevnlig. Vi ser hvor stor forskjell riktig førstehåndshåndtering gjør. Her får du råd som hjelper deg å støtte sikkerhetsteamet og sikre raskere vei tilbake til normal drift.

Hold hodet kaldt og bevar situasjonen

Panikken som oppstår når et  cyberangrep oppdages, er helt naturlig. Men det viktigste i denne fasen er å unngå forhastede beslutninger. Hvis det ikke er en reell risiko for at angrepet sprer seg umiddelbart, bør systemene forbli påslått. Slår du dem av med en gang, risikerer du å miste spor som kan fortelle oss hvordan angrepet startet, hvor angriperen kom inn og hvilke data som er berørt.

Scenario: Tenk deg at en ansatt ser en merkelig melding om at filene er kryptert. I panikk kobler de fra strømmen på maskinen. Når SOC kommer inn, mangles det viktige spor i minnet som kunne ha vist hvordan løsepengeviruset kom inn. Men når midlertidig lagring er blitt samlet inn på forhånd (data som ligger i minne), så er det bedre forutsetninger for å kartlegge angrepet og legge inn de riktige sikkerhetskontrollene.

SOC bruker spor som loggfiler, minneinnhold og midlertidige prosesser til å bygge et nøyaktig bilde av hendelsen. Uten disse blir analysen som å legge et puslespill uten de mest sentrale brikkene.

Varsle raskt, men riktig

Hastighet er kritisk, men presisjon er like viktig. En rask beskjed til riktige personer kan være forskjellen på et avgrenset problem og en full krise. Varsle interne nøkkelroller først, som IT avdelingen, sikkerhetsansvarlig og ledelsen. Deretter eksterne partnere som Sicras SOC og eventuelle leverandører av kritiske systemer.

Scenario: En virksomhet oppdager et angrep sent fredag kveld. I stedet for å prøve å løse det internt, varsler de umiddelbart både ledelse og SOC. Det gjør at vi kan bistå raskt og begrense skadeomfanget, samtidig som feil som kan forverre situasjonen unngås.

En god varslingsliste er et av de mest verdifulle dokumentene du kan ha. Den bør være oppdatert, lett tilgjengelig og testet jevnlig. Når alarmen går, skal du vite nøyaktig hvem du skal ringe, uten å måtte lete etter kontaktinformasjon.

Dokumenter hvert eneste funn

I kaoset som følger et angrep, er det lett å glemme detaljene. Noter tidspunkt for første observasjon, beskriv hva som skjedde og registrer alle tiltak som er gjort. Ta skjermbilder og sikre logger. Selv små detaljer kan vise seg å være avgjørende når hendelsen skal analyseres.

Scenario: En sikkerhetsansvarlig dokumenterer at en ukjent fil ble oppdaget på serveren klokken 13.15, og at maskinen ble isolert ti minutter senere. Denne dokumentasjonen hjelper SOC å spore angrepsveien og identifisere tidslinjen for hendelsen.

Dokumentasjonen hjelper ikke bare i sanntid, den kan også være viktig for juridiske vurderinger, oppgjør for  cyberforsikring og rapportering til myndigheter.

Isoler uten å ødelegge bevis

Hvis et system er kompromittert, koble det fra nettverket for å hindre spredning. Men unngå å slå det av eller reinstallere programvaren. Enheten er en potensiell beviskilde. Når SOC får tilgang til den i sin opprinnelige tilstand, kan vi samle inn riktig informasjon for å identifisere skadelig kode, analysere modus operandi og forstå omfanget av bruddet.

Scenario: En bedrift kobler en kompromittert server fra nettet, men lar den stå på. Når SOC kommer inn, kan vi hente ut nødvendige data og stoppe videre skade uten å ødelegge bevisene.

Bruk sikre kommunikasjonskanaler

Hvis epostsystemet eller chatløsningen kan være berørt, bør du ikke bruke dem til å diskutere hendelsen. Angripere følger ofte med på kommunikasjonen for å tilpasse seg og unngå oppdagelse. Bruk i stedet telefon, krypterte meldingsløsninger eller andre kanaler som er godkjent for krisekommunikasjon.

Scenario: Et selskap oppdager et angrep og prøver å koordinere respons via epost. Angriperne følger med og forhindrer rask respons. Når selskapet i stedet bruker sikre kanaler, kan de koordinere tiltak effektivt uten at angriperne får informasjon.

Følg beredskapsplanen hvis dere har en

En god beredskapsplan er mer enn et dokument, den er et verktøy som er kjent, trent på og lett tilgjengelig. Hvis dere har en slik plan, følg den steg for steg. Hvis dere ikke har det, kan denne guiden være en midlertidig løsning, men vi anbefaler sterkt å utarbeide en skreddersydd plan i samarbeid med sikkerhetseksperter.

Scenario: En bedrift med en godt innarbeidet beredskapsplan får raskt kontroll på en sikkerhetshendelse. En annen uten plan mister verdifull tid på å finne ut hva de skal gjøre og hvem de skal kontakte.

Stol på prosessen

Når SOC er varslet, vil vi raskt ta grep for å begrense skadeomfanget og starte etterforskningen. Vår effektivitet avhenger av at situasjonen er så urørt som mulig når vi tar over. Vi har metodene, verktøyene og erfaringen som gjør at vi kan handle raskt og presist, men vi må ha de nødvendige bevisene.

Samarbeid redder tid og penger

En cyberhendelse er ikke bare et teknisk problem, det er en strategisk utfordring som påvirker hele virksomheten. Når ansatte vet hvordan de kan reagere smart fra første stund, får SOC et langt bedre utgangspunkt for å gjøre jobben.

Sicras Security Operation Center overvåker, analyserer og responderer med en helhetlig dokumentert prosess. Men det er samarbeidet med deg som kunde, og kvaliteten på informasjonen vi mottar, som ofte avgjør hvor raskt vi kan gjenopprette driften og begrense skadeomfanget.