Κυβερνοχώρος · Forensics & Πρώτη Αντίδραση
Forensics & IT Recovery
Έρευνα. Ανάλυση. Επαναφορά.
Σε κάθε σοβαρό περιστατικό κυβερνοχώρου τίθενται τρία ερωτήματα: τι ακριβώς αφαιρέθηκε, πότε έγινε η αρχική παραβίαση και πώς. Στις βασικές καλύψεις της κατηγορίας περιλαμβάνονται οι υπηρεσίες Πρώτης Αντίδρασης, οι forensic έρευνες από πιστοποιημένη ομάδα και η επαναφορά καθαρής υποδομής.
Σε σοβαρά περιστατικά, η forensic έρευνα γίνεται από πιστοποιημένη ομάδα (DFIR / GIAC), σύμφωνα με τα διεθνή πρότυπα συλλογής αποδεικτικών.
Έξι κατηγορίες
Τι αναλαμβάνουν οι forensics
-
Disk imaging
Bit-by-bit αντίγραφα δίσκων που διατηρούν την ακεραιότητα των στοιχείων ως αποδεικτικά μπροστά σε αρχές και δικαστήρια.
-
Memory analysis
Ανάλυση RAM για ανίχνευση fileless malware, ενεργών διεργασιών και ενδείξεων εκτέλεσης κώδικα.
-
Network forensics
PCAP analysis, NetFlow, εξαγωγή indicators of compromise από την κίνηση δικτύου.
-
Log timeline
Ανακατασκευή χρονολογίου επίθεσης από τα system logs, application logs και SIEM events.
-
Malware reversal
Static και dynamic analysis του payload για ταυτοποίηση τακτικών, τεχνικών και διαδικασιών (TTPs).
-
Clean rebuild
Σχεδιασμός καθαρής υποδομής και επαναφορά από επικυρωμένα εφεδρικά αντίγραφα.
Γιατί δεν αρκεί η επαναφορά
Επαναφορά από εφεδρικό αντίγραφο χωρίς προηγούμενη forensic έρευνα μπορεί να επαναφέρει και τον επιτιθέμενο. Ο μέσος χρόνος παραμονής επιτιθέμενου σε δίκτυο (dwell time) εκτιμάται διεθνώς γύρω στις ~200 ημέρες — δηλαδή πριν τη στιγμή που γίνεται αντιληπτός.
Forensic report ως αποδεικτικό
Τα forensic reports αναγνωρίζονται από αρχές, ασφαλιστές και δικαστήρια. Είναι συνήθως απαραίτητα για την αναγγελία ζημιάς, για τη γνωστοποίηση κατά τον GDPR και για τη νομική υπεράσπιση σε αξιώσεις τρίτων.
Threat Detection & Response (TDR)