«Слишком позбно

При отсутствии непрерывного мониторинга события средств защиты не анализируются, а присутствие злоумышленников в инфраструктуре остаётся незамеченным месяцами. RT Protect SOC закрывает этот разрыв — от обнаружения до расследования.

Часть инцидентов расследуется по факту уже наступивших последствий. Материалы этого дела иллюстрируют, как непринятые вовремя меры превращают устранимую угрозу в необратимую.

Материалы дела

• Объект: организации крупного и среднего бизнеса с различным уровнем зрелости информационной безопасности.
• Условия: услуги RT Protect SOC отсутствовали, минимальный мониторинг не был организован.
• Средства защиты: в инфраструктуре использовались антивирусные и сетевые средства защиты.

Инцидент

Прогосударственная группировка Phantom Core (Head Mare), нацеленная исключительно на деструктивное воздействие, осуществила шифрование инфраструктуры.

Криминалистическое исследование установило длительное присутствие злоумышленников в инфраструктуре, несмотря на использование антивирусных и сетевых средств защиты.

Распространение и запуск шифровальщика были выполнены через средства централизованного управления антивирусной защитой. Данные были удалены безвозвратно.

След компрометации

Признаки компрометации, указывающие на необходимость раннего реагирования, присутствовали задолго до шифрования.

Специалисты отдела ИБ проводили частичное реагирование, однако оно не было доведено до завершения.

Источником проникновения стала фишинговая кампания, проведенная за полгода до инцидента. Дополнительным фактором было наличие привилегированных пользователей, для которых почтовые вложения доставлялись в обход средств защиты почтового трафика.

Криминалистическое исследование

• Сбор триажа: собственный инструмент RT Retro
• Анализ образов: журналы СЗИ
• Срок проведения исследования и подготовки отчета: 3 недели.

В ходе исследования оперативно выявлялись точки закрепления злоумышленников и формировались рекомендации по реагированию. Автоматизированный конвейер позволил существенно сократить сроки подготовки итогового отчета.

Заключение специалистов

Отсутствие мониторинга и своевременного реагирования привело к катастрофическим последствиям.

Антивирусные средства и сетевые СЗИ сами по себе не обеспечили защиту, поскольку их события и сработки не анализировались.

Полноценный мониторинг мог бы обнаружить присутствие злоумышленников на ранних этапах, за месяцы до шифрования.