Почну зі слів мого клієнта-хакера: «Недоступних місць не буває — зупиняє лише неготовність до відповідальності…».
 |
Маєте Телеграм? Два кліки - і ви не пропустите жодної важливої юридичної новини. Нічого зайвого, лише #самасуть. З турботою про ваш час! |
У часи, коли НАТО офіційно спрямовує частину свого ВВП на кіберзахист, це тенденційно відображає розвиток галузі. Кібербезпека перестає бути операційним завданням окремого спеціаліста чи команди — вона стає стратегічною безпековою складовою розвитку компаній і держав загалом.
Водночас ми спостерігаємо зростання кількісних і якісних показників кібератак. Розвиток ШІ та його залучення до злочинних алгоритмів лише підсилює загальну напругу і трансформацію ринку, що зі свого боку вимагає переосмислення підходів до кіберзахисту.
Зазвичай у разі інциденту клієнт ставить одне запитання: «Що ви порадите робити?». Тож у цій публікації я надам загальний опис протоколів реагування на кібератаки, які ми застосовуємо в нашій практиці у співпраці з Scientific Cyber Security Association of Ukraine.
По-перше, надаючи захист у сфері кібербезпеки, важливо усвідомлювати кілька базових догм:
- ризик для бізнесу — це не лише хакери, а і юридична відповідальність керівника;
- інцидент — це питання «коли», а не «чи станеться»;
- більшість інцидентів спричиняють дії самих співробітників, але відповідальність несе керівництво;
- кібербезпека — це не тільки ІТ-функція, а елемент політики і стратегії компанії.
По-друге, на жаль, статистика розкриття кіберзлочинів залишається невтішною. Варто чітко розрізняти кібератаку і кіберзлочин.
Згідно з опублікованими даними Кіберполу:
- у 2023 році зареєстровано понад 3600 кіберзлочинів, проте згідно з Єдиним державним реєстром судових рішень винесено лише 58 обвинувальних вироків;
- у 2024 році зареєстровано 2500 кіберзлочинів, але згідно з Єдиним державним реєстром судових рішень винесено тільки 52 обвинувальні вироки.
Невтішна статистика розкриття таких злочинів підкреслює необхідність якісного вибудовування системи безпеки компанії та оперативного реагування на інциденти у співпраці з фахівцями та адвокатами.
Повертаючись до питання, що ж робити власнику бізнесу в разі виявлення інцидентів, ми визначаємо в нашій роботі такі протокольні рішення:
1. Першочергові дії: оцінка ситуації та забезпечення безпеки:
- ізоляція ураженої системи (без відключення живлення — лише від мережі, щоб зберегти вміст оперативної пам’яті (RAM);
- заборона співробітникам компанії вносити будь-які зміни до ІТ-інфраструктури до завершення фіксації доказів;
- фіксація первинного стану: фото/відео з монітора, лог-файли, системні помилки, зовнішні носії тощо;
- повідомлення керівного складу компанії та призначення контактної особи від організації.
2. Збір і збереження цифрових доказів (Основний принцип — сhain of сustody (ланцюг збереження доказів). Під час виконання цього алгоритму важливо копіювати, а не змінювати!):
- створюється forensic image (бітова копія) з уражених носіїв за допомогою write-blocker;
- оригінали зберігаються в опечатаному вигляді з позначенням дати й часу;
- ведеться журнал доступу до доказів: хто, коли і з якою метою взаємодіє з даними;
- збираються:
- логи (системні, мережеві, проксі, firewall, VPN, Active Directory);
- пам’ять (RAM dump, якщо можливо);
- файли підозрілих програм, скриптів, e-mail;
- сліди мережевої активності (PCAP-записи, netstat, traceroute);
- мобільні пристрої, якщо до них був доступ.
3. Аналіз інциденту (паралельно з технічним дослідженням здійснюється юридична кваліфікація дій):
- встановлення типу атаки: фішинг, злам облікового запису, шкідливе ПЗ, DDoS, внутрішній зловмисник тощо;
- виявлення вектору проникнення: RDP, пошта, соціальна інженерія, USB тощо;
- аналіз логіки дій зловмисника: що саме здійснено, що шукалося/викрадено/зашифровано;
- визначення масштабу витоку або завданої шкоди;
- порівняння з ознаками злочину (злочини проти інформаційної безпеки, саботаж, промислове шпигунство, вимагання тощо).
4. Юридичне оформлення. Підготовка для адвоката звіту з інциденту (Incident Response Report), що містить:
- хронологію подій;
- зібрані докази;
- попередні висновки;
- рекомендації.
Якщо інцидент стосується персональних даних, готується повідомлення до регулятора відповідно до GDPR (не пізніше ніж через 72 години після виявлення витоку).
У разі серйозного порушення спільно з ІТ-відділом компанії та адвокатами готується і подається заява до поліції/кіберполіції з додаванням цифрових доказів, зібраних згідно з протоколом.
5. Виявлення винного (зазвичай здійснюється у тісній взаємодії з поліцією та CERT/CSIRT).
Застосовується:
- внутрішній аудит: перевірка логів доступу співробітників;
- реверс-інженерія шкідливого ПЗ (за наявності);
- відстеження IP, аналіз C2-серверів;
- зіставлення з базами IOC (Indicators of Compromise).
Якщо виявлено внутрішнього зловмисника — готуються матеріали для юридичного оформлення (внутрішнє розслідування згідно з політикою компанії + звернення до поліції).
Якщо напад зовнішній — співпраця із CERT-EU, правоохоронцями, Інтерполом (за потреби) в межах міжнародного співробітництва.
6. Рекомендації та відновлення:
- розробляється план реагування для запобігання подібним атакам на основі проведеного аналізу інциденту;
- надається допомога компанії у створенні або вдосконаленні таких документів і процедур:
- Cyber Incident Response Plan;
- Policy on Access;
- Data Classification;
- Security Awareness Training.
Окремо слід виділити ключові принципи діяльності:
- прозорість — усі дії фіксуються та документуються;
- неперешкоджання розслідуванню — збереження всіх ланцюгів доступу;
- законність — відповідність місцевому та європейському законодавству;
- конфіденційність — доступ до інформації мають лише уповноважені особи.
Підсумовуючи наш досвід, змушені констатувати, що значна кількість потерпілих від інцидентів воліє приховати такі факти через побоювання репутаційних втрат і можливих фінансових збитків унаслідок розголошення. З огляду на це ми наполягаємо для своїх клієнтів на необхідності упередження інцидентів і побудови кіберзахисту компанії як стратегії, а не просто реагування на наслідки постфактум.