L'hosting ci ha avvisato: «Siete stati hackerati» — cosa fare nella prima ora di incident response?

Fate staccare le mani dalla tastiera al vostro sviluppatore. L'approccio del tipo «puliamo i file sospetti» è un riflesso da principianti che manda totalmente in fumo le prove forensi. Qualsiasi pulizia facciate prima di aver individuato dove l'attaccante ha piazzato la backdoor è solo una finta sicurezza.

Scollegate virtualmente il cavo di rete dal pannello ma lasciate la macchina accesa. Tramite console esportate su una destinazione esterna lo stato dei socket di rete, l'albero dei processi in esecuzione e gli handle dei file aperti. I processi dell'attaccante che girano in memoria svaniscono non appena la macchina viene riavviata.

Resettate subito tutte le password dei servizi esterni, le credenziali del database e le chiavi di accesso al server da un dispositivo sicuro. Mi raccomando però: fatelo da un computer del tutto indipendente e non dall'interno del server stesso.

L'anno scorso, dopo un avviso simile, presi dal panico abbiamo piallato la macchina e ripristinato il backup. Non avendo trovato il punto di ingresso, due giorni dopo ci siamo ritrovati una richiesta di riscatto da 45.000 SAR e abbiamo dovuto spendere altri 60.000 SAR per l'analisi forense. Non muovetevi senza aver salvato le prove.

Se l'hosting vi dice 'siete stati hackerati', non significa per forza che ci sia un intruso dentro. A volte questi allarmi scattano anche solo per un servizio DNS configurato male sul server o una coda SMTP aperta verso l'esterno. Staccate la rete, ma non date subito per spacciato il sistema.

La scaletta per i primi 60 minuti è questa: 1) Tagliare l'accesso a internet del server. 2) Fare il dump della RAM e lo snapshot del disco. 3) Cambiare le password di amministrazione da un dispositivo esterno e pulito. 4) Richiedere per iscritto all'hosting i log del traffico anomalo. 5) Informare formalmente la direzione aziendale e i consulenti legali.

Nel momento in cui si verifica un incidente informatico, gli obblighi di legge scattano parallelamente agli interventi tecnici. Poiché il sospetto di una violazione di dati personali può comportare l'obbligo di notifica alle autorità di regolamentazione nazionali competenti e agli utenti interessati, è fondamentale documentare e verbalizzare puntualmente ogni passaggio tecnico.

mi dispiace un sacco, immagino la tensione che si respira in ufficio in momenti del genere. mantenete la calma ed evitate di fare a scariabarile e insomma la priorità non è rimettere online tutto di fretta, ma capire da dove è partito l'attacco e chiudere la falla per sempre.

c'è una parte che non ho capito ma comunque se è la prima volta, inizia in piccolo, il ridimensionamento viee dopo.

se scrivete qui il risultato sarà utile annche ad altri.

Come avete risolto questo? Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Lascio una nota, potrebbe servire.

Sono una piccola impresa, vi parlo dal mio punto di vista. Se ricevete tre risposte diverse su un argomento, la domanda è posta male.

Confermato dall'esperienza.

Avete ragione, sono passato anch'io per la stessa strada. Se cerchi di cambiare tutto insieme, niente si stabilizza.

Se volete procedere così, risolvete questo punto fin dall'inizio. L'errore commesso da passaggi di risposta agli incidenti è generalmente reversibile ma costoso.

Se il percorso di notifica è lungo, la notifica non arriva; una notifica mancante significa un evento scoperto tardi. Spero che le sia utile.

Ho vissuto la stessa cosa. Chiunque abbia fretta su passaggi di risposta agli incidenti si blocca nello stesso punto.

Correggetemi se sbaglio.

nel nostro caso è andata così poi cioè quando preendete una decisione scrivete anche lo scenario peggiore, non solo quello migliore.

Sono d'accordo. boh se rimproverate i falsi allarmi nessuno segnalerà più nulla.

Buon lavoro.

Il punto più trascurato riguardo a passaggi di risposta agli incidenti è questo: Nessun processo migliora senza tracciamento perché non sai cosa correggere.

Se cerchi di cambiare tutto insieme, niente si stabilizza. Confermato dall'esperienza.