Ci hanno hackerato stamattina: come deve essere gestito passo dopo passo un incidente informatico?

Se formattate, i log del firewall, le sessioni e il dump di memoria andranno completamente persi. Copiate subito i file dei registri eventi (event logs) del server e i registri di accesso web su una chiavetta USB pulita.

Nominate un responsabile per la gestione dell'emergenza. Se il contabile va per conto suo e il tecnico per un'altra, il coordinamento salta del tutto. Registrate per iscritto su un quaderno ogni singola azione, specificando orario, operazione svolta e chi l'ha eseguita.

Resettate subito le password di posta e VPN di tutti i dipendenti operando da un dispositivo pulito. Controllate immediatamente sul router aziendale se ci sono port forwarding sconosciuti o regole attive di desktop remoto.

In un caso simile noi abbiamo pagato 3.800 EUR a un team esterno di incident response. In quattro ore hanno trovato due attività pianificate (scheduled task) lasciate dall'attaccante per garantirsi la persistenza. Se avessimo formattato e ripristinato il backup, la notte successiva ci avrebbero colpito di nuovo.

La fretta del tecnico di formattare di solito è solo un tentativo di coprire la propria colpa e le falle. Tirare su il server senza sapere da dove sono entrati equivale a lasciare la porta di casa spalancata ai ladri.

mi dispiace tantissimo trovarsi una situazione del genere la mattina è davvero un incubo. cioè mantenete la calma, non fatevi prendere dalla fretta di ripristinare il backup rischiando magari di sovrascrivere il backup sano di ieri.

L'ordine di priorità deve essere questo: 1) Isolare fisicamente il server da internet. 2) Acquisire l'immagine forense di RAM e disco. 3) Individuare e chiudere la falla principale. 4) Ripristinare su un ambiente pulito partendo da un backup sicuro.

Non spegnete il server, staccate solo la rete e non permettete assolutamente di formattare prima di aver fatto una copia forense bit a bit del disco.

breve riassunto per i nuovi arrivati: Cerccare di farlo da soli è la strada più costosa.

Sono d'accordo. Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Riassumo l'argomento, perché sono state date diverse risposte. Gli ambienti di test dimenticati diventano spesso un punto d'accesso più frequente del sistema live.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Nel nostro caso è andata così. Nessun processo migliora senza tracciamento, perché non sai cosa correggere.

Confermato dall'esperienza.

secondo me è difficile essere così netti sul lato gestione degli incidenti informatici ma onestamente il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Per un periodo ci siamo bloccati anche noi nello stesso punto. boh prendere appunti per due settimane dà risultati migliori rispetto a una stima di sei mesi.

Se scrivete qui il risultato, sarà utile anche ad altri.

Anche da noi è così.

Scrivo questo per evitare che facciate lo stesso errore. Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Se il percorso di notifica è lungo la notifica non arriva; una notifica mancante significa un evento scoperto tardi. Lascio una nota, potrebbe servire.

Grazie mille, mi è stato molto utile. Quando decidiamo senza misurare, finiamo sempre nello stesso punto.

Il tempo che impiegate a rilevare un problema ne determina direttamente il costo.

Grazie mille, era la risposta che cercavo.