Incidenta kopsavilkums
Mūsu drošības operāciju centrs (SOC) saņēma steidzamu zvanu no vietējā web izstrādes uzņēmuma. Interneta pakalpojumu sniedzējs brīdināja par neparastu izejošo trafiku uz ārzemju IP adresēm, kas norādīja uz iespējamu kompromitāciju. Uzņēmums nekavējoties iesaistīja mūsu incidentu reaģēšanas komandu.
Kritiska atradne
Galvenais robežmaršrutētājs nebija atjaunināts kopš 2013. gada. Iekārta bija kompromitēta un izmantota neatļautu komandu izpildei un trafika ģenerēšanai.
Izmeklēšana un diagnoze
Pēc ISP detalizētas brīdinājuma vēstules uzsākām ārējo drošības auditu. Sākotnējā pārbaudē atklājās vairākas publiski pieejamas pakalpojumu ostas un novecojušas konfigurācijas, kas palielināja uzbrukuma virsmu.
Ierodoties objektā, pirmais solis bija pilnībā atslēgt uzņēmuma tīklu no interneta, lai novērstu turpmāku kaitējumu. Forensikālie pierādījumi apstiprināja, ka uzbrucēji bija ieguvuši administratīvu piekļuvi maršrutētājam un varēja veikt sānu kustību.
Incidenta novēršanas darbības
Tīkla malu sanācija
Kompromitēto maršrutētāju nomainījām pret modernu iekārtu ar ražotāja atbalstu. Aktivizējām drošas noklusējuma konfigurācijas, atspējojām nevajadzīgus protokolus un ieviesām drošu pārvaldības piekļuvi.
Tīkla arhitektūras pārveide
Ieviesām segmentāciju un mikrosegmentāciju, pastiprinājām ugunsmūra politikas, nodrošinājām attālināto piekļuvi ar VPN un daudzfaktoru autentifikāciju.
Galiekārtu pārbaude un uzraudzība
Veicām visaptverošu galiekārtu skenēšanu un žurnālu analīzi, lai pārliecinātos, ka kompromitācija nav izplatījusies tālāk par tīkla malu. Aktivizējām pastiprinātu izejošā trafika uzraudzību.
Rezultāts
Ātras un koordinētas darbības novērsa smagas sekas: datu šifrēšanu, klientu datu noplūdi, reputācijas bojājumu un tiešus finansiālus zaudējumus.
Apvienojot ISP proaktīvo monitoringu ar mūsu komandas operatīvo rīcību, incidents tika pilnībā ierobežots 1 dienas laikā, un uzņēmums atgriezās stabilā ikdienas darbībā ar būtiski uzlabotu drošības līmeni.
Galvenā atziņa
Regulāri atjauninātas un ražotāja atbalstītas tīkla iekārtas, tīkla segmentācija un izejošā trafika uzraudzība ir kritiski pamatelementi, kas būtiski samazina incidentu ietekmi.
Ko ieviest uzreiz
- Inventarizējiet malu iekārtas un pārbaudiet programmaparatūras versijas.
- Ieviesiet segmentāciju starp biroja, serveru un pārvaldības tīkliem.
- Aktivizējiet izejošā trafika anomāliju noteikšanu un brīdinājumus.
Noslēgums
Proaktīvi drošības pamati kopā ar gatavu incidentu reaģēšanas plānu samazina risku un atjauno darbspēju ātri. Ja nepieciešams, mūsu SOC komanda var pārņemt uzraudzību un reaģēt 24/7.