Incident Response Plan: как подготовиться к кибератаке до того, как она случится
30 июня 2025 · 11 мин чтения · System Networks
Компания без IR-плана в момент атаки теряет драгоценные часы на выяснение кто что делает. Компания с IR-планом — следует процедуре. Первые 4 часа определяют разницу между контролируемым инцидентом и катастрофой.
⚠️ Базовый факт
91% компаний не имеют протестированного IR-плана. Среди тех кто «имеет» — у большинства он устарел на 2+ года.
6 фаз реагирования на инциденты (NIST)
1. Подготовка (Preparation)
Создать IR-план, назначить роли, подготовить инструменты, провести обучение. Единственная фаза до инцидента.
2. Обнаружение и анализ (Detection & Analysis)
Выявить инцидент, определить тип и масштаб, классифицировать по критичности (P1/P2/P3).
3. Сдерживание (Containment)
Изолировать заражённые системы, предотвратить распространение. Кратко- и долгосрочные меры.
4. Устранение (Eradication)
Удалить вредоносный код, закрыть уязвимости, сменить скомпрометированные учётные данные.
5. Восстановление (Recovery)
Вернуть системы в рабочее состояние, верифицировать корректность, мониторить на предмет рецидива.
6. Разбор полётов (Post-Incident)
Задокументировать инцидент, определить root cause, обновить IR-план. Самая важная фаза для предотвращения повтора.
Playbook для 5 типов инцидентов
Ransomware
- Немедленно изолировать заражённые хосты от сети
- Остановить резервное копирование (защита backup от шифрования)
- Определить «нулевого пациента» через логи EDR
- Оценить масштаб: что зашифровано, есть ли чистые бэкапы
- Решение: платить или восстанавливать — ТОЛЬКО после оценки
Утечка данных
- Определить какие данные и в каком объёме утекли
- Заблокировать скомпрометированные аккаунты
- Уведомить Роскомнадзор в течение 24 часов (152-ФЗ)
- Провести форензику: как данные вышли наружу
- Уведомить юридический отдел о потенциальных штрафах
Компрометация аккаунта
- Немедленно заблокировать скомпрометированную учётку
- Найти все активные сессии и завершить их
- Проанализировать действия аккаунта за последние 30 дней
- Сменить пароли всех смежных сервисных аккаунтов
- Включить MFA если ещё не было
Как тестировать IR-план
Tabletop exercise
Ежеквартально
Команда обсуждает сценарий атаки без реальных действий. Дёшево, быстро.
Red/Blue team exercise
Раз в год
Red team атакует, Blue team защищается. Выявляет реальные пробелы.
Симуляция инцидента
Раз в год
Реальное выполнение IR-плана на учебном инциденте. Самый полезный, требует координации.
Разработка IR-плана и Incident Response
Разработка Incident Response Plan и проведение учений →Tabletop · Playbooks · Red Team · 24/7 IR-support · Лицензия ФСТЭК