Статус инцидента информационной безопасности

Что произошло

Самая ранняя достоверно установленная отметка присутствия посторонних — 29 августа, 22:48 UTC (30 августа, 01:48 МСК). Действия автоматизированы: закрепление доступа, отключение служб, удаление журналов; закрепление выполнялось в том числе на уровне панелей управления провайдеров. К 31 августа, 02:00 UTC (05:00 МСК) доступ атакующих закрыт: закрепление на уровне панели основного провайдера устранено, его учётные данные управления заменены, затронутые машины остановлены, носители сохранены.

Что это значит для вас

• Работу останавливать не требуется — продолжайте в обычном режиме.
• Узел, который мы эксплуатировали в вашем периметре, считаем скомпрометированным, все связанные с ним учётные данные — раскрытыми. Просьбы по нему изложены в отдельном письме.
• С этого узла была сетевая доступность к двум вашим внутренним машинам. Исходить следует из того, что обращения были возможны; установить, были ли они в действительности, можно только по вашим журналам входов за период с 29 по 31 августа (с 22:00 UTC 29-го / 01:00 МСК 30-го). Это главное, о чём мы просим.
• Ваших данных в требованиях нет — это факт о содержании их сообщения, а не вывод о том, к чему у них был доступ.
• Иных действий с вашей стороны не требуется. Если появятся основания считать, что затронуты ваши данные, сообщим первыми и напрямую.

Как мы восстанавливаемся

Способ первоначального проникновения окончательно не установлен: журналы за нужный период уничтожены атакующими. Поэтому работы построены так, чтобы не зависеть от ответа на этот вопрос — всё существовавшее до инцидента считается скомпрометированным и заменяется целиком.

Требования к новому контуру

• Закрытый периметр по умолчанию. Наружу открыто только обязанное быть публичным; ограничения задаются на уровне провайдера, а не только на машине — чтобы их нельзя было снять, получив доступ к машине.
• Административный доступ не смотрит в интернет — только через закрытую сеть, с многофакторной аутентификацией.
• Никаких общих ключей. Ключ на человека и назначение, с ограниченной областью: компрометация одного узла не должна открывать остальные.
• Секреты вне окружения процессов — отдельное хранилище, доступ по назначению, короткоживущие токены. Ключи управления инфраструктурой на серверах не хранятся.
• Разделение по назначению — то, что смотрит в интернет, отделено от того, что хранит данные.
• Журналы покидают машину немедленно и хранятся там, где их нельзя переписать. Прямой ответ на то, что следы затирались на месте.
• Контроль целостности и оповещение — системные каталоги под версионным контролем; новые службы и задания, изменение ключей доступа и действия в панелях провайдеров дают немедленное оповещение.
• Резервные копии с защитой от удаления, вне основного контура и у другого провайдера, с регулярной проверкой восстановлением: копия, восстановление которой не проверено, копией не считается.
• Сборочные агенты без прав администратора и без доступа к промышленным машинам.
• Поэтапный возврат — сервисы поднимаются по одному, с наблюдением между этапами.

Ход работ

Отметки проставляются после проверки результата, а не по началу работ.

• выполнено
  Возможность уничтожения данных устранена Подготовленные механизмы обезврежены, носители сохранены
• в работе
  Замена учётных данных управления инфраструктурой у всех провайдеров По основному провайдеру выполнено: закрепление атакующих на уровне панели устранено, ключи и пароли управления заменены. По остальным — в работе
• выполнено
  Затронутые машины изолированы или остановлены Диски сохранены для разбора
• выполнено
  Активные механизмы закрепления устранены В том числе автоматика, восстанавливавшая доступ атакующих
• выполнено
  Действующие машины проверены на признаки доступа По отпечаткам ключей, журналам входов и составу системных заданий
• выполнено
  Сетевой периметр действующих машин приведён к закрытому по умолчанию Наружу доступно только то, что обязано быть публичным
• выполнено
  Исходный код сохранён и проверен Полный объём, целостность подтверждена контрольным восстановлением, две независимые копии
• выполнено
  База знаний сохранена и проверена
• выполнено
  Отозваны все служебные учётные записи и доступы Кроме учётных записей команды, ведущей восстановление; включая незакрытые доступы бывших сотрудников
• выполнено
  Базы данных выгружены и проверены Выгрузка в проверяемом формате, целостность подтверждена контрольным восстановлением каждой базы
• в работе
  Опись и замена всех учётных данных Каждый ключ, пароль и токен, существовавший до инцидента
• в работе
  Оценка объёма затронутых данных Чтобы уведомления опирались на факты, а не на предположения
• в работе
  Новый контур с нуля Отдельная инфраструктура, к которой у атакующих не было доступа
• зависит от вас
  Проверка узла в вашем периметре и смежных внутренних машин Своими силами невозможна: доступ утерян. Нужна изоляция узла и консольный доступ
• запланировано
  Очистка и переустановка всех машин парка, без исключений
• запланировано
  Перенос только данных, без программного окружения
• запланировано
  Пересмотр модели доступа
• запланировано
  Средства обнаружения и независимое хранение журналов
• запланировано
  Резервное копирование с защитой от удаления и проверкой восстановлением
• запланировано
  Поэтапный возврат сервисов