עצירת התקפה - SOC
בשיעור זה עוברים לשלב עצירת ההתקפה אחרי שהחקירה הושלמה, לומדים את פעולות העצירה בטווח הקצר ובטווח הארוך, את תהליך הניקיון עד השורש של התקרית, ואת החזרה לשגרה עם מוניטורינג מוגבר.
פרקי ההרצאה: עצירת התקפה - SOC
תמלול ההרצאה: עצירת התקפה - SOC
הטקסט המלא של הדקות הראשונות בהרצאה «עצירת התקפה - SOC» בקורס הווידאו של PracticU – כתוביות בעברית עם זמן התחלה לכל פסקה. כך תוכלו לקרוא ולחפש את הנושאים לפני שמתחילים ללמוד.
שלום לכולם, בהרצאה זו נדבר על עצירה של התקפה. זאת אומרת שסיימנו את שלב ה-investigation של החקירה, אנחנו יודעים בדיוק איזה מערכות נפגעו, על מה היה האימפקט, איזה השפעה הייתה לווירוס הזה, למיילוור הזה, נניח שהוא הצפין חלק מהקבצים או גנב חלק מהמידע,
אנחנו הבנו את תמונת המצב גם לפי הטיימליין, לפי הזמנים שזה קרה. עכשיו הגענו לשלב של עצירה, ויש לנו פעולות בטווח קצר שאנחנו יכולים לעשות כדי לעצור, כמו לבודד לרשת נפרדת את כל המחשבים שנפגעו, כמו להוציא כבל רשת מכל המחשבים שנפגעו, כמו לשנות רשומת DNS שמובילה לשרת C2, לשרת
השליטה של האקרים. יכול להיות שהווירוס הזה, המיילוור הזה, מחפש את הבוס שלו, את שרת השליטה שלו, לפי איזשהו שם, עלינו על השם הזה, לפי לוגים של DNS, ואנחנו כותבים ב-DNS שלנו שהשרת שהוא מחפש הוא בכלל ב-IP שלו קיים, ואז הוא לא יכול לקבל פקודות מהשרת המרכזי.
כל אלו פעולות לטווח קצר. הכי חשוב לעשות אותן סימולטניוסלי, בו זמנית, על כל המערכות, על כל מי שנפגע, כדי שהאקר לא יקלוט שעלינו עליו וינסה לעשות דברים חדשים. זאת אומרת, אנחנו כמעט בו זמנית מנתקים את כולם כדי לעצור אותו, כדי לעצור את ההתפשטות.
זה נקרא טווח קצר, ופעולות מיידיות בשביל לעצור את הבלאגן וצריך גם שיהיה לנו אימג' העתק של ווינדוסים שנפגעו כדי שנוכל לעשות פורנזיקה לחפש עדויות ולחקור את זה לעומק פורנזיקה זה עדויות בשטח לפגיעה הוכחות כמובן שהיינו צריכים לעשות את זה לפני
כן אבל אם לא עשינו את זה לפני כן נעשה את זה עכשיו זה נקרא Backup Stage שלב של גיבויים למערכות שנפגעו זה בטווח הקצר אבל בטווח הארוך העצירה שלנו צריכה להיות הרבה יותר חכמה, זאת אומרת צריך להחליף סיסמאות לכל היוזרים, לשים חוקים חדשים בפיירוול שלא יאפשרו את זה עוד
פעם, להפעיל מערכת של אינטרוז'ן דטקשן, של זיהוי פולש, לדוגמה לעדכן חוקי יארה, לעשות פייצ'ים לסיסטם, פייצ'ים זה עדכונים של ווינדוס, עדכונים של כל התוכנות, נניח שגילינו דרך לוגים שחדרו לתוך המערכת שלנו, דרך איזושהי תוכנה, נניח שרת ווב שהיה פגום, או דרך אקסל שלא היה מעודכן.
אז System Patch זה עדכון של תוכנה או עדכון של Windows שיסגור את הפרצה. אז יש פעולות טווח קצר כמו לנתק חשמל, לבודד אותם, ויש פעולות Long Term של עצירה בטווח הארוך, שזה העדכונים של Windows, עדכונים של FireWall, עם פייצ'ים, החלפת סיסמאות.
אחרי שעצרנו אותו, אנחנו מתחילים לנקות את כל המערכת שלנו, כדי שהסיבה המקורית, ה-root cause של האינסידנט של התקרית, לא יחזור על עצמו.
זאת אומרת שאנחנו מנקים את כל המערכת עד היסוד. זאת אומרת, למחוק קבצים של מיילוור, זאת אומרת, פשוט למחוק אותם מהדיסק, את הקבצים של הווירוס.
יכול להיות להתקין משהו מחדש או לבנות מחדש משהו. לדוגמה, שרת דאטאבייס להתקין מאפס ולשחזר גיבוי, או להתקין מחדש שרת קבצים ולשחזר אליו את הקבצים מהגיבוי, מהבקאפ.
בזמן הניקיון הזה אנחנו יכולים גם לעדכן עוד פייצ'ים אבל כבר אנחנו מעדכנים אותם לא רק על מערכות שנפגעו כמו בשלב הקודם של העצירה