Διερεύνηση περιστατικού & τεχνική αναφορά
Όταν χρειάζεται να ξέρετε τι έγινε, όχι απλώς να σταματήσει. Ανασυνθέτουμε το περιστατικό από logs, αρχεία και βάση, αφαιρούμε ό,τι άφησε πίσω του ο επιτιθέμενος και το τεκμηριώνουμε σε τεχνική αναφορά.
Για ποιον είναι
- Επιχειρήσεις που πρέπει να εξηγήσουν ένα περιστατικό στη διοίκηση, σε πελάτη ή σε ασφαλιστή.
- E-shops και εφαρμογές με δεδομένα πελατών ή πληρωμών, όπου το «τώρα είναι καθαρό» δεν αρκεί ως απάντηση.
- Sites όπου ο καθαρισμός έγινε ήδη μία φορά και έμειναν οι ερωτήσεις: πώς, από πότε, τι προσπελάστηκε.
Διερεύνηση περιστατικού & τεχνική αναφορά
Τιμή εκκίνησης για μία ιστοσελίδα ή εφαρμογή σε έναν λογαριασμό hosting, με διαθέσιμα logs. Επιβεβαιώνεται γραπτώς μετά την κλήση οριοθέτησης.
Τι περιλαμβάνει
- Πρώτα διατήρηση τεκμηρίων: πλήρες αντίγραφο αρχείων, βάσης και διαθέσιμων logs πριν αλλάξει οτιδήποτε.
- Ανασύνθεση χρονολογίου από logs web server, panel, mail και εφαρμογής.
- Εντοπισμός του σημείου εισόδου όπου τα στοιχεία το υποστηρίζουν, και σαφής δήλωση όπου δεν το υποστηρίζουν.
- Πλήρης καταγραφή μηχανισμών επιμονής: backdoors, ψεύτικοι λογαριασμοί, cron jobs, payloads στη βάση, τροποποιημένα core αρχεία, άλλοι επηρεασμένοι λογαριασμοί στον ίδιο server.
- Δείκτες παραβίασης: hashes αρχείων, IP επιτιθέμενων, domains, user agents, χρονοσημάνσεις.
- Πλήρης καθαρισμός όλων των ευρημάτων, με την ίδια επιμέλεια όπως στον Καθαρισμό malware.
- Τεχνική αναφορά συν μονοσέλιδη σύνοψη για μη τεχνικούς αναγνώστες.
Τι δεν περιλαμβάνει
- Νομικές συμβουλές ή επίσημη διαχείριση αποδεικτικών για δικαστική χρήση. Τεκμηριώνουμε σε επαγγελματικό επίπεδο, αλλά δεν είμαστε πιστοποιημένο εργαστήριο forensics.
- Ανάκτηση δεδομένων που δεν υπάρχουν πλέον στον server ή σε backups.
- Μακροχρόνια παρακολούθηση μετά το περιστατικό. Δείτε τη Συντήρηση & παρακολούθηση ασφαλείας.
Πώς δουλεύουμε
Η σειρά έχει σημασία. Τα τεκμήρια διατηρούνται πριν τον καθαρισμό, ώστε η αναφορά να βασίζεται σε ό,τι πραγματικά υπήρχε.
Κλήση οριοθέτησης και πρόσβασηημέρα 1
Σύντομη κλήση για να καταλάβουμε τι παρατηρήσατε και για ποιον σκοπό χρειάζεστε την αναφορά. Καταγράφουμε την πρόσβαση και τα logs που απαιτούνται και επιβεβαιώνουμε γραπτώς το εύρος τιμής.
Διατήρηση τεκμηρίωνημέρα 1
Αρχεία, βάση και κάθε διαθέσιμο log αντιγράφονται σε φάκελο τεκμηρίων με hashes. Τίποτα δεν καθαρίζεται ακόμη.
Ανάλυσηημέρες 2–4
Χρονολόγιο από logs, έλεγχος αρχείων και βάσης, αποκωδικοποίηση κρυπτογραφημένων payloads, χαρτογράφηση κάθε επιπέδου επιμονής, έλεγχος άλλων λογαριασμών και υπηρεσιών στον ίδιο server.
Καθαρισμός και επαλήθευση
Ό,τι βρέθηκε αφαιρείται ή επαναφέρεται. Δεύτερο πέρασμα και εξωτερική επαλήθευση επιβεβαιώνουν ότι το site είναι καθαρό.
Αναφορά και παρουσίασησυνήθως 5–10 εργάσιμες συνολικά
Παραλαμβάνετε την τεχνική αναφορά και τη σύνοψη. Σας την παρουσιάζουμε σε κλήση και απαντάμε σε ερωτήσεις της ομάδας, του host ή του ασφαλιστή σας.
Τι παραλαμβάνετε
- Τεχνική αναφορά: εύρος, χρονολόγιο, εκτίμηση σημείου εισόδου, καταγραφή επιμονής, δείκτες παραβίασης, ενέργειες, ανοιχτοί κίνδυνοι.
- Μονοσέλιδη σύνοψη για τη διοίκηση, σε απλή γλώσσα.
- Λίστα δεικτών σε μηχαναγνώσιμη μορφή (CSV) για τον host, το firewall ή το SIEM σας.
- Καθαρό, επαληθευμένο site και αρχείο τεκμηρίων (διατηρείται 30 ημέρες εκτός αν συμφωνηθεί διαφορετικά).
- Κλήση παρακολούθησης για να περάσουμε μαζί τα ευρήματα.
Τι αλλάζει την τιμή
- Αριθμός sites, λογαριασμών ή servers που εμπλέκονται.
- Διαθεσιμότητα logs: όταν τα logs έχουν περιστραφεί ή διαγραφεί, η ανασύνθεση παίρνει περισσότερο χρόνο και τα συμπεράσματα είναι πιο περιορισμένα. Το αναφέρουμε ρητά.
- Εμπλοκή δεδομένων πελατών ή πληρωμών, που διευρύνει το εύρος σε ερωτήματα πρόσβασης σε δεδομένα.
Συχνές ερωτήσεις
Ποια η διαφορά από τον Καθαρισμό malware;
Ο Καθαρισμός απαντά στο «τι υπάρχει στο site και πώς το αφαιρούμε». Η Διερεύνηση περιστατικού απαντά επιπλέον στο «πώς μπήκε, από πότε, και τι έκανε ο επιτιθέμενος» και το τεκμηριώνει σε αναφορά γραμμένη για τρίτους. Ο καθαρισμός περιλαμβάνεται και στις δύο.
Βρίσκετε πάντα το σημείο εισόδου;
Όχι πάντα. Εξαρτάται από το πόσο πίσω φτάνουν τα logs και από το αν το site τροποποιήθηκε πριν φτάσουμε. Όταν τα στοιχεία δεν υποστηρίζουν βέβαιο συμπέρασμα, η αναφορά το λέει και καταγράφει τα πιθανότερα ενδεχόμενα με τα γεγονότα που τα στηρίζουν. Δεν επινοούμε βεβαιότητα.
Καθάρισα ήδη το site. Μπορείτε να διερευνήσετε;
Συχνά ναι, αλλά με λιγότερο υλικό. Τα logs συνήθως επιβιώνουν από έναν καθαρισμό· τα κακόβουλα αρχεία συχνά όχι. Αν έχετε ακόμη backup από πριν τον καθαρισμό, κρατήστε το και πείτε το μας. Έχουμε γράψει άρθρο ακριβώς για αυτή την περίπτωση, παρακάτω.
Είναι η αναφορά κατάλληλη για ασφαλιστή;
Είναι γραμμένη για αυτό: τεκμηριωμένη, με ημερομηνίες, αναφορές σε στοιχεία και σαφή διάκριση μεταξύ του τι παρατηρήθηκε και τι συνάγεται. Το αν ικανοποιεί συγκεκριμένο ασφαλιστή εξαρτάται από τις απαιτήσεις τους, τις οποίες ευχαρίστως εξετάζουμε μαζί σας πριν ξεκινήσουμε.
Χρειάζεστε πρόσβαση σε ολόκληρο τον server;
Όσο ευρύτερη η πρόσβαση, τόσο πληρέστερη η εικόνα. Για ένα site, panel συν SSH/SFTP συν βάση αρκούν συνήθως. Για ερωτήματα σε επίπεδο server (άλλοι λογαριασμοί, παραβίαση root) χρειαζόμαστε root ή διαχειριστή μαζί μας στη συνεδρία.
Μπορεί η διερεύνηση να γίνει χωρίς να πέσει το site;
Ναι. Τα τεκμήρια αντιγράφονται, δεν μετακινούνται. Αν το site βλάπτει ενεργά τους επισκέπτες (redirects, κλοπή καρτών) συστήνουμε πρώτα περιορισμό και το συζητάμε στην κλήση οριοθέτησης.
Σχετικά άρθρα
Από τις τεχνικές μας αναλύσεις (στα αγγλικά)
Χρειάζεστε την πλήρη εικόνα;
Περιγράψτε τι παρατηρήσατε και για ποιον σκοπό είναι η αναφορά. Απαντάμε με την πρόσβαση που χρειαζόμαστε και ώρα για την κλήση οριοθέτησης.