Kibernetički napad: što učiniti i kako reagirati

Kibernetički napad nije trenutak, nego niz odluka pod pritiskom. Prvih nekoliko sati gotovo uvijek odredi razliku između incidenta koji ste zaustavili i krize koja se širi danima. U tim satima tim radi s nepotpunim informacijama, telefon zvoni, a netko već traži da se sve ugasi i vrati u rad što prije. Upravo te brze, intuitivne reakcije najčešće pogoršaju situaciju: gase se sustavi i brišu dokazi, vraćaju se zaražene kopije, a regulatorni rokovi prolaze dok nitko ne zna tko ih prati.

Za reguliranu hrvatsku tvrtku, u financijama, zdravstvu, kritičnoj infrastrukturi ili SaaS-u, napad je istovremeno tehnički, pravni i regulatorni događaj. Morate zaustaviti napadača, sačuvati dokaze za forenziku, procijeniti jesu li ukradeni osobni podaci i, ako jesu, prijaviti povredu AZOP-u u roku od 72 sata.¹ Ako ste obveznik Zakona o kibernetičkoj sigurnosti, vrijede i stupnjeviti rokovi prijave nadležnom tijelu. Ovaj tekst objašnjava što učiniti redom, što ne raditi i kako pripremljen plan mijenja ishod.

Zašto su prvih nekoliko sati presudni

Većina ozbiljnih napada nije trenutna eksplozija, nego napadač koji se kreće kroz mrežu. Nakon prvog upada slijedi izviđanje, krađa pristupnih podataka, bočno kretanje na druge sustave i tek na kraju krađa podataka ili enkripcija kod ransomwarea. Svaki sat koji napadač provede neometano povećava broj kompromitiranih računa i sustava, a time i trošak oporavka.

Brza, kontrolirana reakcija prekida taj lanac. Ako izolirate pogođeni segment dok je napadač još na jednom poslužitelju, štetu mjerite u danima oporavka jednog sustava. Ako čekate, ista infekcija za nekoliko sati može obuhvatiti cijelu domenu i sigurnosne kopije. Zato cilj prvih sati nije savršenstvo, nego brze ispravne poteze: zaustaviti širenje, sačuvati dokaze i pokrenuti pravu osobu na pravu odluku.

U incidentu ne gubite na sporom napadaču, nego na sporoj i neorganiziranoj vlastitoj reakciji.

Prvi koraci: što napraviti odmah

Prva i najteža disciplina je ne paničariti. Panika vodi do naglog gašenja sustava, brisanja datoteka i improvizirane komunikacije, a sve troje uništava dokaze ili širi štetu. Druga je da ne gasite pogođene sustave naglo. Velik dio forenzičkih dokaza, aktivni procesi, mrežne veze i ključevi za dešifriranje, nalazi se u radnoj memoriji i nestaje pri isključenju. Umjesto gašenja, sustav izolirate: odspajate ga s mreže ili ga stavljate u izolirani segment, čime zaustavljate širenje, a dokazi ostaju netaknuti.

Treći korak je aktiviranje plana odgovora na incidente. Plan vam govori koga zvati, tko odlučuje i kojim redom radite, pa ne morate improvizirati. Ako plan nemate, slijedite redoslijed niže i odmah dodijelite jednu osobu koja koordinira, jer incidentom bez jasnog voditelja upravlja kaos. Detaljan okvir za izradu takvog plana opisujemo u tekstu o planu odgovora na incidente.

1. 01
   Smirite se i preuzmite koordinaciju

   Odredite jednu osobu koja vodi incident i donosi odluke. Bez jasnog voditelja svaki sudionik radi nešto drugo i poništava tuđe poteze.
2. 02
   Izolirajte, ne gasite

   Odspojite pogođene sustave s mreže da zaustavite širenje, ali ih nemojte isključivati jer gašenje briše dokaze u radnoj memoriji.
3. 03
   Aktivirajte plan odgovora

   Pokrenite postojeći plan i pozovite definirani tim. Ako plana nema, slijedite ovaj redoslijed i odmah uključite vanjske stručnjake.
4. 04
   Sačuvajte dokaze

   Zabilježite točno vrijeme, sačuvajte zapise, snimke memorije i diskova prije bilo kakve sanacije.
5. 05
   Procijenite opseg

   Utvrdite koji su sustavi i podaci pogođeni i jesu li zahvaćeni osobni podaci, jer o tome ovise rokovi prijave.

Tko se mora uključiti

Ozbiljan incident nije IT problem, nego problem cijele organizacije. IT i sigurnosni tim rade tehnički odgovor: izolaciju, analizu i sanaciju. Uprava donosi poslovne odluke i preuzima odgovornost za rizik, primjerice hoće li se neka usluga privremeno ugasiti. Pravna funkcija prati regulatorne obveze i rokove prijave te komunikaciju s nadležnim tijelima. Komunikacije upravljaju porukama prema zaposlenicima, klijentima i, po potrebi, medijima.

Kod ozbiljnih ili nejasnih incidenata uključuju se i vanjski stručnjaci za odgovor na incidente i forenziku, jer interni tim rijetko ima dnevnu praksu u istraživanju napada. Ako je riječ o financijskoj prijevari, kontaktirate i banku radi zaustavljanja transakcija. Sljedeća tablica pokazuje tko što radi tijekom incidenta.

Očuvanje dokaza za forenziku

Dokazi su jedini način da odgovorite na ključna pitanja: kako je napadač ušao, što je dohvatio i je li još u mreži. Bez njih radite nagađanja i riskirate da vratite sustave dok je rupa još otvorena. Zato očuvanje dokaza ima prednost pred brzom sanacijom, čak i kada uprava traži da se sve odmah vrati u rad.

U praksi to znači nekoliko stvari. Sustave izolirate umjesto da ih gasite. Prije bilo kakve izmjene radite forenzičke snimke memorije i diskova. Čuvate sve relevantne zapise jer se oni inače brzo prepisuju i nestaju. Bilježite tko je što radio i kada, jer ta vremenska crta kasnije rekonstruira tijek napada i dokazuje da ste postupili ispravno. Kod ransomwarea poseban je naglasak na očuvanju uzoraka i poruka napadača, o čemu detaljnije pišemo u tekstu o zaštiti i odgovoru na ransomware.

Obveze obavještavanja u Hrvatskoj

Napad gotovo uvijek pokreće i regulatorne rokove, a oni teku od trenutka saznanja, ne od trenutka kada vam to odgovara. Ako su pogođeni osobni podaci, povredu prijavljujete AZOP-u bez nepotrebne odgode, a najkasnije u roku od 72 sata od saznanja, kako traži GDPR.¹ Ako je povreda vjerojatno visok rizik za pojedince, o njoj obavještavate i same ispitanike.

Ako ste obveznik NIS2 direktive, koja je u Hrvatskoj prenesena kroz Zakon o kibernetičkoj sigurnosti, značajan incident prijavljujete nadležnom tijelu u stupnjevitim rokovima: rana dojava obično u 24 sata, potpunija obavijest u 72 sata i završno izvješće kasnije. Tko je obveznik i koje sektore zakon pokriva objašnjavamo u tekstu o NIS2 i Zakonu o kibernetičkoj sigurnosti.² Kod financijske prijevare bez odgode kontaktirate banku jer brza intervencija ponekad omogućuje zaustavljanje ili povrat sredstava. Nacionalni CERT pruža podršku organizacijama kod incidenata.³

Oporavak i provjera da je napadač stvarno izbačen

Oporavak nije puko vraćanje sustava u rad, nego povratak u stanje za koje ste sigurni da je čisto. To znači da sustave vraćate iz provjerenih sigurnosnih kopija tek nakon što ste utvrdili kako je napadač ušao i zatvorili taj put. Vraćanje prije zatvaranja rupe najčešće znači da napadač jednostavno ponovno uđe, a kopija može biti i sama zaražena ako je napravljena nakon upada.

Prije proglašenja oporavka morate potvrditi da napadača više nema. To uključuje promjenu svih kompromitiranih i administratorskih lozinki, poništenje ukradenih pristupnih ključeva i sesija, te pojačan nadzor mreže kako biste uhvatili pokušaj povratka. Ovdje zrela detekcija mnogo znači: usluga upravljane detekcije i odgovora (MDR) prati okruženje 24/7 i prepoznaje znakove da se napadač vraća prije nego ponovno napravi štetu.

Naučene lekcije i zašto pripremljen plan mijenja ishod

Incident bez izvučene pouke gotovo se sigurno ponovi. Nakon oporavka slijedi pregled: kako je napadač ušao, što je u odgovoru radilo dobro, što sporo i koji propust treba trajno zatvoriti. Cilj nije pronaći krivca, nego ukloniti uzrok, bilo da je to nedostatak višefaktorske autentifikacije, nezakrpani sustav ili nejasna odgovornost u timu.

Pripremljen plan mijenja ishod jer odluke pomiče iz panike u rutinu. Plan koji prvi put pišete usred incidenta je beskoristan. Unaprijed definirajte tko odlučuje, koga se zove, kako se izolira i kako se prijavljuje, pa to uvježbajte kroz simulaciju. Po našem iskustvu, tvrtke koje su uvježbale plan reagiraju mnogo brže i mirnije, a stvarna razlika u šteti ovisi o vrsti napada i opsegu okruženja. Za prvih 24 sata koristan je jednostavan kontrolni popis.

1. 01
   Sat 0 do 1: zaustavite širenje

   Izolirajte pogođene sustave, postavite voditelja incidenta i pokrenite plan odgovora.
2. 02
   Sat 1 do 4: sačuvajte dokaze i procijenite opseg

   Napravite forenzičke snimke, sačuvajte zapise i utvrdite koji su sustavi i podaci pogođeni.
3. 03
   Sat 4 do 12: uključite sve funkcije i provjerite rokove

   Aktivirajte pravnu, upravu i komunikacije, procijenite jesu li zahvaćeni osobni podaci i pripremite prijave.
4. 04
   Sat 12 do 24: prijavite i pripremite oporavak

   Pošaljite ranu dojavu nadležnom tijelu i prijavu AZOP-u ako su pogođeni osobni podaci, te planirajte čisti oporavak.

Kako Raptoric pomaže

Raptoric je neovisna tvrtka koja pomaže reguliranim organizacijama da napad prepoznaju na vrijeme i reagiraju prije nego šteta naraste. Kroz odgovor na incidente vodimo vas kroz izolaciju, forenziku, regulatorne rokove i čisti oporavak, a uz upravljanu detekciju i odgovor pratimo okruženje neprekidno. Dogovorite uvodni razgovor i posložit ćemo plan odgovora prilagođen vašoj organizaciji prije nego ga zatrebate.