Триаж и сдерживание
Первый час решает всё. Очерти радиус поражения, прежде чем действовать, затем сдержи угрозу так, чтобы отрезать доступ атакующего, не уничтожив волатильные улики, которыми придётся доказывать, что и когда он сделал.
2:14 ночи. Алерт в одну строку: служебная учётка, которая обычно трогает один бакет S3, только что перечислила сорок. Рука дежурного инженера тянется к очевидному: убить под, проротировать ключ и спать дальше. Он так и делает. И этим самым перезагружает хост — реверс-шелл, живший в памяти, испаряется, дерево процессов атакующего исчезает, полезная нагрузка в /tmp стёрта свежей загрузкой, а единственный оставшийся артефакт — строка CloudTrail, сообщающая «что-то произошло». Через три недели юристы задают вопрос, к которому в итоге приходит любой инцидент: что именно унесли и когда вошли? — и ответить некому, потому что улики уничтожило само сдерживание. Пробой был переживаем. Слепое пятно мы нанесли себе сами.
К концу этого урока ты будешь знать, как очертить радиус поражения инцидента, прежде чем что-либо трогать, и как сдержать его в порядке, который отрезает атакующего, не стирая улики, которые понадобятся потом.
Триаж: реши, что это, прежде чем решать, что делать
Первая задача в инциденте — не починить его, а понять его форму достаточно, чтобы реагировать соразмерно. Это и есть триаж: быстрая структурированная оценка серьёзности и охвата, чтобы приложить нужную силу к нужной проблеме. Считай каждый алерт пожаром высшей категории — и команда вымотается на ложных срабатываниях; сочти настоящее вторжение рутиной — и дашь ему расползтись. NIST SP 800-61 описывает это как передачу от обнаружения к анализу: подтвердить, что инцидент реален, классифицировать его и назначить серьёзность, которая ведёт весь дальнейший ответ.
Триаж отвечает на три вопроса по порядку. Реален ли он? Отличи истинно-положительное срабатывание от неверно настроенного алерта или безобидной аномалии — учётка в 2 ночи может оказаться новым пакетным заданием, которое никто не задокументировал. Насколько плохо может быть? Серьёзность — это ущерб × уверенность: вероятный RCE на хосте, смотрящем в интернет и владеющем кредами к БД, обгоняет подтверждённый, но изолированный в песочнице майнер. Как далеко это достаёт? Этот вопрос большинство команд недозадаёт, и он — мост к следующей идее.
Скоупинг: найди радиус поражения, прежде чем резать
Скоупинг — это работа ответа на вопрос как далеко это зашло? — какие идентичности, хосты, сервисы и данные инцидент реально затрагивает. Это самый важный шаг триажа, потому что любое решение о сдерживании ровно настолько хорошо, насколько хорош охват, на котором оно построено. Сдержи слишком узко — и изолируешь один под, пока второй плацдарм атакующего продолжает работать; в индустрии это зовут «бей-крота» (whack-a-mole), и так инцидент на один хост превращается в инцидент на три недели.
Радиус поражения редко совпадает с тем, что сработало в алерте. Атакующий, приземлившийся на веб-сервер, использует его для пивота: читает переменные окружения ради кредов к БД, перенимает чрезмерно широкую IAM-роль, перечисляет сеть, движется латерально. Алерт сработал на пятом шаге; плацдарм был первым. Скоупинг — это реконструкция этой цепочки назад до нулевого пациента и вперёд до каждого места, куда доступ мог дотянуться — по логам и телеметрии, которые ты настроил задолго до этой ночи. MITRE ATT&CK здесь — карта: знание типичной прогрессии (первичный доступ → выполнение → закрепление → повышение привилегий → латеральное движение → эксфильтрация) подсказывает, какие соседние системы проверить, прежде чем счесть, что ты нашёл край.
Сдерживание: отрежь доступ, не уничтожив улики
Сдерживание — это шаг, останавливающий кровотечение, но порядок и метод решают, сохранишь ли ты способность расследовать. Деструктивная ловушка из Hook — самая частая ошибка зрелого уровня в реагировании: волатильное состояние, доказывающее, что произошло, живёт ровно в тех местах, которые уничтожает перезагрузка, переразвёртывание образа или kill -9.
Канонический приоритет захвата — порядок волатильности: сохраняй самые эфемерные артефакты первыми, потому что они исчезают в момент, когда ты действуешь:
| Порядок захвата | Артефакт | Уничтожается | Что доказывает |
|---|---|---|---|
| 1 (наиболее волатильный) | RAM, запущенные процессы, открытые сокеты | Перезагрузка, выключение, потеря питания | Шеллы в памяти, внедрённый код, живой C2 |
| 2 | Сетевые соединения, ARP, кэш DNS | Неверная сетевая изоляция, время | С кем атакующий общается |
| 3 | Диск: /tmp, логи, полезная нагрузка | Переразвёртывание образа, свежая загрузка, вайп | Сброшенный инструментарий, закрепление, латеральные шаги |
| 4 (наименее волатильный) | CloudTrail / аудит-логи, бэкапы | Истечение срока хранения (часто это предел) | Таймлайн, использованная идентичность, вызовы API |
Зрелый ход — сдержать так, чтобы заморозить состояние, а не стереть его. Не выключай скомпрометированную ВМ — сделай снимок её памяти и диска, затем изолируй. В облаке самое чистое сдерживание — часто сетевая изоляция: перенеси инстанс в карантинную security-группу, которая не пропускает ничего внутрь и наружу, кроме твоего форензик-доступа, чтобы машина оставалась включённой (RAM цела, процессы живы), пока атакующий от неё отрезан. Для скомпрометированной идентичности ты запрещаешь учётку, а не удаляешь пользователя — явная deny-политика или отзыв сессии мгновенно убивает доступ и оставляет IAM-принципала и его историю нетронутыми для расследования. Принцип везде один: изолируй, а не уничтожай.
▸Почему это работает
Зачем вообще сохранять улики, если приоритет очевидно — остановить атакующего? Три причины, которые зрелый инженер усваивает. Первая — охват: нельзя сдержать то, что не очертил скоупингом, а волатильные улики — это то, что выявляет второй плацдарм; уничтожь их, и сдерживаешь вслепую. Вторая — право и регуляторика: законы об уведомлении о пробоях (и многие контракты) требуют сообщить, к каким данным был доступ; «мы не знаем, потому что переразвернули образ» — неприемлемый ответ, который может превратить сдержанный инцидент в подлежащий уведомлению и судебному разбору. Третья — рецидив: без артефактов корневой причины ты чинишь симптом, атакующий заходит обратно через ту же дверь на следующей неделе, а весь бюджет ответа потрачен впустую.
Напряжение: сдержать сейчас vs. наблюдать и учиться
Есть реальный компромисс, с которым сидят зрелые ответственные за реагирование, и это не «всегда сохраняй». Иногда самое быстрое и агрессивное сдерживание верно: активный ransomware, шифрующий файловый сервер, — не тот момент, чтобы бережно снимать RAM; ты выдёргиваешь сетевой кабель. Суждение — это скорость сдерживания vs. полнота улик, взвешенная против скорости роста радиуса поражения. Чем быстрее ущерб накапливается, тем сильнее ты склоняешься к решительному сдерживанию даже ценой части форензики.
Служебная учётка в твоём облачном аккаунте делает аномальные, нарастающие вызовы API — перечисляет бакеты, затем читает объекты. Это активно прямо сейчас, и темп растёт. Выбери лучший шаг сдерживания.
Рабочий порядок операций
Собери это как последовательность, которую зрелый инженер прогоняет под давлением: триаж — подтвердить и оценить, скоупинг — найти реальный радиус поражения, затем сдерживание так, чтобы заморозить улики — снимок до изоляции, deny до удаления, изоляция до переразвёртывания образа. Только когда доступ отрезан, а волатильное состояние захвачено, ты переходишь к устранению и восстановлению. Вся дисциплина — отказаться позволить порыву что-то сделать уничтожить твою способность знать, что было сделано.
Алерт сработал на одном скомпрометированном веб-сервере. Почему скоупинг радиуса поражения — шаг, который чаще всего определяет, сработает ли сдерживание?
Нужно сдержать скомпрометированную облачную ВМ с реверс-шеллом в памяти. Какое действие сохраняет улики, при этом отрезая атакующего?
Упорядочь шаги реагирования на инцидент так, как зрелый инженер прогоняет их под давлением, от первого к последнему:
- 1 Триаж — подтвердить реальность и назначить серьёзность
- 2 Скоупинг — реконструировать радиус поражения по логам/телеметрии
- 3 Сохранение — снять память и диск до того, как действовать
- 4 Сдерживание — изолировать хост / запретить учётку
- 5 Устранение и восстановление — убрать атакующего, вернуть сервис
- 01Пройди по цепочке триаж → скоупинг → сдерживание и объясни, почему скоупинг стоит посередине и ведёт всё остальное.
- 02Объясни «изолируй, не уничтожай» и порядок волатильности — почему деструктивное сдерживание стоит дороже самого пробоя?
Первый час инцидента выигрывается или проигрывается на порядке операций. Триаж — это быстрая оценка: реален ли, насколько плохо, как далеко, — превращающая алерт в одну строку в понятый инцидент и назначающая серьёзность, соразмерную ущербу × уверенности. Скоупинг — это поворотная точка: поскольку алерт почти всегда срабатывает в нескольких шагах внутри цепочки атаки, ты реконструируешь радиус поражения назад до нулевого пациента и вперёд по каждой идентичности, хосту и хранилищу данных, куда доступ мог дотянуться, с ATT&CK как картой, — и делаешь это до сдерживания, потому что сдерживание неверного охвата оставляет второй плацдарм атакующего живым. Сдерживание затем отрезает доступ, не уничтожая улики: захватывай в порядке волатильности (сначала RAM и процессы, затем сеть, затем диск, затем аудит-логи) и изолируй, а не уничтожай — снимок до перезагрузки, сетевой карантин вместо выключения, deny или отзыв учётки вместо удаления пользователя. Единственное исключение — быстро накапливающийся ущерб вроде активного ransomware, где решительное сдерживание обгоняет полноту форензики. Дисциплина, связывающая всё: никогда не позволяй порыву что-то сделать уничтожить твою способность доказать, что было сделано, — потому что охват, закон и предотвращение рецидива зависят от улик, которые ты чуть не выбросил.
Практика
Начни сверху. Задачи идут от простого к сложному: вспомнить факт, применить к случаю, затем senior-уровень. Открой, попробуй, потом открой ответ.
Что-то непонятно?
Задай вопрос по этому уроку. Вопросы анонимны и попадают напрямую автору — урок станет лучше.