30. Сдерживание устранение восстановление.

Время реагирования на инцидент является критичным при сдерживании инцидента с неавторизованным доступом. Чтобы определить точно, что случилось, может потребоваться расширенный анализ; и в случае активной атаки состояние системы может быстро изменяться. В большинстве случаев целесообразно выполнить начальный анализ инцидента, установить степень опасности этого инцидента, реализовать начальные меры сдерживания и затем выполнить дальнейший анализ, чтобы определить, достаточны ли были меры сдерживания.

Обработчикам инцидентов сложно выбрать стратегии сдерживания, т.к., если они допускают наихудшее, то стратегия сдерживания может заблокировать все сети и системы. Обработчики инцидентов должны рассмотреть более умеренные решения, которые направлены на уменьшение риска до приемлемого уровня, чем на блокирование всех сетей и систем. Последовательность действий при сдерживании инцидента с неавторизованным доступом может быть такой:

-изолирование затронутых узлов и систем. Это простейший прием по сдерживанию инцидента с неавторизованным доступом – отсоединить каждую затронутую систему и узел;

-блокирование затронутых услуг. Если атакующий использует конкретную услугу, чтобы получить неавторизованный доступ, то сдерживание может представлять собой временное или постоянное блокирование этой услуги;

-блокирование маршрутов атакующего. Следует препятствовать доступу атакующего к соседним активам, которые могут быть следующими целями.;

-блокирование учетных записей пользователя, которые могли быть использованы при атаке. Одни и те же учетные записи и пароли, которые были скомпрометированы в одной системе, могут работать в других системах;

-улучшение мер физической безопасности.

Если при устранении инцидента и восстановлении после инцидента с неавторизованным доступом обработчики инцидентов предполагают, что атакующий получил доступ к системе, то нельзя доверять OC. В этом случае необходимо восстановить операционную систему и приложения из резервной копии и затем защитить систему. Рекомендуется изменение всех паролей во всех системах, которые имели отношения с атакованной системой.

Если атакующий получает меньший уровень доступа, чем уровень администратора, то действия по устранению и восстановлению могут соответствовать уровню, до которого атакующий получил доступ.

При сборе и обработке данных об инциденте с неавторизованным доступом и подготовке отчета необходимо зафиксировать относящиеся к этому инциденту данные, включающие журналы регистрации узлов и приложений, предупреждения об обнаружении вторжения и журналы сетевых экранов, могут также обеспечить доказательство неавторизованного доступа. Если во время инцидента произошло нарушение физической безопасности, то дополнительные доказательства могут быть получены с помощью журналов системы физической безопасности, магнитофонов, видеокамер и данных очевидцев.

31 Определение инцидента отказа в обслуживании. Примеры инцидентов отказа в обслуживании

Отказ в обслуживании (DoS) является действием, которое препятствует или наносит вред авторизованному использованию сетей, систем или приложений путем истощения ресурсов, таких как центральный блок обработки, память, пропускная способность и область дисковой памяти. Успешные атаки DoS, проводимые против хорошо известных Web-сайтов, делающие эти Web-сайты недоступными для пользователей, получили широкое распространение. Другие примеры атак DoS включают:

-использование всей доступной пропускной способности сети посредством генерации необычно больших объемов трафика;

-передача неправильно оформленных пакетов TCP/IP к серверу так, что его операционная система выходит из строя;

-передача незаконных запросов к приложению, чтобы вывести его из строя;

-создание многочисленных запросов с интенсивной для процессора нагрузкой так, чтобы обрабатывающие ресурсы сервера использовались полностью (например, запросы, которые требуют от сервера шифровать каждый ответ);

-установление многих одновременных сеансов входа в систему, к серверу таким образом, чтобы другие пользователи не могут начать сеанс входа;

-использование всего дискового пространства путем создания многочисленных больших по объему файлов.

Четыре типа атак DoS: рефлекторные атаки, усилительные атаки, атаки распределенного DoS и затопление SYNами.