Čo robiť ak mi dodávateľ oznámil, že bol zasiahnutý ransomvérom

V rámci série „SK-CERT odporúča“ Vám prinášame odporúčanie, čo robiť, keď váš dodávateľ mohol byť napadnutý ransomvérom, kedy mu mohli uniknúť dáta alebo mohol byť zasiahnutý iným typom kybernetického incidentu.

• Poskytuje vám tento dodávateľ IT služby?
• Poskytuje vám tento dodávateľ nejaké externé služby (nie len IT služby)?
• Mohol tento dodávateľ disponovať vašimi citlivými informáciami (vrátane osobných údajov)?
• Má tento dodávateľ akýkoľvek vzdialený prístup do vašej infraštruktúry?
• Má tento dodávateľ akýkoľvek prístup do vašich systémov napríklad v rámci poskytovania prevádzkovej podpory?
• Poskytol vám v minulosti tento dodávateľ prihlasovacie údaje do ľubovoľnej služby?
• Zdieľate s týmto dodávateľom prístup do ľubovoľnej služby?
• Dodal vám v minulosti tento dodávateľ produkt, ktorý on sám konfiguroval? (server, aplikácia, wifi zariadenia, iné)
• Máte s týmto dodávateľom platný zmluvný vzťah?
• Vediete s týmto dodávateľom obchodnú korešpondenciu alebo otvorenú komunikáciu?

Ak ste aspoň na jednu z týchto otázok odpovedali áno, tak máte problém. Národné centrum kybernetickej bezpečnosti SK-CERT vám odporúča podniknúť nasledujúce kroky:

• nahláste túto situáciu Národnému centru kybernetickej bezpečnosti SK-CERT,

a:

• zablokujte alebo zmeňte všetky prístupové heslá, umožnujúce vzdialený prístup priamo alebo prostredníctvom VPN, ktoré ste pridelili dodávateľovi,
• Zistite u dodávateľa, kedy presne k úniku dát prišlo (nie kedy boli dáta zašifrované, ale kedy došlo k úniku dát, čo mohlo byť aj týždne pred zašifrovaním),
• preverte realizované VPN a iné prístupy od dodávateľa od úniku dát (alebo za posledných veľa mesiacov, ak nemáte konkrétny dátum úniku) a overte, či za týmto prístupmi bol naozaj dodávateľ,
• identifikujte všetky používateľské účty, ktoré ste dodávateľovi odovzdali alebo ku ktorým vám naopak zasielal heslá dodávateľ, a účty zablokujte (operačný systém, webové aplikácie, technické a administrátorské účty),
• v prípade, že sa podobné heslá používali aj inde, zmeňte aj tieto prístupové údaje,
• zvýšte pozornosť pri monitoringu so zameraním sa na neštandardné a neočakávané aktivity, monitoring vzdialených prístupov do vašej siete a sieťové aktivity,
• venujte zvýšenú pozornosť e-mailovej a inej komunikácii ktorá sa tvári, že je od dodávateľa, aj keď sa odkazuje na platné zmluvy či fakty, pôvodne známe iba vám a dodávateľovi a vždy overujte jej autenticitu, predovšetkým ak obsahuje prílohy, vyžaduje zaslanie údajov alebo kliknutie na link,
• komunikujte s dodávateľom počas riešenia jeho incidentu aby ste mali dostatočný prehľad, ako dodávateľ incident rieši a aké môže mať reálne dopady na vašu činnosť,
• preverte svoju zálohovaciu politiku, overte platnosť záloh a uistite sa, že disponujete aspoň jednou aktuálnou offline zálohou. Zálohovací systém by mal byť heslami aj technologicky nezávislý od zvyšku vašej infraštruktúry,
• preverte a zvýšte aktuálne zabezpečenie svojej siete, najmä perimeter: aké služby sú prístupné na mojom adresnom rozsahu? Sú všetky aktuálne dostupné služby potrebné?  Sú aktualizované? Sú nasadené prvky, umožňujúce detekciu a prevenciu útokov? Existuje inšpekcia odchádzajúcej komunikácie?
• do plánov kontinuity činností zahrňte scenáre a postupy, ktoré budú použiteľné na takéto typy situácií.

« Späť na zoznam