Reagowanie na incydenty (incident response) to uporządkowany proces postępowania po wykryciu ataku lub naruszenia bezpieczeństwa: od wykrycia, przez ograniczenie skutków, po usunięcie przyczyn i wyciągnięcie wniosków. Dobrze przygotowany plan skraca czas i zmniejsza straty.
Jakie są etapy reagowania?
- przygotowanie: plan, role i kontakty, narzędzia, kopie zapasowe,
- wykrycie i analiza: potwierdzenie incydentu i ocena jego zakresu,
- ograniczenie, usunięcie i odtworzenie: odcięcie atakującego, usunięcie przyczyny i przywrócenie usług,
- wnioski po incydencie: co zawiodło i co poprawić.
Ten model opisuje publikacja NIST SP 800-61.
Co zrobić po włamaniu na stronę?
Wyłącz lub odizoluj serwis, zabezpiecz logi i kopię stanu do analizy, zmień wszystkie hasła i klucze, znajdź lukę i usuń złośliwe pliki, a następnie przywróć stronę z czystej kopii. Sprawdź w Google Search Console, czy nie pojawiły się komunikaty o zagrożeniach bezpieczeństwa.
Obowiązki prawne
Jeśli doszło do naruszenia danych osobowych, trzeba ocenić ryzyko i w razie potrzeby zgłosić je do UODO w ciągu 72 godzin oraz powiadomić poszkodowanych. Warto mieć plan i odpowiedzialne osoby ustalone z wyprzedzeniem, a nie szukać ich w trakcie kryzysu.
Ślady takich zdarzeń najczęściej odnajduje się, gdy prowadzona jest analiza logów serwera.
Zobacz w praktyce
Analiza logów serwera strony internetowej - poradnik 
Jak bezpiecznie przechowywać hasła użytkowników w bazie danych 
Błąd 500 (Internal Server Error) - co oznacza i jak go naprawić?