...

Teknisk undersøgelse efter et hackerangreb

Når angrebet er inddæmmet, og driften kører igen, står de svære spørgsmål tilbage: Hvordan kom angriberen ind, hvor længe var adgangen åben, hvad blev rørt, og hvad blev taget med ud? Svarene skal kunne bære over for et forsikringsselskab, en IT-leverandør, Datatilsynet eller en modpart. Det kræver en undersøgelse, hvor hvert fund kan føres tilbage til en sikret kilde med hash, tidsstempel og metode.

Nielco IT har indsigt i og erfaring med incident response og hackerangreb, og laver den uvildige, efterprøvelige undersøgelse ved siden af jeres IR-leverandør.

Ved siden af IR, ikke i stedet for

Incident response har ét mål: at stoppe angrebet og få systemerne op. Det er det rigtige mål i de første døgn. Men IR-teamet isolerer maskiner, nulstiller konti, fjerner persistens og genopbygger servere, og hvert af de indgreb ændrer de spor, som en senere undersøgelse skal bygge på. Forskellen og samspillet er beskrevet i Forensic eller incident response?

Nielco IT arbejder parallelt: sikrer images, logs og telemetri, før de forsvinder, og dokumenterer IR-teamets indgreb i en log, så egne spor kan skilles fra angriberens. IR-teamet fortsætter med inddæmning og genopretning. Rollefordelingen, og hvad der overdrages hvornår, står på Samarbejde med jeres IR-leverandør. Hvordan arbejdet foregår, når genopretningen presser, er beskrevet i Ransomware: bevissikring parallelt med genopretning og Log over indgreb under incident response.

Har IR-leverandøren allerede skrevet en rapport, kan den efterprøves: Er konklusionerne underbygget af de kilder, der er nævnt, og kan de bruges i en tvist? → IR-rapporten som bevis

Spørgsmålene, undersøgelsen besvarer

Indgangsvejen. Phishing, en sårbar VPN-enhed, et lækket password, en eksponeret fjernadgang eller en leverandørkonto. Konklusionen skal hvile på mere end ét spor, og alternative forklaringer skal være afprøvet. → Indgangsvejen: sådan underbygges konklusionen

Dwell time. Tidspunktet for den første kompromittering afgør, hvilke backups der er rene, hvilken forsikringsperiode der gælder, og hvor langt tilbage logs skal sikres. → Dwell time: hvornår kom angriberen ind?

Omfanget. Hvilke konti, servere, klienter og cloud-tjenester var berørt, og hvilke var det beviseligt ikke? Et omfang uden negativ afgrænsning er svært at forsvare.

Hvad blev tilgået eller taget. Spor efter komprimering, store udgående overførsler og synkronisering til eksterne tjenester. → Dataudtræk før kryptering og Hvilke persondata blev berørt?

Backup og hypervisor. Hvornår blev backup slettet eller ændret, og hvad kan sikres fra krypterede værter? → Backup-logs og Krypterede servere og hypervisorer

Når resultatet skal bruges

Forsikring: selskabet beder typisk om indgangsvej, tidslinje, omfang og dokumentation af sikkerhedsniveauet før hændelsen. → Cyberforsikringen: de tekniske leverancer og Forsikringstvist: sikkerhedsniveauet før hændelsen
Leverandøransvar: var den åbne port, den manglende opdatering eller den delte administratorkonto leverandørens ansvar? Her tæller RMM-logs og leverandørens egne konti. → IT-leverandørens adgang. Den juridiske side er beskrevet hos digital-bevissikring.dk.
Persondatabrud og NIS2: de tekniske fakta bag anmeldelse og opfølgning. → Persondatabrud på 72 timer og NIS2 set fra logkilderne
Tvist med en modpart: ved svindel via mail er det centrale ofte, hvilken af parterne der var kompromitteret. → Fakturasvindel: hvilken part var kompromitteret? og BEC-undersøgelse i Microsoft 365

Ledelsens første skridt efter angrebet er beskrevet hos bevissikring-digitalt.dk.

Hvad undersøgelsen kan og ikke kan vise

En undersøgelse kan kun konkludere ud fra de kilder, der fandtes og blev sikret. Er Security-loggen overskrevet, auditloggen kortere end angrebets varighed eller EDR-telemetrien slettet ved genopsætning, bliver konklusionen tilsvarende forsigtigere. Rapporten siger det direkte: hvilke kilder manglede, og hvad det betyder for sikkerheden i hvert fund.

Den kan heller ikke pege på en person bag et angreb. Den kan vise en IP-adresse, en konto, et værktøj og et forløb, men ikke hvem der sad ved tastaturet hos angriberen. Og fravær af spor efter dataudtræk er ikke det samme som bevis for, at intet blev taget. → Fravær af spor

Hvad I får

Sikrede kilder med hash, bevislog og beskrivelse af, hvad der blev ændret før sikringen.
En tidslinje fra første tegn på adgang til inddæmning, med kilde for hver hændelse og tider normaliseret til UTC.
En vurdering af indgangsvejen med de spor, der støtter den, og de alternativer, der er afprøvet.
En afgrænsning af omfanget: berørte og ikke-berørte systemer, konti og datasæt.
En rapport skrevet til den, der skal bruge den: forsikring, ledelse, advokat eller skønsmand, med tydelige forbehold.

Hvad påvirker prisen?

Siden nævner ingen beløb. Omfanget afgøres især af:

antallet af servere, klienter, konti og tenants,
om der er sikret noget allerede, og om IR-teamets indgreb er logget,
hvor længe angriberen kan have været inde, og dermed hvor langt tilbage der skal analyseres,
om hypervisorer eller backups er krypteret,
om der skal efterprøves en eksisterende IR-rapport,
om opgaven haster (hastesager koster ekstra).

Se pris og tilbud hos Nielco IT.

Hvem laver undersøgelsen

Undersøgelsen laves af John Nielsen, Nielco IT. Bag ligger mere end 30 år med IT-sikkerhed, egen virksomhed siden 2009, indsigt i og erfaring med incident response og hackerangreb. John har haft opgaver som IT-sagkyndig ved danske domstole i flere retskredse og ved patentdomstolen UPC (Den Fælles Europæiske Patentdomstol). Nielco IT sælger hverken produkter eller drift og har ingen leverandørpartnerskaber, så resultatet afhænger ikke af, hvem der leverede sikkerheden. Ved større hændelser kan Nielco IT knytte flere konsulenter til opgaven, under Nielco IT’s ledelse og regi. Hvis det praktisk kan nås, kan sikringen gå i gang samme dag.

Fortrolighed

Et angreb rører ved forretningshemmeligheder, persondata og ofte en kommende tvist. Nielco IT underskriver en NDA, når I ønsker det, og alt IT-sagkyndigt arbejde er underlagt tavshedspligt, medmindre en domstol kræver oplysningerne.

Afgrænsning

Undersøgelsen laves til civile formål: forsikring, tvister, leverandøransvar, anmeldelse af databrud og interne undersøgelser. Anmelder virksomheden forholdet til politiet, er politiets arbejde en anden sag. Se afgrænsningen.

Ring på 70 13 63 23, eller se Nielco IT’s ydelse inden for digital bevissikring.