במסמך הזה מופיעות הנחיות לא רשמיות לגבי דרכים להגיב לממצאים של פעילויות חשודות ברשת. יכול להיות שהשלבים המומלצים לא יתאימו לכל הממצאים, ושהם ישפיעו על הפעולות שלכם. לפני שתבצעו פעולה כלשהי, עליכם לבדוק את הממצאים, להעריך את המידע שאספתם ולהחליט איך להגיב.
לפני שמתחילים
בדיקת הממצא. מציינים את המשאב המושפע ואת חיבורי הרשת שזוהו. אם יש כאלה, בודקים את האינדיקטורים לפריצה בממצא באמצעות מודיעין איומי סייבר מ-VirusTotal.
כדי לקבל מידע נוסף על הממצא שאתם בודקים, חפשו את הממצא באינדקס של ממצאי איומים.
המלצות כלליות
- פונים לבעלים של המשאב המושפע.
- בודקים את משאב המחשוב שנפרץ ומסירים את התוכנות הזדוניות שנמצאו.
- אם יש צורך, מפסיקים את משאב המחשוב שנפרץ.
- לצורך ניתוח משפטי, מומלץ לגבות את המכונות הווירטואליות ואת הדיסקים של אחסון מתמיד (persistent disks) שהושפעו. מידע נוסף מופיע במאמר אפשרויות להגנה על נתונים במאמרי העזרה של Compute Engine.
- אם צריך, מוחקים את משאב המחשוב המושפע.
- כדי לבצע חקירה נוספת, אפשר להשתמש בשירותים לתגובה לאירועים כמו Mandiant.
בנוסף, כדאי לעיין בהמלצות שבקטעים הבאים בדף הזה.
תוכנה זדונית
- כדי לעקוב אחרי פעילות ונקודות חולשה שאפשרו את ההחדרה של תוכנות זדוניות, צריך לבדוק את יומני הביקורת ואת יומני המערכת שמשויכים למשאב המחשוב שנפרץ.
- כדי לחסום כתובות IP זדוניות, מעדכנים את כללי חומת האש או משתמשים ב-Cloud Armor. כדאי להפעיל את Cloud Armor כשירות משולב. העלויות של Cloud Armor יכולות להיות משמעותיות, בהתאם לנפח הנתונים. מידע נוסף זמין במאמר בנושא תמחור של Cloud Armor.
- כדי לשלוט בגישה לתמונות ובשימוש בהן, צריך להשתמש ב-מכונה וירטואלית מוגנת ולהגדיר מדיניות בנושא קובצי אימג' מהימנים.
איומים שקשורים לכריית מטבעות וירטואליים
אם קובעים שהאפליקציה היא אפליקציית כרייה והתהליך שלה עדיין פועל, צריך להפסיק את התהליך. מאתרים את הקובץ הבינארי של האפליקציה שניתן להפעלה באחסון של משאב המחשוב ומוחקים אותו.
המאמרים הבאים
- איך עובדים עם ממצאי איומים ב-Security Command Center
- אפשר לעיין באינדקס של ממצאי איומים.
- איך בודקים ממצא דרך מסוף Google Cloud .
- מידע על השירותים שמפיקים ממצאים לגבי איומים