Приём обращения и первичная оценка
Фиксируем, что известно, определяем необходимость немедленного вмешательства, даём первые указания — в том числе о том, чего делать не следует.
Мониторинг и сопровождение
Реагирование на инциденты информационной безопасности
Если инцидент идёт прямо сейчас — звоните: 8 800 700 19 56.
Оценим ситуацию и подскажем безопасные действия, которые помогут
ограничить распространение и сохранить данные. До заключения
договора и без подключения к инфраструктуре.
Подключаемся, когда инцидент уже идёт: помогаем локализовать атаку, корректно собрать данные, определить затронутые системы, безопасно восстановить контроль и подготовить сведения для регулятора. Работаем по подписке на реагирование или по обращению.
Первые действия
Что сделать до нашего подключения
- Изолируйте затронутые системы от сети. Не выключайте и не перезагружайте их без оценки ситуации, если распространение удалось остановить: в оперативной памяти остаются данные, важные для установления причины. Если изоляция невозможна, а разрушительные действия продолжаются, приоритет может быть отдан остановке системы
- Не переустанавливайте и не «лечите» затронутые системы до снятия данных
- Не меняйте настройки хранения журналов и не удаляйте их
- Зафиксируйте время и признаки обнаружения, сохраните снимки экрана и сообщения
- Определите, кто принимает решения, и ограничьте круг обсуждения
- Если есть подозрение на компрометацию почты или службы каталога — обсуждайте инцидент по каналу, не связанному с корпоративной инфраструктурой
Первые часы
Что вы получаете в первые часы
Руководству нужны ответы на четыре вопроса
Что происходит
Можно ли это остановить сейчас
Какие системы и данные могли быть затронуты
Что мы обязаны сообщить регулятору
Применимость
В каких ситуациях подключаемся
- Шифровальщики и разрушительные атаки
- Компрометация учётных записей и службы каталога
- Вредоносное программное обеспечение на серверах и рабочих станциях
- Компрометация корпоративной почты и мошенническая переписка от имени компании
- Подозрение на утечку данных
- Компрометация внешнего веб-сервиса
- Несанкционированные действия внутреннего пользователя
- Компрометация доступа подрядчика
Форматы работы
Два формата
| Формат | Как работает |
|---|---|
| Подписка на реагирование | Договор, соглашение о конфиденциальности, порядок доступа, контакты, резервный канал связи и мандат согласованы заранее. При инциденте работа начинается с оговорённого срока, а не с оформления документов. Включает подготовительные работы: сбор сведений об инфраструктуре, проверку глубины хранения журналов, отработку порядка связи |
| По обращению | Подключение без предварительного договора. Возможно, но медленнее: время уходит на оформление, согласование доступа и первичное знакомство с инфраструктурой |
Результат
Что входит в результат
- Первичная оценка ситуации и план сдерживания
- Журнал выполненных действий с временем и исполнителями
- Перечень затронутых систем и учётных записей
- Выявленные индикаторы компрометации в машиночитаемом виде
- Реестр собранных материалов с указанием источника и способа получения
- Рекомендации по безопасному восстановлению
- Техническая основа для уведомления регулятора
- Итоговый отчёт и резюме для руководства
- План первоочередных и системных мер
Этапы проекта
Этапы работы
Локализация
Ограничиваем распространение: изоляция затронутых узлов и сегментов, блокирование учётных записей и каналов, отключение скомпрометированных доступов. Состав мер зависит от характера атаки и согласованного мандата.
Сбор данных
Снимаем журналы, телеметрию, при необходимости — образы систем и содержимое оперативной памяти. Для собранных данных фиксируем источник, дату и время с указанием часового пояса, способ получения и ответственного, рассчитываем контрольные суммы и ведём журнал передачи и доступа. Дальше работаем с копиями.
Определение необходимого объёма картины
Устанавливаем то, что требуется для локализации, удаления активного присутствия и безопасного восстановления: какие системы и учётные записи затронуты, какие механизмы закрепления действуют. Полная хронология, углублённый анализ первоначального вектора, длительности присутствия и всех действий злоумышленника — предмет ретроспективного анализа и оформляется отдельно.
Устранение присутствия
Поиск и удаление механизмов закрепления, лишних учётных записей и ключей, изменённых настроек средств защиты, каналов связи наружу.
Безопасное восстановление
Совместно с вашей ИТ-службой определяем условия возврата систем в работу, проверяем пригодность используемых резервных копий, обеспечиваем смену скомпрометированных учётных данных и ключей и контролируем отсутствие выявленных признаков повторной компрометации в согласованный период.
Разбор и рекомендации
Что закрыть немедленно, что в ближайшие недели, что менять системно.
Договорная часть
Мандат: что мы вправе сделать без отдельного согласования
Согласуется до начала работ — при подписке заранее, при обращении в первые часы.
Режимы:
- Только рекомендации — действия выполняет ваша команда
- Действия по согласованию с назначенным представителем
- Действия в заранее описанных границах — перечень допустимых мер, группы систем и исключения
- Критичные системы, к которым меры не применяются без прямого решения
- Порядок отмены — как снимается изоляция при ошибочном решении и кто это делает
- Контакты, замещение и порядок при недоступности представителя
Разграничение услуг
Как это соотносится с соседними услугами
| Услуга | Когда включается | Основной результат |
|---|---|---|
| Проактивный мониторинг | Постоянно | Выявление инцидента и первичная реакция в объёме услуги |
| Managed EDR | Постоянно | Обнаружение и действия на конечных точках |
| Реагирование на инциденты | Инцидент идёт | Остановить, локализовать, безопасно восстановить контроль |
| Ретроспективный анализ | После инцидента или по внешним индикаторам | Полная хронология, первоначальный вектор, длительность присутствия, масштаб |
| Проактивный поиск угроз | Регулярно, без повода | Выявление незамеченной активности |
Регуляторный контекст
Регуляторные сроки
Для субъектов КИИ, а также органов и организаций, на которые распространяется часть 4 статьи 9 Федерального закона № 187-ФЗ, действует порядок информирования по приказу ФСБ России от 25.12.2025 № 547 (применяется с 30 января 2026 года):
- Инцидент на значимом объекте КИИ — не позднее 3 часов с момента обнаружения
- Инцидент на иных объектах КИИ и на информационных ресурсах органов и организаций — не позднее 24 часов
- Компьютерная атака — не позднее 24 часов
- Сведения о результатах мероприятий по реагированию и ликвидации последствий — после завершения мероприятий, в установленный порядком срок
Правовой статус
Статус материалов
Отчёт по услуге предназначен для управленческих и технических решений и для подготовки сведений регулятору. Заключением судебного эксперта он не является.
Если предполагается использование материалов в судебном, административном или уголовном процессе, об этом нужно сказать до начала сбора данных: отдельно согласуются порядок фиксации, контроль целостности, цепочка хранения носителей и необходимость привлечения специалиста с соответствующим процессуальным статусом. Если специальный порядок не был согласован заранее, отдельные материалы могут утратить доказательственную ценность, а подтвердить непрерывную цепочку хранения впоследствии может оказаться невозможно.
Распределение ролей
Зоны ответственности
| Задача | АйЭсТи | Заказчик |
|---|---|---|
| Первичная оценка и указания по первым действиям | Даём | Выполняет или согласует |
| Локализация и действия в инфраструктуре | Выполняем в границах мандата | Согласует режим, выполняет за его пределами |
| Сбор и анализ данных | Выполняем | Предоставляет доступ |
| Восстановление систем и сервисов | Определяем условия безопасного восстановления, проверяем копии, контролируем признаки повторной компрометации | Выполняет восстановление силами ИТ-службы |
| Устранение причин: обновления, настройки, уязвимости | Формулируем рекомендации | Выполняет |
| Уведомление регулятора | Готовим техническую основу | Квалифицирует событие и направляет сведения |
| Внешние коммуникации, юридическая оценка | Не выполняем | Выполняет с привлечением своих специалистов |
Договорная часть
Конфиденциальность
До начала работ фиксируются:
- Соглашение о конфиденциальности
- Защищённые и резервные каналы передачи
- Ограничение доступа внутри нашей команды и журналирование обращений
- Согласованное место обработки и хранения материалов, включая образы и выгрузки
- Ограниченный срок хранения с возвратом или уничтожением
- Порядок работы при необходимости сохранить факт инцидента в ограниченном круге
Почему мы
Почему АйЭсТи
- В сфере информационной безопасности с 2011 года, более 80 специалистов
- Офисы в Самаре, Оренбурге и Нижнем Новгороде, представительство в Москве
- Лицензии ФСТЭК и ФСБ
- Оказываем проактивный мониторинг информационной безопасности — реагирование опирается на действующую практику наблюдения
- Работаем с ГИС, ИСПДн, объектами КИИ и АСУ ТП: понимаем, как сроки уведомления регулятора влияют на порядок работ
- Мандат и порядок отмены действий фиксируем письменно — чтобы в момент инцидента не выяснять, кто на что имеет право
- При необходимости продолжаем работу ретроспективным анализом и выстраиванием мониторинга — отдельными работами, о которых сообщаем заранее
Вопросы
Частые вопросы
Нам предлагают заплатить выкуп. Что вы посоветуете?
Решение принимает организация, и оно требует юридической оценки: у него есть правовые последствия, которые оценивает ваш юрист, а не подрядчик по информационной безопасности. Мы в переговорах с вымогателями не участвуем и посредниками не выступаем. Что мы делаем — устанавливаем масштаб, оцениваем возможность восстановления из имеющихся копий и сохраняем данные, необходимые для разбора, независимо от принятого решения.
Вы найдёте, кто нас атаковал?
Восстановим техническую картину и, если следы позволяют, соотнесём её с известными кампаниями. Установление конкретного исполнителя не является целью работ.
Чем это отличается от ретроспективного анализа?
Реагирование останавливает происходящее и возвращает контроль, устанавливая картину в объёме, необходимом для этого. Ретроспективный анализ восстанавливает полную хронологию: когда началось, каким путём вошли, как долго присутствовали, что осталось. Часто нужны оба.
24/7
Сообщить об инциденте
Инцидент идёт: 8 800 700 19 56 — оценим ситуацию и подскажем безопасные действия до заключения договора.
Инцидента нет: обсудим подписку на реагирование — заранее согласованные доступы, контакты, резервный канал и мандат сокращают время до первого действия.