מה אוספים בצעדים הראשונים
רשמו מתי הבחנתם בבעיה, באיזו כתובת היא הופיעה ומה השתנה לאחרונה. שמרו צילום מסך של ההודעה, בלי להיכנס לקישור חשוד או להוריד קובץ שהאתר מציע. תעדו גם שינויי DNS, עדכונים והרשאות שניתנו לאחרונה, אם ידועים.
פנו למי שמוסמך לנהל את האתר ולספק האחסון. בקשו לשמר לוגים ועותק של המצב הקיים, בכפוף להרשאות ולרגישות המידע. אל תעבירו גיבוי מלא או נתוני לקוחות בערוץ ציבורי.
רשומת העברה קצרה: זמן ואזור זמן, מערכות שנפגעו, הסימן שנצפה, שינוי אחרון, פעולה שכבר בוצעה ומי אחראי להמשך. אין לכלול סיסמאות או נתוני לקוחות ואין לפתוח יעד זדוני כדי להשלים את הרשומה.
איזה סימן ראיתם
הסימן מכוון את הבירור, אבל לבדו אינו מוכיח את הסיבה.
| סימן | הפעולה הבאה | ממה להימנע |
|---|---|---|
| הפניה לאתר זר | לתעד URL ושעה ולבדוק עם הספק את ההפניה והקבצים | כניסה חוזרת לאתר היעד החשוד |
| מנהל לא מוכר | לשמר מידע על החשבון ולתאם חסימת גישה וביטול חיבורים | מחיקה שמעלימה את ההיסטוריה לפני תיעוד |
| אזהרת דפדפן או מנוע חיפוש | לשמור את נוסח האזהרה ולבדוק דרך הממשק הרשמי | הסתפקות בהסרת האזהרה בלי בירור |
| האתר אינו עולה | לבדוק זמינות, DNS, תוקף שירות והודעות הספק | הנחה שכל השבתה היא פריצה |
צמצום הפגיעה ושימור יכולת ההתאוששות
כאשר האתר מסכן מבקרים או ממשיך לשלוח תוכן זדוני, מתאמים עם האחסון בידוד או הגבלת גישה. בידוד אינו בהכרח כיבוי השרת; הבחירה תלויה במה שצריך לשמר ובמבנה השירות. בחשד לדליפת מידע יש לערב את האחראים בארגון לבחינת חובותיהם.
ממכשיר שנחשב נקי, ובהכוונת מי שמנהל את האירוע, מחליפים סודות שנחשפו ומבטלים גישה פעילה. שינוי סיסמה יחיד לא בהכרח מבטל חיבורים קיימים, מפתחות API או הרשאות שנוספו.
מניקוי לחזרה מבוקרת
CISA מדגישה את חשיבות הגיבויים וההתאוששות בסביבה נקייה. בפועל, בוחרים נקודת שחזור לאחר בדיקת הגיבוי, מתקנים את דרך החדירה ורק אז מתכננים חזרה לפעילות.
בסיכום האירוע מפרידים בין מה שאומת לבין השערות על מקור החדירה. אפשר לסגור פעולה שנבדקה ולהשאיר שאלה פתוחה עם אחראי; אין להכריז על סיבה ודאית ללא ראיות.
- בודקים עותק נפרד ושומרים את המקור.
- מזהים רכיב פגיע, הרשאה או סוד שנוצלו, ככל שהראיות מאפשרות.
- מסירים רכיבים זדוניים ומתקנים את הפערים שנמצאו.
- מאמתים טפסים, כניסה, תשלומים וחיבורים במצב בדיקה מתאים.
- מתעדים את שעת החזרה ואת הנושאים שדורשים מעקב.
מתי לעצור טיפול עצמאי
אם אין גיבוי, אין בעל הרשאה מזוהה, יש נתוני לקוחות בסיכון או שלא ברור איזה קובץ תקין, עוצרים פעולות משנות מצב. ניתן להמשיך לאסוף תיאור וסימנים ולבקש סיוע. המדריך אינו מחליף ניהול אירוע או חקירה פורנזית.
