Nowa jednostka NASK wesprze ofiary cyberataków

Jednym z częściej występujących rodzajów incydentów są ataki ransomware. Po uzyskaniu dostępu do systemów, aktorzy zagrożeń nie tylko wchodzą w posiadanie przechowywanych w nich danych, lecz także je szyfrują. Tylko na przełomie marca i kwietnia doszło do czterech tego rodzaju zdarzeń w polskich placówkach ochrony zdrowia, o czym informowaliśmy na naszych łamach.

Ślady cyberataku można znaleźć w danych

W sytuacji kryzysowej tego rodzaju konieczne jest zarówno odzyskanie zaszyfrowanych informacji, jak i szybkie przywrócenie podmiotu z powrotem do normalnego działania. Według informacji NASK, jest to domena działań zespołu CERT Polska, który podejmuje pierwsze kroki już po kilku minutach od zaistnienia incydentu.

Czasami konieczne jest jednak zaangażowanie innych ekspertów. W tym gronie znajduje się zespół cyber z Dowództwa Wojsk Obrony Terytorialnej, który udzielił wsparcia po ataku na szpital w Szczecinie. Warto wspomnieć, że zgłoszenie incydentu poważnego jest jednym z obowiązków wynikających z ustawy o Krajowym Systemie Cyberbezpieczeństwa.

Jak wynika z przytoczonych w informacji prasowej słów dyrektora Pionu CSIRT w NASK Macieja Siciarka, dane dotknięte cyberatakiem mogą zawierać informacje kluczowe dla ustalenia skali, przyczyny oraz przebiegu incydentu.

„Ślady cyfrowe często są traktowane jak poszlaki w prowadzonym postępowaniu i należy je prawidłowo zabezpieczyć” – podkreślił Siciarek.

Eksperci będą działać na miejscu zdarzenia

Kwestiami odzyskiwania i analizy danych oraz przywracaniem ciągłości działania będzie zajmowało się Krajowe Centrum Odzyskiwania Danych (KCOD). W założeniach stanowi ono jeden z siedmiu podstawowych elementów Centrum Cyberbezpieczeństwa NASK, którego budowa ruszyła w maju. W odróżnieniu od obecnej sytuacji, jego eksperci będą dysponowali kluczowym czynnikiem: mobilnością.

Specjaliści będą mieli do dyspozycji pojazd ze sprzętem, który umożliwi im nie tylko dojazd, ale też pracę bezpośrednio w zaatakowanej instytucji. Jest to istotny czynnik w całym procesie, ponieważ transport dotkniętych atakiem urządzeń lub nośników do laboratorium bardzo często nie jest możliwy.

Wśród analizowanych danych znajdą się nie tylko te, które zostały zaszyfrowane. Badane będą również cyfrowe ślady pozostawione przez aktorów zagrożeń podczas cyberataku. Niemniej dyrektor Pionu CSIRT w NASK podkreślił, że przywrócenie ciągłości działania wymaga współpracy wielu zespołów, zaś cały ten proces jest „długi i trudny”.

Stworzenie podstaw działania Krajowego Centrum Odzyskiwania Danych w postaci instrukcji działania będzie możliwe dzięki obsłużonym do tej pory incydentom. Sami eksperci zespołu będą wykorzystywać doświadczenie pozyskane podczas udzielania wsparcia podmiotom dotkniętym cyberatakami.