Реагирование на инциденты (IR, incident response) — организованный процесс подготовки к киберинцидентам, их обнаружения, локализации и устранения последствий, а также извлечения уроков, чтобы они не повторялись.
Как устроено реагирование на инциденты
Самый известный стандарт — NIST SP 800-61, обновлённый в 2025 году под NIST Cybersecurity Framework 2.0. Его классический цикл, как и шестиэтапная модель SANS, включает:
- подготовку — планы, роли, контакты, инструменты, журналы и резервные копии готовы до инцидента;
- обнаружение и анализ — подтверждение инцидента, оценка масштаба и серьёзности;
- локализацию — изоляцию заражённых хостов, блокировку учётных записей и трафика к командным серверам;
- устранение и восстановление — удаление вредоносов и бэкдоров, восстановление систем, наблюдение за возвратом атакующего;
- разбор после инцидента — анализ уроков и улучшение защиты.
Цифровая криминалистика (вместе — DFIR) сохраняет доказательства: образы памяти, копии дисков, журналы из SIEM и EDR.
Почему это важно для безопасности
Подготовленная команда превращает хаос в управляемый процесс и сокращает простой. При атаке вымогателя на счету каждый час.
У реагирования есть и юридические сроки:
- по GDPR об утечке персональных данных нужно сообщить регулятору в течение 72 часов;
- директива ЕС NIS2 требует раннего уведомления о значимых инцидентах в течение 24 часов;
- в России операторы персональных данных обязаны уведомить Роскомнадзор об утечке в течение 24 часов.
Ошибки — преждевременная очистка систем или спугнутый атакующий — могут уничтожить улики или ускорить шифрование.
Рекомендации
- Напишите план реагирования с чёткими ролями и держите офлайн-копии контактов и процедур.
- Проводите штабные учения (tabletop) с участием руководства, юристов и пресс-службы.
- Заключите договор с внешней IR-командой заранее, а не в момент атаки.
- Храните журналы и резервные копии там, где атакующий не сможет их удалить.
