Реагирование на инциденты безопасности

Введение

Ни одна система безопасности не даёт 100% гарантии. Defence in depth, RBAC, ABAC, audit logging — всё это снижает вероятность инцидента, но не исключает его. Когда инцидент произошёл, критически важна скорость и качество реагирования. В этом уроке мы рассмотрим процесс incident response — от обнаружения до post-incident review.

Классификация инцидентов

Не все инциденты одинаково серьёзны. Классификация определяет приоритет реагирования и набор задействованных ролей.

Playbook реагирования

Процесс incident response состоит из 6 фаз:

Фаза 1: Detection

Инциденты обнаруживаются через:

• Автоматические алерты — SIEM-система, audit log anomaly detection
• Мониторинг метрик — всплеск DENIED-запросов, необычные patterns экспорта
• Сообщения пользователей — “я вижу чужие данные”
• Внешние источники — регуляторы, исследователи безопасности, утечки в интернете

Фаза 2: Triage

Чеклист Triage:
[ ] Какие данные затронуты? (classification: public/internal/confidential/restricted)
[ ] Сколько записей/субъектов затронуто?
[ ] Был ли внешний доступ к данным?
[ ] Какие системы скомпрометированы?
[ ] Продолжается ли инцидент прямо сейчас?
[ ] Какие регуляторные обязательства возникают? (152-ФЗ, GDPR, PCI DSS)

Фаза 3: Containment

-- Немедленные действия containment
-- 1. Блокировка скомпрометированного аккаунта
ALTER USER compromised_user NOLOGIN;

-- 2. Отзыв всех активных сессий
SELECT pg_terminate_backend(pid)
FROM pg_stat_activity
WHERE usename = 'compromised_user';

-- 3. Ротация credentials
ALTER USER compromised_user PASSWORD 'new_secure_password';

-- 4. Ограничение сетевого доступа (pg_hba.conf)
-- Добавить: host all compromised_user 0.0.0.0/0 reject

Сценарий: утечка в BioGenesis

Сценарий: BioGenesis Lab (БиоГенезис Лаб)

Incident Report: В пятницу вечером SIEM-алерт зафиксировал аномалию: исследователь Олег из проекта “Genomics-Alpha” выгрузил 50,000 записей из таблицы patient_clinical_data — данные пациентов из клинического исследования, к которому он не имеет отношения. Олег работал из домашней сети (не corporate). Audit log показывает 3 попытки доступа к restricted-данным в течение часа перед успешным экспортом.

Классификация: P1 Critical

• Данные: Restricted (медицинские данные пациентов)
• Объём: 50,000 записей
• Субъекты: ~3,000 пациентов
• Регуляторный риск: 323-ФЗ (здоровье), 152-ФЗ (PII), IRB протокол нарушен

Timeline реагирования BioGenesis

Post-Incident Review

Post-Incident Review — самая ценная фаза. Цель — не наказание, а предотвращение повторения.

Структура Post-Incident Report

5 Whys для BioGenesis

WHY 1: Почему Олег получил доступ к patient_clinical_data?
  -> Потому что у всех исследователей одинаковый доступ ко всем БД

WHY 2: Почему у всех исследователей одинаковый доступ?
  -> Потому что нет project-based access control

WHY 3: Почему нет project-based access control?
  -> Потому что BioGenesis не внедрила ABAC

WHY 4: Почему BioGenesis не внедрила ABAC?
  -> Потому что governance-программа покрывает только clinical данные
     (Level 2: только под давлением регуляторов)

WHY 5: Почему governance не расширена на research данные?
  -> Потому что нет Data Governance Office и нет бюджета на security
     (ROOT CAUSE: отсутствие системной программы governance)

Итоги

• Классификация инцидентов (P1-P4) определяет скорость реагирования и набор ролей
• 6 фаз incident response: Detection -> Triage -> Containment -> Eradication -> Recovery -> Post-Incident Review
• Containment — немедленная изоляция: блокировка аккаунтов, отзыв сессий, ограничение сети
• Post-Incident Review с 5 Whys выявляет root cause, а не симптомы
• Регуляторные обязательства: 152-ФЗ (72 часа Роскомнадзор), GDPR (72 часа DPA), 323-ФЗ (IRB)
• В BioGenesis root cause — отсутствие системной governance-программы, а не конкретная техническая уязвимость

Этот модуль завершает обзор Безопасности и Контроля Доступа: от принципов шифрования до RBAC/ABAC, audit logging, проектирования политик и реагирования на инциденты. В модульном экзамене вы примените все эти знания к сценариям FinSecure, BioGenesis и DataTech.