پاسخ به حادثه امنیتی در بیشتر سازمان‌ها روی کاغذ وجود دارد، اما در لحظهٔ واقعی کمتر کسی می‌داند اول چه کند. چند وقت پیش یکی از همکارانم با سازمانی کار می‌کرد که EDR روی فایل‌سرورش هشدار رمزگذاری مشکوک داده بود. مدیر شبکه با نیت خیر سرور را خاموش کرد، دیسک را فرمت کرد و ویندوز را از نو نصب کرد. دو هفته بعد همان مهاجم با همان حساب VPN برگشت.
مشکل سرعت نبود؛ نبودِ نقشه بود. هیچ‌کس نپرسیده بود مهاجم از کجا آمده و به کجاهای دیگر رسیده است.
طبق گزارش هزینهٔ نشت داده ۲۰۲۵ شرکت IBM، میانگین زمان شناسایی و مهار نفوذ ۲۴۱ روز بود: ۱۸۱ روز تا شناسایی و ۶۰ روز دیگر تا مهار. آن ۶۰ روز همان جایی است که یک برنامهٔ آماده بیشترین اثر را دارد.
نقش‌ها روشن باشد: چه کسی دستور ایزوله کردن سرور حیاتی را می‌دهد.
کانال ارتباطی خارج از شبکه داشته باشید؛ ایمیل سازمانی ممکن است در دسترس مهاجم باشد.
لاگ ورود، VPN، فایروال و DNS دست‌کم ۹۰ روز در یک سامانهٔ متمرکز بماند.
EDR بتواند دستگاه را ایزوله کند و ارتباط با کنسول را نگه دارد.
پشتیبان ایزوله و آزمون‌شده داشته باشید.
خاموش نکنید؛ ایزوله کنید. نشانه‌های فرمان و کنترل را روی فایروال و DNS ببندید، حساب‌های آلوده را غیرفعال کنید و ثبت‌نام MFA آن‌ها را بازبینی کنید. یک دفتر زمانی از همهٔ کارها نگه دارید.
با خط زمانی SIEM، شکار نشانه‌ها با EDR در همهٔ نقاط پایانی و بررسی حساب‌ها و گروه‌های مدیریتی تازه، به سه سؤال جواب دهید: راه ورود، دامنهٔ نفوذ و داده‌ای که خارج شده است. تا این فهرست کامل نشده، پاک‌سازی را شروع نکنید.
راه ورود را ببندید، اگر مهاجم به سطح مدیر دامنه رسیده رمز krbtgt را دو بار بازنشانی کنید، سرورهای آلوده را از تصویر سالم بازسازی کنید، پشتیبان را پیش از برگرداندن در محیط جدا بررسی کنید و هر سیستم را پیش از اتصال دوباره اسکن کنید. سی روز هم پایش تشدیدشده داشته باشید.
یک جلسهٔ مرور بدون مقصرتراشی، تمرین رومیزی هر شش ماه و آزمون بازیابی پشتیبان هر سه ماه، حادثهٔ امروز را به آمادگی فردا تبدیل می‌کند.
نسخهٔ کامل این راهنما، با اشتباه‌های رایج و نقش هر ابزار، در سایت است: پاسخ به حادثهٔ امنیتی؛ ۷۲ ساعت اول بعد از کشف نفوذ
— کاظم مرتضوی، مشاور مستقل امنیت شبکه
