Реагирование на инциденты.

Реагирование на инциденты (IR) — это структурированная обработка событий, угрожающих или нарушающих конфиденциальность, целостность или доступность информационных активов.

Фреймворки. NIST SP 800-61 Rev. 2 определял четырёхфазный жизненный цикл: подготовка; обнаружение и анализ; сдерживание, ликвидация и восстановление; постинцидентная деятельность. В апреле 2025 года NIST выпустил Rev. 3, отказавшись от жёсткой модели фаз и сопоставив деятельность IR с шестью функциями CSF 2.0 (руководство, идентификация, защита, обнаружение, реагирование, восстановление). Модель PICERL от SANS делит работу на шесть шагов — подготовка, идентификация, сдерживание, ликвидация, восстановление и уроки — и по-прежнему популярна в обучении и раннбуках.

Сроки критичны. Регуляторы всё чаще задают жёсткие часы: SEC требует от публичных компаний США раскрывать существенные киберинциденты в течение четырёх рабочих дней, GDPR ЕС обязывает уведомить надзорный орган в течение 72 часов после того, как стало известно об утечке персональных данных, а PCI DSS требует немедленно активируемого плана реагирования. Пропуск этих окон создаёт юридический риск независимо от технического ущерба.

Практика. Эффективное IR опирается на проверенные плейбуки, дежурства, внеполосные схемы связи (злоумышленники часто следят за корпоративной почтой), раннее привлечение юристов и PR, сохранение улик для форензики и инструменты SIEM, SOAR, EDR/XDR и триаж-наборы. Финальная фаза возвращает конкретные улучшения в обнаружение и предотвращение, чтобы то же вторжение не повторилось.

flowchart LR
  A[Подготовка: плейбуки, инструменты, учения] --> B[Обнаружение и анализ: разбор алертов, охват]
  B --> C[Сдерживание: изоляция хостов, отзыв токенов]
  C --> D[Ликвидация: удаление ВПО, закрытие вектора]
  D --> E[Восстановление: возврат в строй, контроль повторного заражения]
  E --> F[Постинцидент: уроки]
  F --> A