Dowody cyfrowe po cyberincydencie: czego firmy mogą nauczyć się z raportu Europolu

Po cyberincydencie pierwszym odruchem jest naprawa: odłączyć urządzenie, usunąć wiadomość, zresetować konto, przeinstalować system. Część tych działań może być potrzebna natychmiast, ale każde z nich zmienia stan środowiska. Bez zaplanowanego zabezpieczenia danych firma może usunąć informacje potrzebne do ustalenia, co się wydarzyło, kogo dotyczyło i czy napastnik nadal ma dostęp.

16 października Europol opublikował raport „Digital forensics: gap analysis”, przygotowany z Komisją Europejską. Dokument dotyczy przede wszystkim zdolności organów ścigania w państwach UE. Wskazuje problemy z rosnącą liczbą i różnorodnością dowodów, drogimi lub szybko starzejącymi się narzędziami, brakiem wspólnych formatów i metod walidacji oraz niedoborem specjalistycznych kompetencji.

Wniosek Breachroad: raport nie jest instrukcją reagowania dla przedsiębiorstw, ale jego zasady dają ważną lekcję organizacyjną. Logi, urządzenia, wiadomości i dane chmurowe są użyteczne tylko wtedy, gdy wiadomo, skąd pochodzą, kto je zebrał, co zostało zmienione i czy wynik można odtworzyć.

Dlaczego cyfrowy ślad jest coraz trudniejszy do zebrania

Istotne informacje rzadko znajdują się dziś na jednym komputerze. Incydent może pozostawić ślady w telefonie pracownika, systemie pocztowym, dostawcy tożsamości, aplikacji SaaS, chmurze, kopii zapasowej, urządzeniu sieciowym i panelu zewnętrznego dostawcy.

Europol opisuje między innymi wyzwania związane z chmurą, Internetem rzeczy i połączonymi pojazdami. Szyfrowanie oraz niestandardowe technologie dodatkowo komplikują dostęp i interpretację danych. Różne formaty oraz praktyki walidacji utrudniają łączenie wyników i współpracę ponad granicami.

Dla firmy problem ma podobny początek, choć inny cel prawny. Gdy retencja logów trwa siedem dni, a incydent zostaje wykryty po dwóch tygodniach, danych nie da się odzyskać samą ekspertyzą. Gdy dostawca SaaS udostępnia szczegółowy dziennik tylko w wyższym planie, zespół może dowiedzieć się o tym dopiero podczas włamania. Gdy każdy eksportuje raport w innym formacie, odtworzenie osi czasu zajmuje dłużej.

Zabezpieczenie nie oznacza pozostawienia ataku bez reakcji

Nie należy czekać z izolacją aktywnie atakowanego systemu tylko po to, aby zachować idealny obraz pamięci. Ochrona ludzi, pieniędzy i działającego środowiska może mieć pierwszeństwo. Chodzi o świadomą kolejność, a nie o bezczynność.

Przykład: po wykryciu przejętego konta zespół może unieważnić sesje i zablokować logowanie. Przed zmianą, jeżeli sytuacja na to pozwala, eksportuje bieżące logi tożsamości, listę aktywnych sesji, metody MFA, reguły skrzynki i historię zmian. Jeżeli ryzyko jest natychmiastowe, najpierw blokuje konto, ale dokumentuje dokładny czas i osobę wykonującą operację.

Ta różnica jest kluczowa. Reakcja zmienia środowisko, lecz udokumentowana zmiana nadal może być częścią wiarygodnej osi czasu.

Pierwsza godzina: minimalny pakiet dowodowy

Zakres zależy od incydentu, ale organizacja może przygotować stały zestaw działań:

1. zapisz czas zgłoszenia wraz ze strefą czasową i źródłem alarmu;
2. nadaj incydentowi identyfikator i wyznacz właściciela;
3. zachowaj oryginalną wiadomość, plik lub alert, zamiast tylko zrzutu ekranu;
4. odnotuj stan konta, urządzenia i połączeń przed zmianą;
5. eksportuj istotne logi z poczty, tożsamości, EDR, chmury, proxy i aplikacji;
6. zapisuj każdą czynność: kto, kiedy, co wykonał i z jakiego powodu;
7. przechowuj oryginały oddzielnie od kopii roboczych;
8. ustal z zespołem prawnym i ochroną danych zasady dostępu, retencji oraz udostępniania.

Suma kontrolna pliku może pomóc wykazać, że kopia nie została zmieniona, ale sam hash nie tworzy pełnej wiarygodności. Potrzebne są również kontekst pozyskania, czas, źródło, użyte narzędzie i kontrola dostępu.

Czego nie robić odruchowo

Pracownik nie powinien usuwać podejrzanej wiadomości przed zgłoszeniem, przesyłać pliku przez prywatny komunikator ani otwierać go na kolejnych urządzeniach. Administrator nie powinien czyścić logów lub od razu przebudowywać systemu bez zapisania stanu, chyba że wymaga tego bezpieczeństwo.

Nie należy także kopiować poufnych danych do przypadkowego narzędzia AI „w celu szybkiej analizy”. Może to naruszyć zasady ochrony danych, tajemnicę przedsiębiorstwa albo warunki obsługi incydentu. Nawet zatwierdzone narzędzie powinno pracować na odpowiednio ograniczonym materiale.

AI może pomóc, ale wynik musi dać się sprawdzić

Europol widzi dla AI rolę w analizie dużych zbiorów, automatyzacji i tworzeniu tropów. Jednocześnie podkreśla potrzebę przejrzystości, identyfikowalności, dokumentowania, odtwarzalności i ręcznej weryfikacji. Oryginalny materiał oraz czytelny łańcuch postępowania muszą zostać zachowane.

W firmowym dochodzeniu oznacza to, że podsumowanie wygenerowane przez model jest wskazówką, a nie materiałem źródłowym. Trzeba zachować wejściowe logi, wersję narzędzia lub modelu, zakres przekazanych danych, użyte polecenie, czas analizy i osobę zatwierdzającą wniosek. Krytyczny rezultat powinien być możliwy do potwierdzenia bez zaufania do samej odpowiedzi AI.

Co przygotować przed następnym incydentem

Najwięcej czasu oszczędza praca wykonana przed alarmem:

• mapa systemów i właścicieli danych;
• sprawdzona retencja logów dla kluczowych usług;
• gotowe procedury eksportu danych z Microsoft 365, Google Workspace, chmury i EDR;
• bezpieczne repozytorium materiału z kontrolą dostępu;
• lista dostawców oraz czasy udostępnienia logów;
• zasady współpracy zespołów IT, prawnego, HR, komunikacji i zarządu;
• kryteria wezwania zewnętrznego zespołu forensic lub zgłoszenia sprawy organom;
• ćwiczenie, podczas którego zespół naprawdę eksportuje dane, a nie tylko omawia slajdy.

W małej firmie nie musi to oznaczać laboratorium kryminalistycznego. Minimum to świadomość, które dane znikają najszybciej, kto może je pobrać i gdzie należy je bezpiecznie zachować.

Fakty z raportu i wnioski dla biznesu

Braki w narzędziach, interoperacyjności, szkoleniach i zasobach oraz wymagania dotyczące przejrzystego użycia AI pochodzą z raportu Europolu i podsumowania Komisji Europejskiej. Dokumenty opisują potrzeby organów ścigania, nie nakładają w tym komunikacie nowego obowiązku na przedsiębiorstwa.

Przełożenie tych zasad na firmowy pakiet dowodowy, kolejność reakcji i zasady użycia AI jest rekomendacją Breachroad. Punkt wyjścia stanowi plan reagowania na incydenty, a role, decyzje i zbieranie informacji warto sprawdzić podczas ćwiczenia tabletop gotowości incydentowej.