Het eerste uur bij een digitaal incident
De eerste beslissingen bepalen hoeveel bewijs bewaard blijft en hoe ver de schade zich verspreidt.
Bij een vermoeden van gijzelsoftware of een ingebroken account telt snelheid, maar overhaaste stappen vernietigen sporen die later nodig zijn om vast te stellen wat er is gebeurd.
Isoleren zonder uitschakelen
Een besmet systeem loskoppelen van het netwerk beperkt verspreiding. Uitzetten wist het werkgeheugen, waarin vaak precies de informatie zit die nodig is voor onderzoek. Loskoppelen van de netwerkkabel of het uitschakelen van de draadloze verbinding heeft daarom de voorkeur boven afsluiten.
Wat direct gebeurt
- Getroffen systemen van het netwerk halen, zonder ze uit te zetten.
- Back-ups loskoppelen zodat die niet worden meegenomen.
- Wachtwoorden van beheeraccounts wijzigen vanaf een schoon systeem.
- Vastleggen wie wat wanneer heeft gedaan.
Wie er wordt ingelicht
Naast de eigen ICT-partij zijn dat mogelijk de Autoriteit Persoonsgegevens bij een datalek, de verzekeraar bij een cyberpolis, en klanten of leveranciers waarvan gegevens zijn geraakt. Aangifte bij de politie is in veel gevallen ook aan de orde.
Betalen bij gijzelsoftware biedt geen garantie op herstel en houdt het verdienmodel in stand. De aanbeveling van opsporingsdiensten is niet te betalen en eerst te onderzoeken of herstel uit back-up mogelijk is.
Daarna pas herstellen
Herstellen naar dezelfde omgeving zonder te weten hoe de toegang is verkregen, leidt geregeld tot een tweede incident. Eerst vaststellen hoe het is gebeurd, dan pas terugzetten.
Dit artikel geeft algemene informatie. Elke omgeving verschilt, en een maatregel die in de ene situatie werkt kan elders ongewenste gevolgen hebben. Bij ingrijpende wijzigingen is toetsing door een ICT-beheerder verstandig.
