Расследование инцидентов информационной безопасности на объектах КИИ (Форензика)

Компьютерная криминалистика для субъектов КИИ — от обнаружения атаки до передачи материалов в правоохранительные органы и полного восстановления критической инфраструктуры.

Сбор и фиксация доказательной базы для ФСБ и следственных органов

Доказательная база, собранная с нарушением процессуальных требований, не будет принята ни НКЦКИ, ни следственными органами. Для юриста и CISO критически важно обеспечить юридическую чистоту всех этапов сбора цифровых доказательств. Ниже приведён чек-лист, сформированный на основе практики расследования инцидентов на объектах КИИ.

Критическое правило: никогда не работайте с оригиналом доказательства. Все исследования проводятся исключительно на верифицированных копиях. Оригиналы опечатываются и передаются на ответственное хранение с момента изъятия.

Матрица ролей и ответственности при расследовании инцидентов

Успешное расследование киберинцидентов невозможно без чёткого распределения ролей. Размытая ответственность — одна из главных причин затягивания расследований и утраты доказательств. Ниже приведена матрица RACI (Responsible — Accountable — Consulted — Informed), адаптированная для субъектов КИИ.

Обозначения: R — Responsible (исполняет), A — Accountable (отвечает), C — Consulted (консультирует), I — Informed (информируется).

Привлечение внешнего подрядчика, имеющего лицензию ФСБ и опыт работы с промышленными системами, существенно ускоряет расследование и повышает качество доказательной базы. Особенно это актуально для организаций, не располагающих собственной IR-командой.

Восстановление инфраструктуры КИИ после инцидента

Восстановление — не просто «поднять из бэкапа». Это системный процесс, который должен гарантировать, что атакующий полностью вытеснен из инфраструктуры, а повторное проникновение по тому же вектору исключено. Ошибка на этапе восстановления обходится дороже самого инцидента: по статистике, 40% повторных компрометаций происходят в течение 90 дней после неполного устранения первоначальной угрозы.

Ключевые этапы восстановления инфраструктуры КИИ:

• Валидация резервных копий. Проверка целостности и чистоты бэкапов. Атакующие нередко компрометируют резервные копии заблаговременно, поэтому необходимо сканирование на наличие вредоносного кода и верификация контрольных сумм.
• Пересборка критических систем. Скомпрометированные серверы и рабочие станции пересобираются из доверенных образов, а не «лечатся». Только полная переустановка гарантирует отсутствие скрытых закладок.
• Сброс и ротация учётных данных. Массовая смена паролей, ключей, сертификатов. Ревизия учётных записей Active Directory с удалением неактуальных и подозрительных.
• Усиление периметра. Внедрение дополнительных мер защиты по результатам расследования: сегментация сети, ужесточение правил межсетевого экрана, развёртывание EDR/XDR на конечных точках.
• Интенсивный мониторинг. В течение 30–90 дней после инцидента ведётся усиленный мониторинг с пониженными порогами срабатывания алертов, чтобы выявить возможные рецидивы.

Комплексный подход к восстановлению обеспечивается в рамках программы комплексной киберзащиты КИИ «под ключ», которая включает не только техническое восстановление, но и приведение документации в соответствие с актуальными требованиями регуляторов.

Типичные ошибки при расследовании и как их избежать

Практика показывает, что субъекты КИИ допускают одни и те же ошибки, которые приводят к утрате доказательств, затягиванию расследования и усугублению последствий инцидента.

1. Перезагрузка скомпрометированной системы. Самая распространённая и разрушительная ошибка. При перезагрузке уничтожаются данные оперативной памяти — процессы, сетевые соединения, ключи шифрования вредоносного ПО. Правильное действие: сначала снять дамп RAM, затем изолировать систему от сети.

2. Нарушение сроков уведомления НКЦКИ. Пропуск 24-часового окна уведомления влечёт административную ответственность и подрывает доверие регулятора. Процедура уведомления должна быть автоматизирована в рамках подключения к ГосСОПКА.

3. Работа с оригиналами доказательств. Любое исследование должно проводиться на верифицированных копиях. Работа с оригиналом делает его процессуально непригодным.

4. Отсутствие pre-incident плана. Если план реагирования создаётся в момент инцидента — уже поздно. Playbooks, списки контактов, шаблоны уведомлений, договоры с IR-подрядчиками должны быть готовы заранее.

5. Попытка «тихо починить» без привлечения специалистов. Администраторы пытаются самостоятельно устранить последствия, тем самым уничтожая артефакты и позволяя атакующему закрепиться глубже. Каждый инцидент на КИИ — это потенциальное уголовное дело, и действия персонала должны быть координированы с IR-командой и юристом.

6. Игнорирование промышленного сегмента (АСУ ТП). Расследование часто ограничивается корпоративным сегментом, тогда как атакующий уже проник в технологическую сеть. Форензика на объектах КИИ обязательно должна охватывать промышленные контроллеры, SCADA-системы и инженерные сети.

7. Недокументирование действий персонала. Каждое действие, предпринятое в ходе реагирования, должно фиксироваться с указанием времени, ответственного лица и обоснования. Недокументированные шаги создают разрывы в хронологии, которые ставят под сомнение достоверность всего расследования при передаче материалов следственным органам.

Итог: экстренное реагирование как инвестиция в непрерывность бизнеса

Расследование киберинцидентов на объектах КИИ — это не реактивная мера, а стратегический элемент системы безопасности. Организации, инвестирующие в готовность к инцидентам, сокращают среднее время реагирования с недель до часов, минимизируют финансовый ущерб и сохраняют доверие регуляторов.

Компьютерная криминалистика КИИ в российских реалиях — это сложная междисциплинарная задача, требующая одновременно технической экспертизы в области промышленных систем, глубокого знания нормативной базы (187-ФЗ, приказы ФСБ и ФСТЭК) и практических навыков работы с цифровыми доказательствами.

Ключевые принципы, которые стоит зафиксировать:

• Готовьтесь заранее — IR-план, playbooks и договор с подрядчиком должны быть до инцидента.
• Действуйте по протоколу — нулевой пациент, сдерживание, форензика, восстановление.
• Сохраняйте доказательства — цепочка хранения и юридическая значимость превыше скорости.
• Уведомляйте вовремя — 24 часа на отправку уведомления в НКЦКИ для значимых объектов.
• Восстанавливайте с нуля — пересборка, а не лечение скомпрометированных систем.

Команда sertifikat.bz оказывает услуги экстренного реагирования на инциденты информационной безопасности на объектах КИИ: от оперативного выезда и сдерживания угрозы до полного цикла форензики, подготовки доказательной базы для ФСБ и восстановления инфраструктуры. Свяжитесь с нами для разработки IR-плана или экстренного реагирования — каждый час промедления увеличивает масштаб ущерба.