Выбор ответа Middle Логирование, реагирование и ПДн обновлено
Первые действия при инциденте
Вопрос
Обнаружена подозрительная активность на сервере. Что разумно сделать до переустановки системы?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Сохранить логи, снимки диска и памяти, изолировать сервер, потом восстанавливать. Переустановка или удаление файлов уничтожают следы, по которым можно понять, как атакующий вошёл и что успел.
Варианты ответа
- Сразу переустановить ОС из чистого образа, чтобы атакующий потерял доступ
- Удалить подозрительные файлы и процессы, сменить пароли и перезагрузить сервер
- Оставить всё как есть на неделю, чтобы понять намерения и цели атакующего
- Сохранить логи, снимки диска и памяти, изолировать сервер, потом восстанавливатьправильный ответ
Разбор
Переустановка или удаление файлов уничтожают следы, по которым можно понять, как атакующий вошёл и что успел. Без этого уязвимость останется, и он вернётся. Изоляция сдерживает ущерб, а долгое наблюдение без сдерживания допустимо лишь в особых случаях по решению руководителя реагирования.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.
Ещё по теме «Логирование, реагирование и ПДн»
- Уведомление об утечке по 152-ФЗ
- Локализация персональных данных
- Усталость от алертов
- Маскирование email и номеров карт в логах
- Экранирование значения для лога
- Что 152-ФЗ требует от разработки
- Этапы реагирования на инцидент
- Поля записи события безопасности