Incident Response: Cosa fare (e non fare) nelle prime 24 ore di un attacco
Il momento in cui si realizza di essere sotto attacco è il peggiore nella vita di un IT Manager. L’adrenalina sale, i telefoni iniziano a squillare e la tentazione di “fare qualcosa” subito è fortissima. Eppure, le prime 24 ore – la cosiddetta “Golden Hour” della cybersecurity – determinano se l’azienda sopravviverà con qualche cicatrice o se chiuderà i battenti. Ecco la procedura operativa standard basata sul metodo CyberDef.
Ora 0-1: Stop al Panico e Isolamento (Containment)
La reazione istintiva è spegnere tutto. Non farlo. Spegnere un server significa cancellare la memoria RAM, perdendo per sempre le chiavi di decifrazione (in caso di ransomware) e le tracce dell’attaccante.
- Scollegare la rete: Stacca fisicamente i cavi di rete o disabilita le porte dello switch e le connessioni Wi-Fi dei dispositivi infetti. Crea un “cordone sanitario” digitale.
- Lasciare accesi i dispositivi: Mantieni i sistemi alimentati per permettere la successiva analisi forense della memoria volatile.
- Cambio credenziali massivo: Resetta immediatamente le password degli amministratori di dominio e degli account con privilegi elevati (incluso l’account krbtgt di Active Directory).
Ora 2-4: Valutazione e Mobilitazione (Assessment)
Ora che l’emorragia è (forse) contenuta, bisogna capire l’entità della ferita.
- Attivare il Crisis Team: Chiama il legale, il DPO, il responsabile IT e la comunicazione. Ognuno deve avere un ruolo chiaro.
- Mappare l’estensione: Usare i log (se centralizzati e sicuri) per capire: Come sono entrati? Quali sistemi sono compromessi? Hanno esfiltrato dati?
- Verifica dei Backup: Controllare immediatamente l’integrità dei backup senza collegarli alla rete principale. Assicurarsi che non siano stati cifrati o cancellati.
Ora 5-12: Eradicazione e Strategia Legale
Mentre i tecnici lavorano per rimuovere le backdoor, la parte legale deve muoversi.
- Preservazione delle prove: Prima di formattare o ripristinare, fai una copia forense (bit-to-bit) dei dischi infetti. Servirà per l’assicurazione e per le indagini.
- Notifica GDPR: Il GDPR impone di notificare il Garante entro 72 ore se c’è rischio per i diritti degli interessati. Inizia a preparare la documentazione ora, non aspettare l’ultimo minuto.
Ora 13-24: Ripristino e Comunicazione (Recovery)
Si inizia a tornare operativi, ma con cautela paranoica.
- Ripristino graduale: Non riaccendere tutto insieme. Ripristina i servizi critici (ERP, Email) su macchine bonificate o nuove, monitorando il traffico come un falco.
- Comunicazione agli Stakeholder: Se i dati dei clienti sono stati rubati, preparare una comunicazione trasparente. La fiducia si perde quando si mente, non quando si viene attaccati.
Conclusione: Un piano di Incident Response non si inventa durante l’incidente. Queste 24 ore devono essere scritte in un Playbook stampato e conservato offline. Quando la rete cade, quel pezzo di carta sarà la vostra unica guida.
