Zarządzanie Post-Incydentem

Czym jest Zarządzanie post-incydentem?

Zarządzanie post-incydentem to wsparcie po zakończeniu obsługi incydentu obejmujące lessons learned, wdrożenie rekomendacji, wzmocnienie zabezpieczeń i przygotowanie do przyszłych zdarzeń.

nFlo oferuje zarządzanie post-incydentem dla firm w Polsce, zapewniając profesjonalne wsparcie i zgodność z najlepszymi praktykami branżowymi.

Trzeci ransomware w rok - bo nie naprawili root cause

Firma doświadczyła ataku ransomware. Zapłacili okup, odzyskali dane, wrócili do pracy. 4 miesiące później - kolejny atak. I znów 6 miesięcy później. Za trzecim razem atakujący zażądali miliona dolarów. Nikt nie naprawił initial access vector - niezałatane CVE w VPN.

Bez analizy post-incydentem:

• Naprawiasz objawy, nie przyczynę - atakujący wracają
• Nie wiesz co dokładnie zostało skompromitowane
• Brak dokumentacji dla regulatorów (NIS2, RODO wymagają raportowania)
• Zespół nie uczy się na błędach i powtarza je

Forensics + RCA + Remediation = zamknięta sprawa

Nie zostawiamy Cię z raportem “co się stało”. Idziemy głębiej - dlaczego się stało, co zawiodło w obronie, jak to naprawić żeby nigdy więcej.

Co dostajesz:

• Timeline ataku: initial access → lateral movement → objectives
• Root Cause Analysis: dlaczego atak się powiódł (luki, błędy, braki)
• Artefakty atakującego: malware, narzędzia, IOC, TTPs
• Lessons Learned: warsztat z zespołem, wnioski organizacyjne
• Remediation Plan: priorytetyzowane działania naprawcze (technical + process)
• Raport dla regulatorów (UODO, CSIRT, zarządu)

Dla kogo?

Ta usługa jest dla Ciebie, jeśli:

• Doświadczyłeś incydentu bezpieczeństwa i chcesz zrozumieć co się stało
• Musisz raportować incydent do UODO, CSIRT, zarządu
• Chcesz zapobiec kolejnym atakom naprawiając root cause
• Potrzebujesz dokumentacji dla ubezpieczyciela lub audytorów
• Chcesz wyciągnąć wnioski organizacyjne (proces, ludzie, technologia)

Czego szukamy?

Timeline ataku - od początku do końca

Rekonstruujemy chronologię używając:

• Logi systemowe - Windows Event Logs, syslog, auth logs
• Logi sieciowe - firewall, proxy, IDS/IPS, NetFlow
• Logi aplikacyjne - web server, database, aplikacje biznesowe
• Forensics artefakty - MFT, registry, prefetch, USN journal
• Memory analysis - procesy, połączenia sieciowe, injected code
• Malware analysis - reverse engineering narzędzi atakującego

Root Cause - prawdziwa przyczyna

Nie poprzestajemy na “phishing”. Idziemy głębiej:

• Technical root cause - niezałatane CVE, błąd konfiguracji, słabe hasło
• Process failure - brak patch management, weak password policy
• Detection gap - dlaczego monitoring nie wykrył ataku
• Response failure - dlaczego incident response zawiódł lub był za wolny

MITRE ATT&CK mapping

Mapujemy działania atakującego do MITRE ATT&CK framework:

• Initial Access - phishing, exploit, stolen credentials
• Execution - malware, scripts, command execution
• Persistence - backdoors, scheduled tasks, registry
• Privilege Escalation - exploit, token manipulation
• Defense Evasion - disable AV, clear logs, obfuscation
• Credential Access - dumping, keylogging, brute force
• Lateral Movement - RDP, PSExec, WMI
• Collection - screen capture, clipboard, data staged
• Exfiltration - C2 channel, cloud storage, email
• Impact - ransomware, data destruction, defacement