mk mk hbs_cyr mk en mk ru hbs_cyr hbs_cyr mk mk mk mk mk ru en en mk mk bg hbs_lat mk mk mk mk ru mk ru mk mk mk ru mk en hbs_cyr mk en mk ru hbs_cyr hbs_cyr mk mk mk mk mk ru en en mk mk bg hbs_lat mk mk mk mk ru mk ru mk mk mk ru mk mk mk mk mk mk ru hbs_cyr mk mk mk mk mk ru mk mk mk mk ru mk ru mk mk mk mk mk mk ru mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk hbs_cyr mk mk mk mk mk mk mk mk uk bg mk mk mk mk mk mk hbs_cyr hbs_cyr mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk mk en mk es es eo tr es mk mk en mk mk mk mk mk ru mk mk en en mk mk mk mk hbs_cyr mk mk mk mk mk mk mk mk mk fr ru hbs_cyr mk mk hbs_cyr mk hbs_cyr hbs_cyr mk hbs_cyr en hbs_lat zh mk
Упатство за постапување по DDoS напади – MKD-CIRT
сабота , 1 октомври 2022
Образец за пријава на инцидент
Работилница за Координација и комуникација при одговор на инциденти за компјутерска безбедност, 15-17 октомври 2019
CyberMK2022 Cybersecurity Conference, Online WebEx Event, 24.02.2022
Соодветни содржини и заштита на лични податоци
MKD-CIRT National Centre for Computer Incident Response
Образец за пријава на инцидент
Работилница за Координација и комуникација при одговор на инциденти за компјутерска безбедност, 15-17 октомври 2019
CyberMK2022 Cybersecurity Conference, Online WebEx Event, 24.02.2022
Соодветни содржини и заштита на лични податоци
Упатство за постапување по DDoS напади
април 18, 2020 Бизнис корисници 1,790 Views
Овој документ содржи насоки за справување со (Distributed) Denial of Service тип на напади.
Постапката за справување со DDoS напади ја следи стандардната процедура за справување со било кој тип на напади, поделена во следните фази:
Оваа методологија за одговор на инциденти содржи конкретни чекори како дел од процедура што треба да се прилагоди и имплементира во организацијата, и е наменета за:
Центри за безбедносна оперативна поддршка (SOC – Security Operations Centre)
Лица одговорни за информациска безбедност во организација (CISO – Chief Information Security Officer) и невни заменици
CERT тимови (тим за одговор при компјутерски или сајбер инциденти)
Запомнете: Ако се соочите со инцидент, можете да ја следите процедурата во продолжение, по нејзино претходно прилагодување на вашата организација.
Пријавувајте инциденти до MKD-CIRT на info@mkd-cirt.mk
Цел: Воспоставете контакти, дефинирајте процедури и и соберете информации за да заштедите време во тек на нападот.
Поддршка од давателот на Интернет услуги / (ISP,Интернет провајдер)
Контактирајте го вашиот интернет провајдер за да се запознаете со услугите за ублажување на DDoS напади што ги нуди (бесплатни и платени) и која е постапката што треба да ја следите за користење на тие услуги. Повеќете ISP како дел од услуга за користење на дедицирани јавни IP адреси и Интернет пристап, нудат и можност за користење на дополнителни услуги за заштита на корисниците вклучително и заштита од преоптоварување на инфраструктурата преку која ја давате вашата услуга со огромен број на барања како DDoS напади.
Ако е можно, користете редундантна Интернет конекција, по можност од друг ISP.
Ако е можно, претплатете се на услуга за превенција на DDoS напади кај вашиот ISP.
Воспоставете контакти со вашиот интернет провајдер и органите за спроведување на законот. Осигурете се дека имате можност да користите дополнителни (out-of-band) канали за комуникација со нив, како на пример фиксен и мобилен телефонски број.
Креирајте список на т.н. whitelist (дозволени или добри) IP адреси и протоколи што мора да ги пропуштите и на тој начин да воведете приоретизирање на сообраќајот за време на напад. Не заборавајте да вклучите вашите критични клиенти, клучни соработници и други корисници на услугите кои треба да имаат приоритет во користење и достапност.
Документирајте ги деталите за ИКТ инфраструктурата, вклучително и сопственици на деловни активности, IP адреси, поставки за рутирање (AS, итн.); Подгответе дијаграм за мрежна топологија и попис на ИКТ средства.
Дизајнирајте ја мрежната инфраструктура на тој начин што ќе се избегне постоење на единствена точка за прекин (анг. Single Point of Failure) и тесно грло заради недоволен капацитет за пренос на податоци.
Дистрибуирајте ги вашите DNS сервери и другите критични услуги (SMTP, итн.) низ различни AS.
Зголемете ја безбедноста (анг. Hardening) на конфигурацијата на мрежата, оперативните системи и делови на апликациите што може да бидат цел на DDoS напади.
Проценете и евидентирајте ги ефикасноста и перформансите на вашата моментална инфраструктура, за да можете побрзо и попрецизно да го идентификувате нападот. Доколку е потребно воведете дополнителни процесирачки капацитети на серверската опрема и зголемете ја пропусноста на вашата Интернет конекција (анг. bandwidth) со што ќе постигнете поголема отпорност и флексибилност во достапноста на услугата преку Интернет.
Ако вашата деловна активност е зависна од Интернет, размислете за купување специјализирани производи или услуги за намалување на DDoS. Побарајте ги овие услуги од вашиот Сериозен и квалитетен ISP задолжително во својата понуда има услуги за заштита од DDoS напади.
Проверете ги поставките за DNS time-to-live на системите што може да бидат нападнати. Доколку е потребно намалете ги вредностите за TTL, за да се олесни DNS пренасочување во случај на напад на оригиналните IP адреси. Препорака е вредноста на TTL да е 600s.
Во зависност од критичноста на вашите услуги, размислете за поставување резервна копија што можете да ја вклучите во случај на преоптовареност или недостапност на примарната ИКТ опрема и инфраструктура преку која се дава услугата.
Воспоставете контакти и дефинирајте робусни канали за комуникација меѓу вашите тимови за поддршка за IDS, firewall, системска и мрежна поддршка.
Соработувајте внатре во организацијата за да ги разберете импликациите што недостапност на услуга заради DDoS напад може да ги има врз работењето на организацијата (на пр. загуба на пари или репутација).
Вклучете ги вашите тимови за BCP / DR (анг. Business Continuity Planning / Disaster recovery) во процесот за справување со DDoS напади.
Фазата на „Подготовка“ се смета за најважниот елемент во успешна реакција на DDoS инцидент.
Цел: Откривање на инцидентот, утврдување на неговиот опфат и вклучување на соодветните страни.
Треба да го разберете логичкиот проток на DDoS нападот и да ги идентификувате инфраструктурните компоненти погодени од нападот. Вообичаено место за почеток на анализата се логови од активна мрежна опрема како firewall, router, како и анализа на пристапни логови на серверско и апликациско ниво.
Разберете дали сте цел на нападот или колатерална жртва
Прегледајте ги датотеките за оптоварување и најавување на сервери, рутери, firewall-и, апликации и другата погодена ИКТ инфраструктура.
Идентификувајте ги карактеристиките според кои мрежниот сообраќај што е резултат на DDoS напад се разликува од нормалниот (вообичаен) сообраќај, како на пример:
Изворни IP адреси, AS, итн.
Примери за алатки за мрежна анализа и преглед на сообраќај се:Tcpdump, Tshark, Snort, Argus, Ntop, Aguri, MRTG
Доколку е можно, креирајте т.н. NIDS (Network Intrusion Detection Systems) потпис за да ги разликувате злонамерниот и нормалниот мрежен сообраќај.
Вклучете внатрешни и надворешни соработници
Контактирајте ги вашите внатрешни тимови за да дознаете дали и на кој начин тие го детектираат и чувствуваат нападот.
Контактирајте го вашиот интернет провајдер за да побарате помош. Бидете конкретни во барањето за информација за сообраќајот што сакате да го контролирате:
Известете го раководството и правните тимови во вашата организација.
Проверете ја позадината на нападот
Дознајте дали организацијата добила закани за изнуда (анг. Ransom) пред самиот напад.
Проверете дали некој би имал интерес да се заканува на вашата организација:
Идеолошки мотивирани групи (хактивисти)
Цел: Ублажување на ефектите на нападот врз целното опкружување.
Ако тесното грло е одредена карактеристика на некоја апликација, привремено оневозможете ја истата.
Обидете се да го блокирате сообраќајот на DDoS што е можно поблизу до ИКТ инфраструктурата преку која се дава услугата што е цел на DDoS напад, преку користење и подесување на рутер, заштитен ѕид, уред за балансирање на оптоварување, специјализиран уред, итн.
Прекинете ги несаканите поврзувања или процеси на серверите и рутерите и променете ги поставките за TCP / IP.
Ако е можно, префрлете се на алтернативна ИКТ инфраструктура користејќи DNS или друг механизам како sinkhole или blackhole рутирање на сообраќајот насочен кон оригиналните IP адреси.
Поставете алтернативни комуникациски канали помеѓу вас и вашите корисници / клиенти (на пр.: веб-сервер, сервер за е-пошта итн.)
Ако е можно, насочете го сообраќајот преку услуга или уред за филтрација (traffic-scrubbing) преку DNS или со измени во рутирање (на пр.: sinkhole рутирање)
Конфигурирајте ги филтрите за е-пошта за да го блокираат сообраќајот што вашите системи може да го испратат како одговор на сообраќајот што е резултат на DDoS нападот (на пр.: backsquatter сообраќај). Ма тој начин ќе се спречи додавање на непотребни пакети и оптоварување во мрежната комуникација.
Во случај на обид за изнудување (ransom) од страна на криминалци, обидете се да добиете на време. На пример, објаснете дека ви треба повеќе време за да добиете одобрение од раководството и слично.
Ако гушењето (тесно грло) е на страната на интернет провајдерот, само интернет провајдер може да преземе ефикасни активности. Во тој случај, соработувајте со вашиот интернет провајдер и осигурете се дека на ефикасен начин споделувате комплетни информации по кои ќе може да се постапува.
Цел: Преземање активности за да се запре состојбата на недостапност на услуга настаната заради DDoS напад.
Контактирајте го вашиот интернет провајдер и осигурајте дека спроведува мерки за санација. Следува информативна листа на мерки за санација:
Филтрирање (ако е можно на ниво Tier 1 или 2)
Филтрирање на сообраќајот (Traffic-scrubbing/ Sinkhole/ Clean-pipe)
Blackhole рутирање/насочување на сообраќај
Ако се идентификувани DDoS напаѓачите, размислете за вклучување на органот за спроведување на закон (МВР). Ова треба да се направи по насоки добиени од раководството и правниот тим во организацијата.
Во повеќето случаи, техничките активности за санација најчесто можат да бидат спроведени од страна на вашиот интернет провајдер.
Цел: Враќање во претходната функционална состојба.
Проценете го крајот на DDoS нападот
Осигурете се дека услуги погодени од нападот се повторно достапни.
Осигурете се дека перформансите на вашата ИКТ инфраструктура се вратени на почетна. Т.е. нормална состојба според оптоварување и тип на сообраќај.
Вратете ги системите во режим на нормално работење
Вратете го сообраќајот на вашата оригинална/примарна мрежа.
Вклучете ги запрените услуги и сервиси.
Осигурете се дека постапките поврзани со закрепнувањето се усогласени со другите тимови вклучително и тие за ИКТ поддршка и одржување, како и тимовите за BCP и DR.  Повторното активирање на исклучените услуги може да има неочекувано влијание, затоа е потребна коориднација.
Цел: Документирајте ги деталите за инцидентот, дискутирајте за научените лекции и прилагодете ги плановите и одбраната.
Разгледајте кои чекори за подготовка би можеле да ги преземете за побрз и поефикасен одговор на инцидентот.
Доколку е потребно, прилагодете ги претпоставките што влијаеле врз одлуките донесени за време на DDoS нападот.
Проценете ја ефективноста на вашата процедура за одговор на DDoS напад, вклучително и активностите на луѓето и комуникацијата.
Размислете за односите и комуникацијата во и надвор од вашата организација и како тие може да се подобрат со цел да помогнат во справување со идните инциденти.
Соработувајте со правниот тим во организацијата доколку е во тек правна или законска постапка.
Previous Повеќе од 500000 кориснички сметки за Zoom откриени и достапни на дарквеб и хакерски форуми
Next Фишинг кампања таргетира македонски корисници со лажно претставување како да е испратена од полиција.
Насоки за безбедност на веб-сервери
Веб-серверите често се цел на напади и обиди за експлоатација. Неправилното конфигурирање и на веб-серверите …
НАЦИОНАЛНА ТАКСОНОМИЈА ЗА САЈБЕР ИНЦИДЕНТИ в1.0
За пријава на инцидент преку веб-страницата, Ве молиме пополнете го образецот.
adware Android authentication botnet Chrome cyber security DDoS Decryptor e-banking e-mail EEA exploit extension Facebook Firefox Google Play IIS IoT keylogger Linux Mac macOS macro malware Messenger Microsoft Microsoft Edge Microsoft Office OSx patch PDoS ransomware Samba SMS spyware SS7 vunerability WannaCry WannaCrypt Windows Windows Defender Word
Насоки за безбедност на веб-сервери
Упатство за постапување по DDoS напади
Онлајн обука за заштита од фишинг напади
Онлајн обука и совети за користење на лозинки
Заштита на вашата организација од малициозен софтвер
Агенција за електронски комуникации
Национален центар за одговор на компјутерски инциденти
Кеј Димитар Влахов 21
Телефон: +389 2 3091 232
Агенција за електронски комуникации
Министерство за информатичко општество и администрација
© 2022, Национален центар за одговор на компјутерски инциденти