Тривогу перевірено, загрозу підтверджено — і тут починається найдорожча частина. Хтось мусить вирішити під тиском: вимикати сервер чи ні, коли говорити з клієнтами, як не знищити сліди зловмисника. Помилка в перші години коштує дорожче за саму атаку: після невдалого «прибирання» компанія часто втрачає і докази, і причину, а зловмисник повертається тим самим шляхом за місяць.
CSIRT: що це за команда
CSIRT (Computer Security Incident Response Team) — команда реагування на інциденти комп'ютерної безпеки. Її робота починається там, де закінчується виявлення: зрозуміти, що сталося, зупинити поширення, усунути причину, повернути системи до роботи й зробити висновки.
Чому «CSIRT», а не «CERT»
Обидві абревіатури вживають як синоніми, і по суті це той самий тип команди. Але CERT — зареєстрована торгова марка Університету Карнегі — Меллона (від 1997 року), і використання цієї назви потребує дозволу власника. Саме тому в стандартах, документах і фаховій літературі загальним терміном є CSIRT. Назвати так власний підрозділ можна без застережень.
Як цю команду називають українською
У документах, вакансіях і тендерах трапляються різні звороти:
- команда реагування на інциденти безпеки;
- команда реагування на комп'ютерні інциденти;
- команда реагування на інциденти кібербезпеки.
Усі три позначають те саме. Значення має не назва, а обсяг повноважень, записаний у регламенті команди.
CSIRT і SOC: хто що робить
Центр операцій спостерігає й виявляє: цілодобове чергування, розбір потоку тривог, підтвердження загрози (див. SOC: центр операцій). CSIRT діє, коли вже сталося.
У великих організаціях це різні підрозділи. У менших — ті самі люди, і це нормально. Ненормально інше: коли жодна з двох функцій ні за ким не закріплена. Як сигнал перетворюється на підтверджену загрозу — у матеріалі від події до інциденту.
Хто в кімнаті, коли все горить
- Координатор. Веде процес, тримає єдину картину, ухвалює рішення. Не найтехнічніша людина, а найдисциплінованіша: якщо координує найкращий інженер, він або не працює руками, або губить процес.
- Технічні аналітики. З'ясовують масштаб, шлях проникнення, зачеплені системи.
- Фахівець із цифрової криміналістики (форензики). Збирає й зберігає докази так, щоб вони лишалися придатними для подальшого використання.
- Адміністратори. Руки: ізоляція, відновлення, зміна доступів.
- Комунікації. Керівництво, працівники, за потреби — клієнти й партнери.
- Юрист. Правові наслідки, договірні зобов'язання, робота з правоохоронцями.
- Представник бізнесу. Той, хто має право сказати «зупиняємо продажі до вечора». Про цю роль забувають найчастіше, а без неї технічна команда годинами чекає дозволу.
Етапи: шість кроків
- Підготовка. План, ролі, контакти, доступи, навчання. Робиться заздалегідь — деталі в матеріалі план реагування на кіберінциденти.
- Виявлення й аналіз. Підтвердити загрозу, оцінити масштаб.
- Локалізація. Зупинити поширення.
- Усунення. Прибрати причину: шкідливе програмне забезпечення, скомпрометовані доступи, вразливість.
- Відновлення. Повернути роботу й переконатися, що загрози більше немає.
- Висновки. Розібрати випадок і виправити те, що дало збій.
Стандартну модель цього процесу описує ISO/IEC 27035. Далі — три кроки, де помиляються найчастіше й найдорожче.
Локалізація: три рішення під тиском
Вимикати чи від'єднувати?
Перший рефлекс — смикнути живлення. Це найгірший із можливих ходів. Вимкнення знищує вміст оперативної пам'яті, а саме там живуть активні з'єднання, запущені процеси, іноді ключі шифрування. RFC 3227 — базовий документ зі збору цифрових доказів — прямо застерігає: не вимикайте систему, доки докази не зібрано.
Правильний хід — від'єднати машину від мережі, лишивши її ввімкненою: витягнути кабель, перевести порт у карантинну підмережу, ізолювати через засоби захисту кінцевих пристроїв.
Закривати доступи — але всі відразу
Часткове блокування гірше за жодне: воно попереджає зловмисника й лишає йому запасні двері. Спершу складають повний перелік скомпрометованих облікових записів, ключів, токенів і точок входу — і лише потім закривають усе одночасно.
Коли говорити назовні
Зарано — говоритимете здогадками, які доведеться спростовувати. Запізно — за вас скажуть інші, і вже без ваших формулювань. Орієнтир простий: перше повідомлення виходить тоді, коли ви можете назвати три речі — що сталося, чого точно не сталося, що робите зараз.
Докази: порядок, у якому їх збирають
RFC 3227 упорядковує джерела за «летючістю» — від того, що зникає першим:
- регістри та кеш процесора;
- оперативна пам'ять, таблиця процесів, активні з'єднання, таблиця маршрутизації;
- тимчасові файлові системи;
- диски;
- журнали, що зберігаються поза враженою машиною;
- фізична конфігурація, топологія мережі;
- архівні носії.
Три практичні правила до цього переліку:
- не досліджувати «по живому» — знімати образ і працювати з копією;
- не довіряти програмам на зламаній машині — вони могли бути підмінені;
- вести журнал дій самої команди: хто, що, коли й з якого пристрою зробив.
Останній пункт недооцінюють, а він рятує двічі. По-перше, без письмової хронології через тиждень ніхто не відтворить послідовність подій. По-друге, саме він дозволяє відрізнити сліди зловмисника від слідів власних адміністраторів, які всю ніч щось перезапускали.
Відновлення: пастка резервної копії
Найпоширеніша помилка цього кроку — підняти систему з останньої копії. Якщо зловмисник був усередині два місяці, «остання копія» містить і його закладку. Тому відновлення починається з відповіді: коли саме почалася компрометація? І лише потім обирають точку відкату; копії, зроблені після цієї дати, перевіряють окремо або не використовують узагалі.
Друге правило: відновлену систему повертають у мережу з посиленим наглядом. Перші дні після відновлення — улюблений час повторної спроби: зловмисник перевіряє, чи вцілів його запасний вхід.
Комунікації: одна точка, один голос
Аудиторій три, і кожній потрібне своє:
- керівництво — масштаб, вплив на бізнес, потрібні рішення;
- працівники — що робити й чого не робити просто зараз;
- зовнішні — клієнти, партнери, за потреби регулятор.
Правило одне: один спікер, один узгоджений текст, власний канал — першим. Щойно версій стає дві, довіра зникає швидше за дані.
Куди повідомляти в Україні
- CERT-UA (cert.gov.ua) — урядова команда у складі Держспецзв'язку. Приймає звернення, допомагає з аналізом, надає індикатори.
- Кіберполіція — якщо йдеться про злочин: вимагання, шахрайство, незаконне втручання.
- Оператори критичної інфраструктури мають власний порядок звітування; координацію забезпечує НКЦК.
- Персональні дані. Чинний закон вимагає їх захищати, проте загального обов'язку повідомляти наглядовий орган у стислий строк (як 72 години в GDPR) в українському праві немає. Якщо ж компанія обробляє дані мешканців ЄС, GDPR застосовується з усіма його строками. Детальніше — у матеріалі витік даних: куди звертатися.
Один нюанс, вартий уваги. Наказ Держспецзв'язку № 87 від 03.02.2026 встановив вимоги до спроможності не лише CERT-UA, а й галузевих і регіональних CSIRT. Тобто в країні будують мережу команд, а не одну на всіх. Хто є хто в державному кіберзахисті — у довіднику держорганів.
П'ять помилок, які повторюють усі
- «Перевстановимо й забудемо». Систему піднято, причину не знайдено — зловмисник повертається тим самим шляхом.
- Часткова зміна паролів. Змінили те, що згадали; решта ключів і токенів лишилася чинною.
- Прибрали шкідливе, лишили вхід. Вебоболонка, службовий обліковий запис, правило пересилання пошти — типові «чорні ходи», які переживають будь-яке чищення.
- Розслідування «між іншим». Люди паралельно тягнуть поточні задачі, і жоден крок не доведено до кінця.
- Немає письмової хронології. Через тиждень усе тримається лише в чиїйсь пам'яті.
Якщо власної команди немає
Формальний підрозділ не обов'язковий із першого дня. Обов'язковим є мінімум:
- призначені відповідальні — хто координує, хто виконує технічно, хто говорить назовні;
- записаний порядок дій і контакти, доступні офлайн;
- домовленість про зовнішню допомогу заздалегідь. Договір, який підписують під час атаки, обходиться дорожче й забирає добу, якої в компанії немає;
- знання, куди звертатися — CERT-UA, кіберполіція, ваш підрядник.
Це вже незрівнянно краще за імпровізацію в момент атаки. Якщо потрібна зовнішня команда — фахівці з реагування готові підключитися.