כשמתגלה אירוע סייבר – כופרה, דלף נתונים, גישה לא מורשית – הלחץ הוא עצום. הדבר הכי מסוכן שאפשר לעשות הוא לפעול מתוך פאניקה, ללא תוכנית. 24 השעות הראשונות קובעות את מידת הנזק הסופי. הנה פרוטוקול ה-IR שאנחנו ממליצים עליו.
לפני הכל: אל תכבו כלום מיד
הרפלקס הטבעי הוא לכבות מכשירים. ברוב המקרים, זה טעות. ניתוח פורנזי דורש שהמכשיר יהיה בדיוק כפי שהיה בעת האירוע. לפני כל פעולה – תעדו, צלמו מסכים, שמרו לוגים.
שעה 0-1: זיהוי ואישור האירוע
לא כל alert הוא אירוע, ולא כל תקלה היא מתקפה. השלב הראשון הוא לאשר שאכן מדובר באירוע אבטחה, להבין את היקפו הראשוני, ולהפעיל את צוות ה-IR. בשלב הזה, אל תשתפו מידע מחוץ לצוות הגרעיני.
- 1זהו את מקור ההתראה – SIEM, משתמש, ספק, גורם חיצוני
- 2אשרו שמדובר באירוע אמיתי ולא False Positive
- 3הפעילו את Incident Response Team (IRT)
- 4פתחו War Room – ערוץ תקשורת ייעודי לאירוע
- 5תעדו את שעת הגילוי ואת כל ממצא ראשוני
שעה 1-4: הכלה ראשונית
המטרה בשלב הזה היא לעצור את ההתפשטות – לא לנקות הכל. בידוד מערכות נגועות, חסימת גישה לרשת, ושינוי credentials קריטיים הם הפעולות העיקריות. בדלף נתונים, בדקו האם הנתונים עדיין זורמים החוצה.
- בידוד מערכות נגועות מהרשת (Isolate, אל תכבו)
- שנו סיסמאות לחשבונות admins ו-service accounts
- הפעילו חסימת IP/domain של וקטורי התקיפה שזוהו
- בדקו ו-revoke tokens ו-API keys שעלולים להיות פגועים
- הפעילו Enhanced Monitoring על כלל הרשת
שעה 4-8: הערכה ותיעוד
כשהאש הראשונה כובה, מתחיל חלק ה"בלש". מה נגנב? מה הוצפן? מאיפה נכנסו? מה ה-timeline של האירוע? ניתוח פורנזי ראשוני, בדיקת לוגים, ומיפוי הנזק הם קריטיים לקבלת ההחלטות הבאות.
שאלות קריטיות לשלב הזה
מה ה-Initial Access Vector? האם התוקף עדיין בפנים? אילו מערכות ונתונים נפגעו? האם יש חובת דיווח רגולטורית (GDPR – 72 שעות, רגולציה ישראלית)?
שעה 8-24: תקשורת ושיקום מבוקר
ניהול התקשורת הוא חלק קריטי מהאירוע. מי מעדכן את ההנהלה? מתי מגיעים עורכי דין ויועצי PR? מה אומרים ללקוחות? גם אם אין לכם את כל התשובות עדיין – שתיקה מוחלטת היא בדרך כלל לא הגישה הנכונה.
- עדכנו הנהלה בכירה עם מידע מדויק – לא ספקולציות
- בדקו חובת דיווח לרגולטורים (GDPR, ביטוח, רשות הגנת פרטיות)
- הכינו הודעה ראשונית ללקוחות אם נדרש
- התחילו תהליך שיקום מבוקר – Clean systems first
- תעדו כל פעולה לדוח After-Action עתידי
ארגונים שמכינים Incident Response Plan לפני שמתרחש אירוע מפחיתים את זמן השיקום ב-55% בממוצע (IBM Cost of a Data Breach Report). ההכנה מתחילה עכשיו, לא כשהאסון כבר קרה.