ГОСТ Р 59712—2022
К примерам возможных действий, которые могут быть выполнены для ликвидации последствий
компьютерного инцидента, приведшего к негативным последствиям на уровне сети, можно отнести:
а) внесение изменений в параметры настроек ОС, средств защиты информации и прикладного
ПО, функционирующего в информационных ресурсах, вовлеченных в компьютерный инцидент;
б) отключение неиспользуемых функций телекоммуникационного оборудования (например, от
ключение уязвимых сервисов или протоколов, которые использовались для распространения вредо
носного ПО);
в) смена аутентификационной информации скомпрометированных учетных записей пользова
телей:
1) на телекоммуникационном оборудовании;
2) средствах межсетевого экранирования;
3) средствах защиты от компьютерных атак, направленных на отказ в обслуживании;
г) внесение изменений в правила фильтрации межсетевых экранов;
д) внесение изменений в параметры очистки трафика в средствах защиты от компьютерных атак,
направленных на отказ в обслуживании;
е) подключение резервных ресурсов (каналы связи, серверное оборудование, виртуальные ма
шины, оборудование из состава запасных инструментов и принадлежностей);
ж) миграция (перемещение) виртуальных машин в сторонние виртуальные инфраструктуры.
К примерам возможных мер, которые могут быть приняты для ликвидации последствий компью
терного инцидента, приведшего к негативным последствиям на уровне прикладного ПО, можно отнести:
- выполнение настройки безопасной конфигурации прикладного или специального ПО, вовлечен
ного в компьютерный инцидент;
- восстановление из актуальных резервных копий файлов, баз данных, конфигурационных фай
лов, подвергшихся модификации при компьютерном инциденте;
- восстановление удаленных файлов, в том числе с использованием специальных инструмен
тальных средств;
- удаление ПО, вовлеченного в компьютерный инцидент, и всех его файлов с последующей уста
новкой актуальной версии данного ПО и актуальных обновлений безопасности.
К примерам возможных мер, которые могут быть приняты для ликвидации последствий компью
терного инцидента, приведшего к негативным последствиям на уровне ОС, можно отнести:
- удаление вредоносного ПО;
- отмена изменений, внесенных вредоносным ПО (например, удаление созданных вредоносным
ПО файлов, отмена выполненных изменений в конфигурации и настройках ОС, удаление созданных
вредоносным ПО учетных записей);
- смена аутентификационной информации для скомпрометированных учетных записей пользо
вателей в ОС;
- восстановление средств защиты информации, функционирующих в среде ОС;
- восстановление ОС в целом;
- настройка безопасной конфигурации средств защиты информации, функционирующих в среде
ОС;
- настройка безопасной конфигурации ОС;
- переустановка ОС и прикладного ПО с последующей установкой актуальных обновлений без
опасности.
6.6 Закрытие компьютерного инцидента
Решение о закрытии компьютерного инцидента принимается по результатам проверки специали
стом, ответственным за реагирование на компьютерный инцидент (руководителем рабочей группы ре
агирования на компьютерный инцидент), в ходе которой определяется полнота выполненных и запро
токолированных действий по реагированию на компьютерный инцидент, выполненных на каждом этапе
реагирования на компьютерный инцидент.
Карточки компьютерных инцидентов после закрытия соответствующих компьютерных инцидентов
не должны удаляться, так как они могут быть использованы в дальнейшем как типовые шаблоны дей
ствий по реагированию на аналогичные компьютерные инциденты и при проведении анализа деятель
ности по их управлению.
10