защита на информационните ресурси

Вирусите за Windows съществуват почти толкова дълго, колкото и самата операционна система. Затова Microsoft създаде Windows Security. 

Това антивирусно решение заема по-малко системни ресурси, предлага много функции и е безплатно. 

Ето какво трябва да направите, ако получите известие за открит вирус: 

Опция 1: Следвайте препоръката на Windows Security 

Влезте в списъка с приложения, като натиснете клавиша Windows или щракнете върху стартовото меню (долу в ляво). Изберете Windows Security (то е най-накрая, тъй като списъкът е подреден по азбучен ред).  

Можете да си спестите малко време, като използвате лентата на задачите в долния десен ъгъл и стартирате Windows Security от там. 

След като приложението се отвори, ще намерите засечения вирус в секцията Virus & Threat Protection. Кликнете върху бутона Start Actions. 

След като Windows Security завърши сканирането, ще ви преведе през стъпките за премахването на вируса, ако е открит такъв. 

Опция 2: Ръчно стартиране на разширено сканиране 

Стартирайте разширено сканиране, като изберете Scan Options в секцията Virus & Threat Protection. Ще се появи меню, което ви подканва да изберете какъв тип преглед искате да извършите. Възможностите са подредени във възходящ ред – от най-повърхностното към най-задълбоченото: 

• Quick Scan; 
• Full Scan; 
• Custom Scan (дава възможност да изберете конкретни файлове и директории);
• Microsoft Defender Offline Scan. 

За да започне сканирането, след като сте избрали една от четирите възможности, натиснете бутона Scan now. Ако бъде открит вирус или друг зловреден софтуер, Windows Security ще направи всичко възможно да го премахне автоматично. 

В случай, че софтуерът на Microsoft не реши проблема или искате да сте особено внимателни: 

• винаги проверявайте Task Manager (включва се с комбинацията ctrl-alt-del) за процеси, които заемат много ресурси; 
• oбмислете използването на инструменти за сканиране на трети страни. 

За да отговорят на очакванията на клиентите си за бързина и удобство, все повече фирми преминават към онлайн търговия. Те обаче не трябва да пренебрегват един нарастващ риск – кражбата на бизнес идентичност. Това важи с особена сила за B2B организациите. 

Наближаващият празничен сезон допълнително задълбочава този проблем. А фактът, че киберпрестъпниците стават все по-изобритателни, вдига неимоверно цената на потенциалните щети. 

Ето четири често срещани предизвикателства пред фирмите при кражба на идентичност и какво можете да направите, за да ги предотвратите. 

Кражбата на бизнес идентичност е сложен проблем 

Кражбата на бизнес идентичност често включва мащабни финансови измами, данъчни проблеми и манипулиране на веригата за доставки.  

Една от най-простите и често срещани тактики е подмяната на електронна поща. При нея престъпниците се представят за легитимен бизнес имейл. Те се стремят да измамят компаниите да прехвърлят средства или да изпратят стоки, като се представят за доверен партньор.  

Друга тактика е използването на фиктивни компании, които престъпниците създават и оставят да „остареят“, за да изглеждат легитимни. Някои от тях използват и неактивни, но реални фирми, за да придадат достоверност на схемите си.  

За да изпреварите тези тактики, можете да разчитате на модерни технологии като AI и машинно обучение. Те могат да следят за необичайно поведение и да откриват измамите, преди да са нанесли щети. 

Нарастващи разходи и финансови последици 

Кражбата на бизнес идентичност води до тежки финансови последици – от преките загуби до разходите за възстановяване на откраднатите средства. За съжаление, много предприятия успяват да възстановят само малка част от загубеното.  

С нарастващата сложност на тези престъпления възстановяването става все по-трудно и скъпо. За да се защитите, инвестирайте в надеждни решения за сигурност. 

Увреждане на репутацията и дългосрочни последици 

Последиците от кражбата на бизнес идентичност надхвърлят финансовите загуби. Когато се случи измама, тя може да разклати доверието на клиентите, партньорите и доставчиците и да подкопае доверието в бизнеса ви.  

След като дадена фирма веднъж е станала мишена, тя може да бъде изправена пред повторни атаки. Откраднатите данни често се препродават и използват повторно дори години по-късно.  

В някои случаи могат да последват правни или регулаторни санкции, което допълнително натоварва репутацията ви. Възстановяването може да отнеме години, а за някои предприятия загубеното доверие често никога не се възстановява напълно.  

Решаването на проблема с кражбата на идентичност е свързано не само с предотвратяването на непосредствени загуби. Трябва да имате постоянен фокус върху киберсигурността като критична част от вашия бизнес. 

Балансиране на сигурността и клиентския опит 

Фирмите трябва да намерят деликатен баланс между повишаването на сигурността и поддържането на безпроблемно обслужване на клиентите.  

Добавянето на допълнителни нива на сигурност, като MFA например, може да забави процеса на трансакциите. Пренебрегването на тези предпазни мерки обаче оставя бизнеса с широко отворени за атаки врати.  

Често срещана защитна мярка е ограничаването на локациите за доставка до проверени бизнес адреси, свързани с конкретни имейли. Но нападателите могат да излъжат притежател на такъв, да получат достъп и да правят поръчки от него. 

Предизвикателството тук е мерките за сигурност да се интегрират по начин, който не пречи на клиента. Можете да използвате системи за откриване на измами, които работят във фонов режим, без да пречат на покупките.  

Намерете точния експерт за предотвратяване на измами 

Борбата с измамите изисква много работа. Затова фирмите могат да се възползват от партньорства с външни експерти. Специалистите по киберсигурност предоставят експертните знания и инструменти, необходими за предпазване от нововъзникващи заплахи. В същото време компаниите могат да се съсредоточат върху основните си бизнес операции.  

Използването на външни доставчици за вземане на решения в реално време, оценка на риска и наблюдение на трансакциите помага на фирмите да останат една крачка пред измамниците.  

Mалките фирми и стартъпите са изправени пред някои допълнителни предизвикателства, когато става въпрос за киберсигурност. Те не разполагат с необходимия размер или бюджет, за да имат пълноценен специализиран екип по сигурността. В голяма част от случаите за нея отговаря един човек, който няма време да направи всичко нужно. Затова обикновено проблемите се решават само при възникване на необходимост. 

Но когато възникне подобна необходимост, вече е твърде късно. Установено е заразяване, открит е пробив или ransomware вече е криптирал критичните данни. 

Малките организации също така често не се смятат за мишена, но всъщност не е необходимо да сте такава, за да бъдете пробити или заразени.  

Ето осем съвета за заздравяване на киберсигурността на малките фирми и стартъпите, които ще им спестят много потенциални главоболия:  

1. Обучете екипа си

Всеки екип трябва да знае какво се очаква от него и какво да не прави. Направете киберсигурността важен въпрос за всички нива във вашата организация.  

Също така обаче определете лице, което да носи пряка отговорност. Разбира се, трябва да му осигурите времето и инструментите за изпълнение на тази задача. 

Обучението на всички служители трябва да бъде непрестанен процес. Научете ги да разпознават опитите за фишинг и какво могат и не могат да правят на хардуера, предоставен от фирмата.

2. Познавайте оборудването си

Важно е да сте наясно с вашето мрежово оборудване, крайни точки и устройства. Не само за да знаете какво трябва да бъде защитено, но и къде може да има слаби места. 

Обърнете специално внимание на устройствата, които се използват за работа от разстояние. Дайте ясно да се разбере, че смесването на работата и удоволствието на едно и също устройство крие рискове за сигурността. 

Редовно одитирайте средата си, особено ако сте бързо развиващ се малък бизнес. 

3. Инсталирайте пачове и актуализации възможно най-бързо

След като сте установили хардуера и софтуера във вашата среда, трябва да управлявате ефективно пачовете и уязвимостите. Ако нямата специализиран софтуер за това или не можете да възложите задачата на външен изпълнител, следете известните експлоатирани уязвимости. Сайтовете за киберсигурност като FreedomOnline са добър вариант за това. 

4. Подсигурете влизането в служебните платформи

Въведете строга политика за защита на важните ви активи със силни пароли и многофакторна автентификация (MFA). Използването на мениджъри за пароли също е добра идея. 

Критичните файлове и документи трябва да бъдат криптирани или съхранявани в папки, защитени с парола. 

5. Използвайте firewall и VPN

Firewall софтуерите защитават входната точка към мрежата, докато VPN създава криптиран тунел между различните мрежи. И двете защитават вашите ресурси. 

Сегментирайте мрежата си. По този начин тя се разделя на подмрежи, което позволява всеки сегмент да бъде защитен с различен набор от протоколи.

6. Защитете системите си

Уверете се, че всички ваши устройства са защитени с решения за киберсигурност. Логовете трябва да са лесни за обработка и разбираеми, независимо дали се достъпват от вашите собствени служители или тези на доставчика. 

7. Помислете за безопасността на веригата си за доставки

Фирмите трябва да разберат какво е нивото на защита на техните доставчици или други лица с достъп до ресурсите им. Ransomware е заразен, така че ако доставчиците станат жертва, вероятно и вие ще последвате тяхната съдба. Атаките по веригата на доставки могат да дойдат от най-доверения ви партньор и да бъдат катастрофални.  

Установете стандарти за нивата на достъп до активите ви на различните доставчици според техните специфики. 

8. Стратегия за реакция при инциденти

Когато възникне проблем със сигурността въпреки всичките ви усилия, трябва да имате готов план за овладяване и справяне с последствията. 

Уверете се, че разполагате с резервни копия на данните си, които са възможно най-актуални и лесни за внедряване. Създавайте резервни копия в среда, която не може да бъде ударена от същата атака, таргетирала основните ви системи. 

 

Докладът 2023 Threat Horizons на Google Cloud установява, че 86% от пробивите в киберсигурността  включват откраднати идентификационни данни. Впоследствие голяма част от тях се продават в dark web и се превръщат в инструмент за още и още киберпрестъпления. 

Тази статистика още веднъж напомня за ролята, която играят паролите, за високите нива на киберсигурност на потребители и организации. Те трябва да са възможно най-сигурни и трудни за пробиване.  

Ето на какви условия трябва да отговарят, според американските National Institute of Standards and Technology (NIST) и Cybersecurity & Infrastructure Security Agency (CISA):

Уверете се, че всичките ви пароли са достатъчно силни

Според NIST една парола е силна, когато е достатъчно дълга – минимум 15 символа. 64 символа е разумната максимална дължина. Тази поредица трябва да е случайна, със смесица от главни и малки букви, цифри и символи. Също така паролата не трябва да включва части от вашето име или името на услугата, която отключва. 

Експертите от NIST твърдят, че последните анализи на разбити бази данни с пароли показват, че наличието на по-дълга парола е много по-важно от опитите тя да бъде сложна.

Използвайте мениджър на пароли

Средностатистическият потребител има десетки пароли. Никой обаче не може да запомни дори шепа дълги, случайни и уникални такива. Нито пък се налага! Просто инсталирайте мениджър на пароли на всяко устройство. 

Тези софтуери незабавно създават наистина случайни пароли, запазват ги в криптирана база данни и синхронизират всичко на няколко устройства. 

И най-важното – те знаят кои домейни са свързани със запазения набор от идентификационни данни и няма да ги въведат в такъв, който не е оторизиран. 

Никога не използвайте повторно парола

Естествен човешки инстинкт е да имате любим набор от идентификационни данни, които да използвате многократно в различни сайтове. Това улеснява запомнянето, но също така гарантира, че нарушаването на сигурността в един сайт ще даде на нападателите достъп и до други ваши профили. 

Имайте предвид, че просто добавяне на възклицателен знак или число в края на старата парола не се счита за създаване на нова.  

Променете паролите по подразбиране

Един от най-обичайните начини за проникване в домашна или бизнес мрежа е през уязвимости в интерфейса за управление на някое устройство. Това може да бъде Wi-Fi рутер с неговата парола по подразбиране, която често е проста. IP-базираните камери и умните звънци за врати, които се инсталират като част от системата за домашна сигурност, също са възможни входни точки. 

Ако имате подобни свързани устройства в дома си, задължително заменете паролите по подразбиране с по-сигурни. 

Използвайте многофакторно удостоверяване, когато е възможно

Без значение колко силни са паролите ви и колко внимателно се опитвате да ги защитите от компрометиране, това се случва.  

Затова най-ефективната защита е да се гарантира, че никой не може да влезе в акаунтите ви от ново устройство, освен ако не може да предостави втора форма на идентификация. Затова използвайте многофакторно удостоверяване навсякъде, където това е възможно. Особено в услуги с висока стойност като електронна поща, социални медии и банкови сметки. 

Не променяйте паролите си, освен ако не се налага

Експертите са обединени, че постоянната смяна на паролите не е необходима. Всъщност организациите, които изискват от потребителите да променят паролата си без причина, правят мрежите си по-малко сигурни. Тази принуда кара хората в един момент да започнат да избират слаби, лесни за отгатване пароли. Ако сте си свършили добре работата по избора на силна и уникална парола, не е необходимо да я променяте при нормални обстоятелства. 

Свързаната с руските служби група Midnight Blizzard е стартирала нова spear phishing кампания срещу над 100 организации в Европа, Австралия и други региони.  

Тя е базирана на изключително целенасочени имейли и социално инженерство. Те идват от адреси на легитимни организации като Microsoft и AWS, които са били събрани по време на предишни атаки. Някои от тях са свързани със Zero-trust концепцията за киберсигурност.  

Имейлите, разкрити от Microsoft, са съдържали конфигурационен файл на Remote Desktop Protocol (RDP), подписан със сертификат LetsEncrypt. Зловредният прикачен файл съдържа няколко чувствителни настройки, които при активация водят до значително разкриване на информация.  

След като целевата система е компрометирана, тя се свързва с контролиран от нападателя сървър и картографира ресурсите на локалното устройство на таргетирания потребител. Информацията, изпратена към сървъра, може да идва от всички твърди дискове, клипборда, принтерите, свързаните периферни устройства, аудиото, както и функциите и средствата за удостоверяване на операционната система, включително смарт карти.  

За да ограничите риска да станете жертва на тази нова spear-phishing кампания: 

• използвайте Windows Firewall за ограничаване на опитите за изходяща RDP връзка към външни или обществени мрежи; 
• приложете многофакторно удостоверяване (MFA), но избягвайте методите, базирани на телефонно обаждане; 
• използвайте методи за удостоверяване, устойчиви на фишинг, като например FIDO Tokens или Microsoft Authenticator; 
• инвестирайте в усъвършенствани антифишинг решения, които наблюдават входящите имейли и посещаваните уебсайтове.  

На 17 октомври изтече крайният срок за транспонирането на NIS 2 в националните законодателства на страните от ЕС. Това, логично, постави директивата под светлините на прожекторите на Европейския месец на киберсигурността. Тя обаче далеч не е единствената стъпка на блока по отношение на сигурността на цифровите технологии от последните дни. 

Седмица по-рано Съветът на Европейския съюз прие законодателен акт, известен като Cyber Resilience Act (CRA). Неговата цел е да гарантира, че всички продукти с цифрови елементи, които се предлагат на пазара в ЕС, отговарят на определени основни изисквания за киберсигурност. В обхвата му влизат всевъзможни устройства – от играчки до уредите за умен дом. 

Изключения правят тези, за които вече съществуват специфични правила за киберсигурност, като медицински апарати, продукти за авиацията и автомобили.  

CRA е част от по-широката стратегия на ЕС за киберсигурност, която включва и други законодателни актове като EU Cybersecurity Act. Тези мерки са насочени към повишаване на общата киберустойчивост на блока за адекватна защита на потребителите и бизнеса от нарастващите киберзаплахи.  

 Cyber Resilience Act въвежда: 

• задължителни изисквания за киберсигурност за широк спектър от хардуерни и софтуерни продукти, които се свързват с комуникационните мрежи на страните членки или с други устройства;
• задължение на производителите да оценяват рисковете за сигурността и да предприемат подходящи мерки;
• ангажимент за компаниите да докладват за инциденти и уязвимости;
• система за сертифициране и маркировка за съответствие. 

Производителите на свързани устройства са задължени да започнат да предлагат съвместими със CRA продукти до 2027 г. В случай на несъответствие надзорните органи могат да изискат от тях да отстранят рисковете, както и да забранят или ограничат предлагането на продуктите им на пазара.  

Предвидени са и финансови санкции в размер на милиони евро или определен процент от общия световен годишен оборот за предходната финансова година. Те следва да бъдат заложени в националните законодателства. 

 

Днес, 17 октомври, изтича срокът за превръщане на Директива NIS2 в национално законодателство. Oганите на държавите членки вече могат да подвеждат под лична отговорност ръководителите на организациите, ако след киберинцидент се докаже груба небрежност.

Директивата категоризира критичните сектори като „съществени“ и „важни“ въз основа на размера и значението им за националната и европейска икономика. Всяко нарушение на нейните изисквания може да струва на „съществените“ организации до 10 милиона евро или 2% от световните годишни приходи. Максималната санкция за тези, определение като „важни“, е до 7 милиона евро или 1,4% от световните годишни приходи.

NIS2 задължава правоприлагащите агенции в държавите членки на ЕС да извършват проверки на сигурността, да издават предупреждения за нарушения и да докладват за инциденти в рамките на 24 часа. От националните екипи за спешно реагиране в областта на киберсигурността се изисква да споделят информация за киберзаплахи, уязвимости и пробиви.

Срокът за транспониране на директивата беше определен преди година от ЕП с цел страните членки да имат общи, пропорционални на рисковете и заплахите мерки за киберсигурност. Но приемането на нужното законодателство върви на различни скорости. Страните „отличници“ са  едва 6 – Белгия, Гърция, Унгария, Хърватска, Литва и Латвия.

България този път е в една група с европейските лидери Франция, Германия и Италия, но не като добър пример. Страната ни изостава с приемането на необходимата правна рамка. Въпреки че публичното обсъждане на новия ни Закон за киберсигурност приключи още в началото на август, той все още не е попаднал в дневния ред на парламента.

Очаква се към този закон да се появи и нова версия на Наредба за минимални изисквания за мрежова и информационна сигурност. В нея трябва да бъдат заложени конкретните мерки, които всяка организация в обхвата на NIS2 трябва да въведе.

Ясна перспектива кога ще се случи това няма, но липсата на национално законодателство не е основание да се избегнат евентуални санкции.

 

Използвате пароли от осем символа и си мислите, че акаунтите ви са защитени? Време е да ви разочаровам. Според доклада 2024 Password Table на IT компанията Hive Systems средното време, нужно на хакерите да разбият една подобна парола чрез brute force атака, е 37 секунди! 

В същото време в блога си лабораторията за киберсигурност Cisco Talos предупреждава, че броят на този тип атаки нараства значително през 2024 – тенденция, валидна за всяка една от последните години. 

Какво представляват brute force атаките? 

Brute force атаките са насочени срещу защитени с парола акаунти. При тях нападателят използва софтуер, който генерира множество последователни предположения за изключително кратко време, за да получи неоторизиран достъп до даден профил.  

Brute force атаките могат да бъдат изключително успешен инструмент в ръцете на хакерите. Особено ако не сте защитени от допълнителни мерки за сигурност. С увеличаването на сложността на паролата те стават по-малко практични заради експоненциалното нарастване на броя на възможните комбинации, но това единствено отнема повече време на нападателя. 

Видове brute force атаки 

За да стане ситуацията още по критична, brute force атаките са изключително разнообразни: 

• Обикновени brutе force атаки: Основната форма, при която нападателят ръчно опитва различни комбинации от знаци, цифри и символи, за да отгатне паролата. Този подход отнема много време и е неефективен, но работи изненадващо добре срещу слаби, предсказуеми пароли като „123456“ или „password123“. 
• Речникови атаки (Dictionary Attacks): Вместо случайни предположения, речниковите атаки използват предварително изготвени списъци с често срещани думи, фрази, вариации и изтекли пароли. Те могат да бъдат съобразени с миналото или интересите на целта и са значително по-бързи и по-ефективни от обикновените. Особено срещу потребители, които използват едни и същи пароли в различни акаунти. 
• Хибридни brute force атаки: Те съчетават двата гореописани подхода. Започват с по-малък списък от често срещани пароли, който след това се разширява със замяна на символи, вариации и др. 
• Reverse Brute Force: Тук нападателят вече има някаква информация за паролата, като например нейната дължина или специфични символи. Въз основа на тази информация той изгражда списъци с възможности, които увеличават скоростта и успеваемостта на атаката. 
• Подправяне на идентификационни данни (Credential Stuffing): Тази вариация включва използване на изтекли или откраднати двойки потребителски имена и пароли при пробиви в дадени платформи, които се изпробват в други такива. Тя разчита на факта, че много потребители използват едни и същи идентификационните данни в различни акаунти.  
• Rainbow Table Attacks (дъгови таблици): При тези атаки се използват предварително изчислени хешове на често срещани пароли и след това се сравняват с хешовата парола на целевата система. Въпреки че не разкрива директно паролата, успешното съвпадение я идентифицира в дъгова таблица. 
• Password Spraying: Вместо да се насочва към конкретни акаунти, при атака от този вид нападателят използва една парола срещу голям брой профили. Целта е да се използват слаби политики за защита или повторна употреба на пароли в различни платформи. Макар и не толкова целенасочена, тя може ефективно да идентифицира уязвими акаунти и да получи достъп до множество системи наведнъж. 
• Brute force атаки срещу RDP връзки: Протоколът за отдалечен работен плот (Remote Desktop Protocol – RDP) е популярен инструмент за отдалечен достъп до компютри. Нападателите могат да използват brute force техники, за да отгатнат идентификационните данни за вход в RDP и да получат неоторизиран достъп до отдалечената система. Това може да бъде врата за по-нататъшни атаки към мрежата или данните, съхранявани в нея. 

Как да се защитите? 

Същестуват различни начини да се защитите от brute force атаките. Част от тях включват политики за блокиране след определен брой неуспешни опити за вход, CAPTCHA, предназначени да предотвратят автоматичното подаване на заявки, както и многофакторна автентикация. 

Мениджърите на пароли са друг инструмент, който ограничава риска, тъй като ви помага да поддържате уникални, сложни пароли за различните платформи и услуги, които използвате. 

Също така, когато обмисляте с каква парола да защитите даден акаунт, заложете на дължината и използвайте различни символи. 

Не на последно място, не препоръчваме честа смяна на пароли, но когато имате и най-малкото съмнение, че някоя от тях е компрометирана, това е задължителна предохранителна мярка. 

Във вторник Microsoft пусна пачове за четири Zero-day експлойта и общо 79 уязвимости (7 от тях критични) в различни свои продукти. Тази актуализация е от решаващо значение за поддържане на сигурността на системите, използващи софтуер на компанията. 

Основните адресирани Zero-day уязвимости са: 

CVE-2024-43491: Microsoft Windows Update RCE – засяга стека за обслужване на Windows 10 версия 1507, като позволява отдалечено изпълнение на код след downgrade (връщане на версия) на операционната система.  

CVE-2024-38014: Windows Installer Elevation of Privilege Vulnerability – позволява на атакуващите да получат привилегии на системно ниво заради грешки в Windows Installer.  

CVE-2024-38226: Microsoft Publisher Security Feature Bypass Vulnerability – дава възможност на атакуващите да заобиколят макрополитиките в Microsoft Publisher, което може да доведе до изпълнение на неблагонадежни файлове.  

CVE-2024-38217: Windows Mark of the Web Security Feature Bypass Vulnerability – позволява на атакуващите да заобиколят предупрежденията за сигурност за файлове, изтеглени от интернет. 

Организациите и крайните потребители трябва да приложат тези актуализации незабавно, за да намалят потенциалните рискове.  

Финансовите загуби на компаниите при инциденти с киберсигурността растат с всяка изминала година. А много от тях никога не успяват да се възстановят. 

Често – и щетите, и възможността за възстановяване – зависят от наличието на план за реакция при инциденти. Това не е просто документ с етикет: „Отвори в случай на спешност!“. Той трябва да е основна част от стратегията за киберсигурност за всеки един бизнес и да се развива заедно с него и променящата се палитра от заплахи в киберпространството.  

Ето и основните компоненти на една подобна рамка: 

• Подготовка – ключов етап, в който правите оценка на текущата си позиция по отношение на сигурността, идентифицирате потенциалните заплахи и определяте ролите и отговорностите. Той включва и обучението на вашия екип.
• Откриване – в случай на инцидент, първата стъпка е да разпознаете, че нещо не е наред. Това включва наблюдение на системите за необичайна активност и наличие на протоколи, които да определят дали става въпрос само за дребен проблем или за нещо по-сериозно. 
• Ограничаване – след като веднъж сте хванали нарушителя, трябва да можете да предотвратите по-нататъшни щети, като го изолирате в една определена част от системата и отрежете достъпа му до по-широката инфраструктура.  
• Елиминиране на заплахата – следващата стъпка е да елиминирате заплахата. Това може да означава премахване на зловреден софтуер, изключване на компрометираните системи или дори отнемане на достъпа на определени потребители. Целта е да се гарантира, че заплахата е напълно неутрализирана. 
• Възстановяване – когато заплахата е елиминирана, фокусът се премества върху възстановяването на нормалното функциониране. Това може да включва възстановяване на данни от резервни копия, закърпване на уязвимости или възстановяване на системи. Използването на софтуери за одит на съответствието може да помогне за постигането на тези цели. Най-важното тук е да се гарантира, че всичко е сигурно, преди да се възобнови нормалната работа.
• Научени уроци – може би най-важната част от плана е това, което се случва, след като атаката е отбита и системите са възстановени. Задълбоченият преглед на инцидента може да предостави ценни сведения за това какво се е объркало и как да се предотврати повторното му възникване.  

Тази рамка е разработена от SANS Institute, американска компания за информационна сигурност с повече от век история, но тя не е единствена. Например, National Institute of Standards and Technology (NIST), който е част от Министерството на търговията на САЩ, определя четири основни стъпки – подготовка; откриване и анализ; ограничаване, елиминиране на заплахата и възстановяване; дейност след инцидента: 

Двете рамки са идентични, но има една съществена разлика. В стъпка три NIST смята, че ограничаването, елиминирането на заплахата и възстановяването се припокриват – т.е. не трябва да чакате да ограничите всички заплахи, преди да започнете да ги елиминирате. 

В професионалната общност има спор коя от двете основни рамки е по-добра, но всъщност това е въпрос на предпочитания, както и на ресурсите на вашата организация. Най-важното е да не се забравя, че създаването на план за реагиране при инциденти не е единичен акт, а непрекъснат процес, съобразен с постоянно променящата се среда на заплахите. 

А стриктното спазване на стандартизирани практики, като рамките на NIST и SANS Institute, гарантира наистина сигурни процеси при възникване на инциденти.