Pređi na sadržaj
FIN-CSIRT
EN

FIN-CSIRT / Pretraga

Šta tražite?

Počnite unos da biste videli rezultate.
    Prijavi incident

    FIN-CSIRT / Praktična lekcija

    Sumnjate na zaražen uređaj?

    Zaustavite moguće širenje problema i izaberite oporavak koji odgovara uređaju.

    Korisnici onlajn i finansijskih uslugaOko 5 minuta čitanja + 3 pitanja
    Šta da uradite odmah Potrebna vam je pomoć odmah?

    Šta ćete naučiti

    • Kod aktivnog kompromitovanja prvo izolujte uređaj od mreže.
    • Za poslovni uređaj prepustite oporavak IT ili bezbednosnom timu.
    • Razlikujte proveru, čišćenje i oporavak iz pouzdane rezervne kopije.

    Zaustavite aktivan problem

    Ako vidite aktivnu daljinsku kontrolu, zahtev za otkup ili druge ozbiljne znake kompromitovanja, prekinite Wi-Fi i kablovsku mrežnu vezu. Nemojte povezivati rezervne diskove. Za poslovni uređaj odmah obavestite IT ili bezbednosni tim i prepustite im odluku o proveri, gašenju i oporavku.

    Sa drugog pouzdanog uređaja kontaktirajte banku ako su tokom incidenta bili izloženi bankarski podaci ili sumnjate na plaćanje. Ako je nalog možda ugrožen, pratite oporavak naloga.

    Zabeležite vreme i poruku ili fotografišite ekran. Pre brisanja ili resetovanja proverite šta treba sačuvati kao dokaz. Prijava FIN-CSIRT-u ne zamenjuje hitan kontakt sa bankom ili internim timom.

    Proverite znake, bez brzog zaključka

    Usporen rad, ponovno pokretanje i neobični prozori mogu imati različite uzroke. Nalaz poznatog zaštitnog programa treba ozbiljno proveriti; upozorenje na slučajnom sajtu nije isto što i taj nalaz.

    Ne pozivajte broj iz poruke koja nudi hitno čišćenje i ne omogućavajte pristup nepoznatoj osobi. Nenajavljeni pozivi „tehničke podrške” mogu biti prevara. Za pomoć samostalno otvorite zvaničnu podršku proizvođača ili kontaktirajte svog IT stručnjaka.

    Izaberite postupak prema uređaju

    Za rutinske provere i pripremu oporavka postoje vodiči na srpskom: Windows, Mac, Android i iPhone. Oni ne zamenjuju izolaciju aktivno ugroženog uređaja niti procenu IT tima.

    Privatni računar

    Pratite uputstva proizvođača operativnog sistema i postojećeg zaštitnog programa. Ažurirana antivirusna provera može pomoći u otkrivanju i uklanjanju malvera. Ako je uređaj izolovan zbog aktivnog incidenta, nemojte ga samostalno ponovo povezivati samo radi ažuriranja; tražite uputstvo za bezbedan nastavak.

    Ako problem ostaje ili alat ne može da ga ukloni, stručna pomoć ili nova instalacija sistema mogu biti potrebne. Čist nalaz jedne provere nije garancija da nema kompromitovanja.

    Telefon ili tablet

    Proverite zvanična uputstva proizvođača za konkretnu vrstu problema. Fabričko resetovanje može biti opcija, ali briše podatke. Pre početka proverite rezervne kopije, pristup nalogu i potrebne dokaze. Ne pretpostavljajte da resetovanje rešava svaki mogući uzrok.

    Vraćanje podataka

    Posle čišćenja ili nove instalacije koristite pouzdanu kopiju nastalu pre infekcije. Ne kopirajte naslepo sve sa zaraženog uređaja: tako se mogu preneti i zlonamerne datoteke.

    Posle oporavka

    Uključite ažuriranja sistema i aplikacija, održavajte zaštitu i pravite rezervne kopije koje ne ostaju stalno dostupne uređaju. Proverite šifrovanje uređaja radi zaštite podataka u slučaju gubitka; ono ne zamenjuje zaštitu od malvera. Ako se simptomi vrate, ponovo zatražite stručnu procenu.

    Primer za vežbu

    Iskačuća poruka nudi hitno čišćenje

    Iskačuća poruka nudi hitno čišćenje
    Iskačuća poruka nudi hitno čišćenje

    U pregledaču se pojavljuje upozorenje da je pronađeno mnogo virusa. Poruka traži poziv na prikazani broj i instaliranje programa za daljinsku pomoć.

    Izmišljen primer za vežbu.
    Pogledajte objašnjenje
    Poruka nije isto što i nalaz zaštitnog programa
    Sajt može prikazati izmišljeno upozorenje. Proveru pokrenite kroz poznat alat ili podršku.
    Daljinski pristup daje dodatnu kontrolu
    Ne omogućavajte ga nepoznatoj osobi na osnovu iskačuće poruke ili nenajavljenog poziva.

    Provera znanja · 3

    Kako biste postupili?

    Za svako prikazano pitanje izaberite jedan odgovor. Složenije lekcije pri svakom učitavanju biraju tri pitanja iz šire baze.

    Otvorite pitanje da pročitate odgovore i objašnjenja. Ovaj prikaz radi i bez JavaScripta.

    Na poslovnom laptopu vidite zahtev za otkup i menjanje datoteka. Koji je prvi korak?

    Zašto je ovo važno? Dok se datoteke menjaju, povezan uređaj može ugroziti i dostupne mrežne podatke ili rezervne kopije. Izolacija ograničava veze, a stručni tim procenjuje dalji oporavak i dokaze.

    1. Prekinuti mrežnu vezu i odmah obavestiti IT ili bezbednosni tim.Tačan odgovor

      Izolacija ograničava moguće širenje; tim vodi dalje postupanje i čuvanje dokaza. Prekid veze smanjuje mogućnost daljeg pristupa drugim sistemima; to je početna mera, a ne dokaz da je uređaj očišćen.

    2. Povezati rezervni disk da spasete sve datoteke.

      Povezivanje rezervne kopije može izložiti i nju. Zlonamerni program može dobiti pristup i priključenom disku, pa rezervna kopija može prestati da bude upotrebljiva za oporavak.

    3. Odmah samostalno vratiti fabrička podešavanja.

      Resetovanje može obrisati dokaze i podatke pre procene tima. Nepovratna promena pre pregleda može otežati utvrđivanje obima napada i vraćanje podataka važnih za posao.

    Posle problema antivirusna provera ne nalazi pretnju. Šta to znači?

    Zašto je ovo važno? Rezultat provere govori šta je ta provera pronašla, a ne sve što se ikada dogodilo na uređaju. Treba povezati nalaz sa simptomima i poznatim događajima, bez lažne sigurnosti ili zaključka da je sve ukradeno.

    1. Uređaj je garantovano bezbedan.

      Nijedna pojedinačna provera ne daje takvu garanciju. Pretnja može ostati neotkrivena, pa uporno sumnjivo ponašanje ne treba zanemariti samo zbog jednog nalaza.

    2. Sve lozinke na uređaju sigurno su ukradene.

      Negativan nalaz ne dokazuje krađu lozinki. Takav zaključak bi zahtevao dodatne dokaze o pristupu podacima; sama provera ga ne potvrđuje.

    3. Provera nije pronašla pretnju, ali uporne znake i dalje treba ispitati.Tačan odgovor

      Ako sumnjivo ponašanje traje, pratite zvanična uputstva ili tražite stručnu pomoć. Time zadržavate realnu granicu nalaza i nastavljate proveru onoga što još nije objašnjeno.

    Spremate se da obrišete i ponovo instalirate privatni računar. Šta proveravate pre toga?

    Zašto je ovo važno? Brisanje sistema može ukloniti i lične podatke i tragove potrebne za proveru incidenta. Ako bez procene vratite sve datoteke, možete vratiti i sadržaj koji je doprineo problemu.

    1. Samo da imate brz internet.

      Brzina veze ne rešava gubitak podataka ili dokaza. Veza može pomoći pri preuzimanju sistema, ali ne može vratiti jedinu kopiju datoteke koju ste obrisali.

    2. Posledice brisanja, potrebne dokaze i dostupnost pouzdane rezervne kopije.Tačan odgovor

      Brisanje može biti nepovratno; planirajte oporavak pre pokretanja. Plan unapred pokazuje šta ćete izgubiti, šta morate sačuvati i iz čega možete da obnovite rad.

    3. Da li možete kopirati sve sa zaraženog uređaja bez provere.

      Takvo kopiranje može preneti zlonamerne datoteke u obnovljen sistem. Rezervna kopija je korisna kada imate razlog da joj verujete; poreklo i sadržaj datoteka ostaju važni i pri vraćanju.

    Kviz možete da uradite bez registracije. Odgovori se ne šalju, a rezultat služi za ličnu proveru znanja.

    Zapamtite

    Kod aktivnog kompromitovanja prvo izolujte uređaj od mreže.

    Proverite naloge korišćene na uređaju

    Reference

    Izvori i dodatno čitanje

    Koraci za mobilne uređaje oslanjaju se na preporuke Nacionalnog CERT-a Republike Srbije za bezbedno korišćenje aplikacija. Izolacija ransomware incidenta i oporavak podataka dopunjeni su CISA vodičem (SAD) i NCSC smernicama za ugrožen uređaj (UK). Konkretni postupci čišćenja i resetovanja zavise od uređaja i proizvođača.

    Poslednja provera sadržaja