РАЗПОЗНАВАНЕ
Възможни признаци
Един симптом сам по себе си не потвърждава пробив. Запишете какво наблюдавате и го проверете с отговорния екип.
- Уебсайт, API или друга публична услуга е бавна или недостъпна за много потребители.
- Има внезапен ръст на заявки, връзки или натоварване според доставчика.
- Мониторингът показва грешки по мрежата, DNS, балансатора или приложението.
- Някои услуги работят, а други на същата инфраструктура се забавят или прекъсват.
ПЪРВИ ДЕЙСТВИЯ
Какво да направите сега
- 01
Потвърдете обхвата и началния час
Проверете от независими мрежи и съпоставете мониторинга. Запишете кои услуги и региони са засегнати и кога е започнал проблемът.
- 02
Свържете се с хостинг, облак и мрежов доставчик
Използвайте официалните канали за инциденти. Поискайте проверка на трафика, DNS, балансатора и приложението, а също и наличните механизми за защита.
- 03
Не правете резки мрежови промени сами
Блокиране на широки диапазони, промяна на DNS или спиране на услуги може да увеличи прекъсването. Филтрирането и пренасочването трябва да са съгласувани с доставчика и собственика.
- 04
Поддържайте бизнес комуникацията
Подгответе потвърден канал за статус към служители и клиенти. Използвайте кратки, проверени факти и не обещавайте срок за възстановяване, докато той не е потвърден.
НАСОКИ ЗА РЕАКЦИЯ
Потвърдете дали е DDoS
Недостъпността не доказва DDoS. Причината може да е повреда при доставчик, претоварена база данни, промяна в приложението, DNS проблем или комбинация. Съпоставете данните от външен мониторинг, доставчика и вътрешните метрики. Проверете дали проблемът засяга мрежовия слой или само конкретна функционалност.
Определете кои услуги са критични и кой има право да одобри промени. Отбележете времевата линия, грешките, пиковете в метриките и предприетите действия. Не публикувайте вътрешни адреси и детайли, които могат да увеличат риска.
- Запазете графики и журнали с часовата зона и периода.
- Разделяйте потвърдените наблюдения от предположенията за причината.
НАСОКИ ЗА РЕАКЦИЯ
Работете с доставчика за ограничаване
Мрежовият или облачният доставчик може да вижда трафик и да предлага филтриране, кеширане, rate limiting или пренасочване през защитна услуга. Изборът зависи от вида трафик и архитектурата. Избягвайте импровизирани промени по DNS, ACL или маршрути, които блокират легитимни потребители или затрудняват диагностиката.
Проверете дали има отделен отказ на приложението, база данни, DNS или удостоверяване. Доставчиците трябва да координират действията, за да е ясно кой променя конфигурацията и как се връща назад при проблем.
- Използвайте предварително договорения канал за спешна поддръжка.
- Записвайте всяка промяна, одобрението и наблюдавания резултат.
НАСОКИ ЗА РЕАКЦИЯ
Намалете ефекта върху клиентите
Ако е възможно, активирайте предварително планиран режим за деградация: временно ограничаване на тежки функции, статична статус страница или алтернативен процес за критични операции. Тези решения трябва да са одобрени и проверени, особено ако включват клиентски данни или плащания. Давайте актуализации по канали, които остават достъпни.
Не обещавайте конкретен срок и не твърдете, че инцидентът е приключил само защото трафикът е спаднал. Наблюдавайте услугите след възстановяването и изчакайте доставчиците да потвърдят стабилност.
- Посочете кои функции са засегнати и къде се публикуват актуализации.
- Ескалирайте финансови или лични данни, ако има и признаци за неоторизиран достъп.
НАСОКИ ЗА РЕАКЦИЯ
След инцидента и контакт със SOC.bg
След стабилизиране съберете отчетите от доставчиците, времевата линия и метриките. Оценете капацитет, отказоустойчивост, DNS и процеса за ескалация. DDoS може да съвпадне с опити за проникване или да прикрива друга активност, затова прегледайте и сигналите за входове и промени, без да приемате автоматично, че това се е случило.
Инфосек Груп може да проведе първоначален разговор за наличните показатели и договорения обхват на услугите. Контактът със SOC.bg не означава автоматично договор, поемане на случая или 24/7 дежурство.
- Пишете на contact@soc.bg или се обадете на +359 876 830 388.
- Не изпращайте тайни, токени или незащитени технически журнали.
ЧЕСТО ЗАДАВАНИ ВЪПРОСИ
Кратки отговори
Как да разбера дали проблемът е DDoS?
Съпоставете външната достъпност, метриките на мрежата и приложението и данните от доставчика. Забавяне само по себе си не е достатъчно, за да се установи DDoS.
Да блокирам ли подозрителните IP адреси?
Не блокирайте широки диапазони самостоятелно. Съгласувайте филтрирането с мрежовия доставчик и собственика, защото може да прекъснете легитимен трафик.
Може ли DDoS да прикрива друг инцидент?
Възможно е да има паралелна активност, но това не следва автоматично от недостъпността. Проверете журналите за входове и промени, докато възстановявате услугата.
ОФИЦИАЛНИ НАСОКИ