Het eerste uur: wat je doet, en vooral wat niet

De eerste tien minuten: is dit echt

De reflex bij een melding is handelen. Dat is de verkeerde reflex, want het overgrote deel van wat er binnenkomt is geen incident: een verlopen certificaat, een update die misging, een medewerker die op vakantie is en vanuit een ander land inlogt.

Begin daarom met drie vragen, en houd ze schriftelijk bij vanaf minuut één:

• Wat zie je precies, en waar? Niet "de server doet raar" maar welke melding, op welk systeem, hoe laat. Dat tijdstip is later de eerste regel van je tijdlijn.
• Breidt het zich uit? Eén werkplek met versleutelde bestanden is iets anders dan drie afdelingen tegelijk. Het verschil bepaalt of je indamt of eerst verder kijkt.
• Wie heeft er al iets gedaan? Meestal heeft iemand al herstart of iets verwijderd voordat de melding bij jou kwam. Dat moet je weten, want het verklaart later waarom een spoor ontbreekt.

Schrijf alles op met tijdstippen erbij — in een gedeeld document of desnoods op papier, maar niet in het systeem dat mogelijk besmet is. Die aantekeningen zijn geen bureaucratie: ze zijn wat je verzekeraar, je toezichthouder en je eigen mensen over drie weken nodig hebben, en niemand kan ze achteraf reconstrueren.

Wijs in deze fase ook één iemand aan die de leiding heeft. Niet de beste technicus — die heb je nodig aan de techniek — maar iemand die overzicht houdt, besluiten neemt en de telefoon aanneemt. Zonder die rol praten er na twintig minuten vijf mensen door elkaar.

Wat je niet doet, en waarom

Dit is het belangrijkste deel van dit artikel, want de dure fouten in het eerste uur zijn bijna allemaal goedbedoeld.

• Niet uitzetten. De stekker eruit trekken voelt als de veiligste zet en het wist het werkgeheugen. Daar staat vaak het enige bewijs van wat er draaide en hoe het binnenkwam. Haal het apparaat van het netwerk — kabel eruit, wifi uit — en laat het aan. De uitzondering is een versleuteling die zichtbaar bezig is en die je niet anders kunt stoppen; dan weegt de schade zwaarder dan het spoor.
• Niet opnieuw installeren. Een systeem dat je meteen platgooit en terugzet, is een systeem waarvan je nooit zult weten hoe de aanvaller binnenkwam. Dan sluit je het gat niet en staat hij er over twee weken weer.
• Niet rondkijken op het besmette systeem. Inloggen met een beheerdersaccount om "even te kijken" zet die inloggegevens op een machine die in handen van een ander is. Zo maakt een onderzoekende beheerder een besmetting van één werkplek tot een besmetting van het domein.
• Niet meteen betalen, en niet meteen onderhandelen. Dat is een besluit voor de directie samen met je verzekeraar, en het is niet iets wat je in het eerste uur neemt. Betalen geeft bovendien geen garantie dat je iets terugkrijgt, en er zitten juridische haken aan wie er aan de andere kant zit.
• Niet zwijgen tegen de directie. De verleiding om eerst te kijken of het meevalt is groot en de uitkomst is altijd dezelfde: de directie hoort het te laat en moet dan zowel het incident als het uitstel uitleggen.

Er is één ding dat je wél meteen doet, en dat is je back-ups beschermen. Bij een gerichte aanval zijn die het eerste doelwit, omdat een versleuteling zonder herstelmogelijkheid pas echt drukmiddel is. Controleer of je onveranderbare kopie nog staat en koppel de back-upomgeving los van het netwerk waar het probleem zit. Waarom dat een kopie moet zijn die niemand kan wissen, staat in onveranderbare back-up.

Indammen zonder alles plat te leggen

Zodra vaststaat dat het echt is, gaat het om afsnijden. Het doel is niet opruimen — dat komt later — maar voorkomen dat het zich verder verspreidt.

In de volgorde waarin het meestal werkt:

• Netwerk vóór apparaat. Een besmet segment afsluiten aan de switch of de firewall gaat sneller dan langs twintig werkplekken lopen, en het houdt de systemen aan.
• Accounts vóór machines. Bij vrijwel elk incident is er een account overgenomen. Wachtwoorden van beheerders vervangen, actieve sessies intrekken en tokens ongeldig maken — dat laatste wordt bijna altijd vergeten, en zonder dat blijft iemand ingelogd terwijl je het wachtwoord al hebt gewijzigd.
• Externe verbindingen dicht. Leveranciers met beheertoegang, de vpn, koppelingen naar klantsystemen. Dit is ook het moment om te bedenken of je iemand anders aan het besmetten bent.
• Back-ups isoleren, als dat nog niet gebeurd is.

Wat je hierbij accepteert is dat een deel van de organisatie stilvalt. Dat is een besluit van de directie en niet van de techniek, en het is precies waarom die rol in het eerste kwartier belegd moet zijn. De vraag "mogen we de winkels van het netwerk halen" hoort niet om half twee 's nachts uitgezocht te worden.

Wie je belt, en welke klok er loopt

Er lopen meerdere termijnen tegelijk, en ze beginnen niet op het moment dat je het incident begrijpt maar op het moment dat je ervan weet.

• Je directie: meteen. Ook als het beeld nog onvolledig is. Een tussenstand met "dit weten we, dit niet" is bruikbaar; wachten op zekerheid is dat niet.
• Je verzekeraar: binnen een paar uur. Veel polissen schrijven voor welke partij het onderzoek doet en stellen eisen aan het melden. Wie eerst zelf een onderzoeker inhuurt, loopt het risico dat die kosten niet gedekt zijn.
• De toezichthouder bij persoonsgegevens: binnen 72 uur. Zijn er persoonsgegevens geraakt, dan meld je dat bij de Autoriteit Persoonsgegevens. De termijn loopt vanaf het moment dat je het weet, en een melding met onvolledige informatie mag — die vul je later aan.
• De toezichthouder onder de Cyberbeveiligingswet: eerste signaal binnen 24 uur. Val je onder NIS2, dan komt daar een vroegtijdige waarschuwing bij die sneller moet dan de melding zelf, gevolgd door een uitgebreidere melding en later een eindrapport. Wat dat in de praktijk betekent staat in NIS2: wat je moet aantonen.
• Klanten en leveranciers: zodra je iets te zeggen hebt. Liever een bericht dat zegt dat je het onderzoekt dan een klant die het van iemand anders hoort.

Het praktische probleem is niet dat men deze nummers niet kent. Het is dat ze in het systeem staan dat net is uitgevallen. Een lijst met telefoonnummers hoort daarom buiten je omgeving te bestaan — op papier in een la, of op een telefoon die niet aan je domein hangt.

Wat er klaar moet liggen voordat het gebeurt

Alles hierboven kost in het echte geval tijd die je niet hebt. Wat het verschil maakt tussen een chaotisch en een beheerst eerste uur is vier dingen, en ze zijn geen van alle duur.

• Eén A4 op papier. Wie leidt, wie belt de directie, welke drie nummers bel je, en hoe bereik je elkaar als de mail eruit ligt. Op papier, want de digitale versie staat in de omgeving die je net hebt afgesloten.
• Een afgesproken kanaal buiten je omgeving. Als je mail en chat mogelijk meeleest met de aanvaller, heb je iets anders nodig. Dat spreek je vooraf af; tijdens het incident is er geen tijd om iets op te zetten en iedereen erin te krijgen.
• Weten wie mag beslissen dat er iets uit gaat. Bij naam, met een vervanger erachter voor als die persoon niet opneemt.
• Eén keer per jaar doorlopen. Geen grote oefening met een externe begeleider, maar een uur aan tafel met de vraag: het is nu vrijdagavond en de bestandsserver is versleuteld — wie belt wie. De gaten die daar vallen zijn altijd dezelfde: het nummer klopt niet meer, degene die de back-up kent is vertrokken, en niemand weet of de verzekering dit dekt.

Dat laatste is de reden dat wij herstel oefenen en niet alleen beschrijven. Een herstelplan dat op papier klopt en nooit is uitgevoerd, is een aanname. De enige manier om te weten hoe lang je zonder je systemen zit, is het een keer meten op een dag waarop het niet hoeft.