Инцидент безопасности / подозрительный доступ
Дерево решений для подозрительного доступа, неожиданного изменения привилегий или возможной утечки данных: в зависимости от симптома ведёт к правильным шагам реагирования (блокировка учётной записи, отзыв лишних привилегий, разрыв соединений, определение масштаба) и к постоянному усилению защиты после инцидента.
Что вы заметили?
Выберите тип инцидента. Симптом — подозрительный вход или всплеск неудачных входов, неожиданное изменение привилегий (GRANT/роль), возможная утечка данных / аномальная выгрузка, или инцидент закрыт и вы выполняете постоянное усиление защиты? Выберите наиболее подходящую ветку по первому наблюдению. Сначала зафиксируйте время инцидента и затронутую учётную запись/ресурс.
- Подозрительный вход / всплеск неудачных входов
- Неожиданное изменение привилегий (GRANT/роль)
- Утечка данных / аномальная выгрузка
- Постоянные меры после инцидента (усиление защиты)
Инцидент с учётными данными: какой симптом?
Множество неудачных входов указывает на атаку перебором (brute force) / credential stuffing. Напротив, успешный, но неожиданный вход (с необычного IP / в необычное время) говорит о возможной компрометации учётной записи. В обоих случаях сначала соберите доказательства, затем реагируйте.
SELECT username, os_username, userhost, timestamp, returncode FROM dba_audit_session WHERE returncode <> 0 ORDER BY timestamp DESC;- Всплеск неудачных входов (brute force)
- Успешный, но неожиданный вход (компрометация)
Brute force → заблокируйте источник и защитите учётную запись
При всплеске неудачных входов доступ, возможно, ещё не получен; цель — заблокировать источник, защитить учётную запись блокировкой/задержкой и исключить успешное проникновение.
Скомпрометированная учётная запись → остановить, расследовать, сменить учётные данные
Неожиданный успешный вход говорит о компрометации учётной записи. Сначала остановите учётную запись и её сессии, выясните, что она делала, затем смените пароль и сузьте источник доступа.
Повышение привилегий → аудит и отзыв лишних привилегий
Неожиданный GRANT, назначение роли или новая учётная запись с высокими привилегиями могут быть второй стадией компрометации (закрепление/повышение привилегий). Проверьте последние изменения привилегий, отзовите нелегитимные и вернитесь к принципу минимальных привилегий.
Утечка данных → разорвать доступ и определить масштаб
Аномально большие запросы/выгрузки или неожиданные внешние соединения указывают на утечку данных. Сначала разорвите активные опасные соединения, затем определите масштаб по журналу аудита/логам: к каким данным, кто и когда обращался.
Постоянное усиление защиты после инцидента
После экстренного реагирования примените постоянные меры контроля, чтобы инцидент не повторился: включите аудит, обеспечьте минимальные привилегии, ограничьте сетевой доступ и полностью задокументируйте инцидент.