Zgłoszenie incydentu do CSIRT - jak system do ochrony przed atakami DDoS może pomóc?

Ustawa o Krajowym Systemie Cyberbezpieczeństwa, wdrażająca w Polsce dyrektywę NIS2, nałożyła na operatorów telekomunikacyjnych i dostawców usług internetowych konkretny obowiązek: zgłaszanie incydentów cyberbezpieczeństwa do właściwego CSIRT w określonym czasie od ich wykrycia. Atak DDoS - jako zdarzenie mające wpływ na dostępność usługi - w wielu przypadkach kwalifikuje się jako taki incydent.

Problem w tym, że sam obowiązek zgłoszenia to dopiero połowa wyzwania. Drugą połową jest to, skąd wziąć dane, które to zgłoszenie mają wypełnić.

Zgłoszenie do CSIRT wymaga konkretnych informacji: kiedy atak został wykryty, jak długo trwał, jaki był jego wektor i wolumen, jakie działania zaradcze zastosowano. Jeśli operator nie ma systemu, który te dane rejestruje automatycznie w trakcie ataku, po fakcie zostaje mu ręczne odtwarzanie przebiegu zdarzenia z logów routera, alertów monitoringu i pamięci zespołu NOC. Przy ataku wolumetrycznym trwającym kilka minut to zadanie karkołomne, a przy rozproszonym ataku typu carpet bombing, uderzającym jednocześnie w wiele adresów w ramach jednej puli IP, praktycznie niewykonalne bez odpowiedniego narzędzia.

To właśnie na tym etapie system do ochrony przed atakami DDoS przestaje być wyłącznie mechanizmem obronnym, a staje się też źródłem dokumentacji zgodnej z wymogami regulacyjnymi.

LiveShield w trakcie mitygacji ataku - realizowanej przez reguły BGP FlowSpec lub blackholing (RTBH) - zapisuje pełny przebieg zdarzenia: czas wykrycia, czas zastosowania pierwszej reguły filtrującej, wolumen w Gbps, wektor i protokół ataku, adresy docelowe i źródłowe, zastosowane reguły oraz - jeśli włączone - zrzuty ruchu PCAP.

Z tych danych system generuje gotowy raport w formacie KSC, czyli formacie zgłoszeniowym używanym przez operatorów telekomunikacyjnych do dokumentowania zdarzeń antyDDoS. Raport można wyeksportować jako CSV z pełnym zestawem 18 pól (m.in. znaczniki czasu, maksymalny wolumen i PPS, reguły FlowSpec i Blackholing, flaga wykrycia carpet bombing) albo jako PDF z podsumowaniem - liczbą incydentów, rozkładem wolumenu, wykresem czasowym i szczegółową tabelą incydentów.

Ataki można filtrować po istotności - High, Medium, Low - na podstawie progów wolumenu skonfigurowanych w systemie, co pozwala szybko wyselekcjonować zdarzenia wymagające zgłoszenia spośród mniej istotnego szumu.

Warto to jasno powiedzieć: LiveShield nie wysyła zgłoszenia do CSIRT automatycznie i nie jest samodzielnym rozwiązaniem compliance. To, co robi, to eliminacja najbardziej czasochłonnej części procesu - ręcznego zbierania i porządkowania danych o ataku. Przygotowanie i wysłanie zgłoszenia pozostaje po stronie operatora, ale zamiast rekonstruować przebieg incydentu z rozproszonych źródeł, otrzymuje gotowy, ustrukturyzowany dokument.
Aktualne możliwości rządowego systemu nie umożliwiają automatycznego przekazywania informacji o incydentach. Natomiast jeśli takie możliwości się pojawią, raportowanie LiveShield zostanie odpowiednio rozbudowane.

Dla operatora objętego obowiązkami KSC/NIS2 różnica jest praktyczna: zamiast poświęcać czas zespołu technicznego na odtwarzanie przebiegu ataku po fakcie, ma dane gotowe do wykorzystania od razu po zakończeniu mitygacji. W kontekście ataków wolumetrycznych, które mogą wystąpić bez ostrzeżenia i trwać zaledwie kilka minut, to różnica między zgłoszeniem złożonym na czas a incydentem, który trzeba tłumaczyć z opóźnieniem.