Καλώς ήρθατε πίσω.
Μάθατε πώς να εντοπίζετε (detect) threats, αλλά τι συμβαίνει αφού επιβεβαιώσετε
ότι κάτι δεν πάει καλά;
Εκεί ξεκινά το incident response.
Σε αυτό το μάθημα, θα εξερευνήσουμε τι σημαίνει incident response,
τα στάδια του response lifecycle,
και πώς οι οργανισμοί ελαχιστοποιούν τη ζημιά και αποκαθιστούν τις λειτουργίες.
Ένα security incident είναι κάθε γεγονός που απειλεί
το confidentiality, integrity, ή availability συστημάτων ή δεδομένων.
Παραδείγματα περιλαμβάνουν μολύνσεις malware,
phishing attacks, data breaches, insider misuse.
Δεν είναι όλα τα alerts incidents, αλλά μόλις κάτι επιβεβαιωθεί ως πραγματικό
και με αντίκτυπο, γίνεται προτεραιότητα για τις ομάδες incident response.
Οι περισσότεροι οργανισμοί ακολουθούν ένα δομημένο μοντέλο απόκρισης
όπως αυτό από το NIST (National Institute of Standards and Technology).
Περιλαμβάνει: 1.
Preparation: χτίστε το πλάνο απόκρισής σας, τα εργαλεία και την εκπαίδευση.
2. Detection και Analysis:
Εντοπίστε και επιβεβαιώστε το incident. 3.
Containment:
Περιορίστε την εξάπλωση. 4. Eradication:
Αφαιρέστε την απειλή από όλα τα συστήματα.
5.
Recovery:
Αποκαταστήστε τις κανονικές λειτουργίες με ασφάλεια. 6.
Lessons Learned:
Αναλύστε τι συνέβη και βελτιώστε τις άμυνες.
Δεν αφορά μόνο την αντίδραση.
Αφορά τη βελτίωση.
Οι οργανισμοί
συχνά έχουν μια καθορισμένη Incident Response Team.
IRT ή CSIRT (Computer Security Incident Response Team).
Είναι υπεύθυνοι για τον συντονισμό των προσπαθειών απόκρισης,
την τεκμηρίωση όλων των ενεργειών,
την επικοινωνία με την ηγεσία και τις νομικές ομάδες,
την ειδοποίηση πελατών ή ρυθμιστικών αρχών αν χρειαστεί.
Η δουλειά τους είναι να κινούνται γρήγορα, να ελαχιστοποιούν τη ζημιά, και να περιορίζουν την απειλή.
Οι αποτελεσματικές ομάδες απόκρισης βασίζονται σε incident playbooks:
οδηγούς βήμα προς βήμα για διαφορετικούς τύπους επιθέσεων.
Εργαλεία case management για την παρακολούθηση ενεργειών και χρονοδιαγραμμάτων.
Εργαλεία forensics για τη διατήρηση και ανάλυση δεδομένων.
Log analysis συν snapshots για αποδεικτικά στοιχεία και επαναφορά (rollback).
Κάθε incident είναι διαφορετικό, αλλά έχοντας δομημένα
εργαλεία και ροές εργασίας οδηγεί σε καλύτερα αποτελέσματα.
Η προετοιμασία (Preparation) είναι το παν.
Η ώρα να σχεδιάσετε για ένα incident είναι πριν συμβεί.
Αυτό σημαίνει δημιουργία πολιτικών incident response.
Εξάσκηση με tabletop exercises.
Χτίσιμο σχέσεων μεταξύ IT,
νομικού τμήματος, HR και ηγεσίας.
Οι καλά προετοιμασμένοι οργανισμοί ανταποκρίνονται γρηγορότερα,
περιορίζουν τις απειλές νωρίτερα, και υφίστανται λιγότερη ζημιά όταν χτυπήσει το πραγματικό γεγονός.
Έτοιμοι για ένα μικρό επαναληπτικό κουίζ;
Ερώτηση πρώτη.
Ποιο από τα παρακάτω χαρακτηρίζεται ως security incident;
Α επανεκκίνηση ενός server μετά από ενημερώσεις.
Β malware που βρέθηκε να εξαπλώνεται στα συστήματα.
Γ το να ξεχάσετε έναν κωδικό πρόσβασης Wi-Fi.
Δ αλλαγή επιπέδου πρόσβασης ενός χρήστη.
Παύση.
Η σωστή απάντηση είναι
Β. Μια μόλυνση malware είναι μια ξεκάθαρη παραβίαση του system
integrity και ενεργοποιεί ένα incident response.
Ερώτηση δύο: στο NIST incident
response lifecycle, τι έρχεται μετά το containment;
Α prevention. Β documentation. Γ
escalation. Δ eradication.
Σκεφτείτε το καλά.
Η σωστή απάντηση είναι Δ. Μετά τον περιορισμό (containing) της απειλής,
οι responders εργάζονται για να την εξαλείψουν (eradicate) πλήρως από το περιβάλλον.
Τελευταία ερώτηση γιατί είναι η προετοιμασία (preparation) σημαντική στο incident response;
Α αποτρέπει την ανάγκη για backups.
Β αποφεύγει να έχει ποτέ incidents.
Γ βοηθά στην απόκριση γρήγορα και αποτελεσματικά.
Δ επιταχύνει το firewall.
Παύση για να σκεφτείτε.
Η σωστή επιλογή απάντησης είναι
Γ. Η προετοιμασία διασφαλίζει μια ταχύτερη και πιο συντονισμένη απόκριση όταν συμβαίνουν incidents.
Καλή δουλειά.
Τώρα καταλαβαίνετε τι είναι τα security incidents,
πώς αντιμετωπίζονται, και πώς μοιάζει το response lifecycle.
Στη συνέχεια, θα καλύψουμε ένα κρίσιμο μέρος αυτής της διαδικασίας
incident reporting και documentation.
Επειδή αυτό που καταγράφετε καθορίζει τι μαθαίνετε και πώς βελτιώνεστε.
Ας συνεχίσουμε.