Bentornati.
Avete imparato come fare detect delle threats, ma cosa succede dopo aver confermato
che qualcosa non va?
È qui che inizia l'incident response.
In questa lezione, esploreremo cosa significa incident response,
le fasi del response lifecycle,
e come le organizzazioni minimizzano il danno e ripristinano le operazioni.
Un security incident è qualsiasi evento che minaccia
la confidentiality, integrity, o availability di sistemi o dati.
Esempi includono infezioni malware,
phishing attacks, data breaches, insider misuse.
Non tutti gli alerts sono incidents, ma una volta che qualcosa è confermato come reale
e impattante, diventa una priorità per i team di incident response.
La maggior parte delle organizzazioni segue un modello di risposta strutturato
come quello del NIST (National Institute of Standards and Technology).
Include: 1.
Preparation: costruisci il tuo piano di risposta, strumenti e formazione.
2. Detection e Analysis:
Identifica e conferma l'incident. 3.
Containment:
Limita la diffusione. 4. Eradication:
Rimuovi la minaccia da tutti i sistemi.
5.
Recovery:
Ripristina le operazioni normali in sicurezza. 6.
Lessons Learned:
Analizza cosa è successo e migliora le difese.
Non riguarda solo il reagire.
Riguarda il migliorare.
Le organizzazioni
hanno spesso un Incident Response Team designato.
IRT o CSIRT (Computer Security Incident Response Team).
Sono responsabili di coordinare gli sforzi di risposta,
documentare tutte le azioni,
comunicare con la leadership e i team legali,
notificare clienti o regolatori se necessario.
Il loro lavoro è muoversi velocemente, minimizzare il danno, e contenere la minaccia.
I team di risposta efficaci si affidano a incident playbooks:
guide passo-passo per diversi tipi di attacco.
Strumenti di case management per tracciare azioni e tempistiche.
Strumenti di forensics per preservare e analizzare i dati.
Log analysis più snapshots per prove e rollback.
Ogni incident è diverso, ma avere strumenti
strutturati e flussi di lavoro porta a risultati migliori.
La Preparation è tutto.
Il momento per pianificare un incident è prima che accada.
Questo significa creare policy di incident response.
Praticare tabletop exercises.
Costruire relazioni tra IT,
legale, HR e leadership.
Le organizzazioni ben preparate rispondono più velocemente,
contengono le minacce prima, e subiscono meno danni quando accade la cosa reale.
Pronto per un piccolo quiz di riepilogo?
Domanda uno.
Quale dei seguenti si qualifica come un security incident?
A riavviare un server dopo gli aggiornamenti.
B malware trovato che si diffonde tra i sistemi.
C dimenticare una password del Wi-Fi.
D cambiare il livello di accesso di un utente.
Pausa.
La risposta corretta è
B. Un'infezione malware è una chiara violazione dell'integrity
del sistema e innesca un incident response.
Domanda due: nel NIST incident
response lifecycle, cosa viene dopo il containment?
A prevention. B documentation. C
escalation. D eradication.
Riflettici.
La risposta corretta è D. Dopo aver fatto containment della minaccia,
i responders lavorano per fare eradicate (eliminare) completamente la minaccia dall'ambiente.
Domanda finale perché la preparation è importante nell'incident response?
A previene la necessità di backups.
B evita di avere mai incidents.
C aiuta a rispondere velocemente ed efficacemente.
D velocizza il firewall.
Pausa e pensa.
La scelta corretta è
C. La Preparation assicura una risposta più veloce e più coordinata quando si verificano incidents.
Bel lavoro.
Ora capisci cosa sono i security incidents,
come vengono gestiti, e che aspetto ha il response lifecycle.
Dopo, copriremo una parte critica di quel processo
incident reporting e documentation.
Perché ciò che registri determina cosa impari e come migliori.
Continuiamo.