Καλώς ήρθατε πίσω.
Μια επιτυχημένη απάντηση σε ένα cybersecurity περιστατικό εξαρτάται
από σαφή επικοινωνία και λεπτομερή documentation.
Σε αυτό το μάθημα, θα μάθετε γιατί το incident reporting είναι κρίσιμο
όχι μόνο κατά τη διάρκεια μιας κρίσης, αλλά και μετά.
Θα εξερευνήσετε τι αναφέρεται, πώς παρακολουθείται,
και πώς το documentation υποστηρίζει τόσο τη νομική compliance όσο και τη μελλοντική πρόληψη.
Το incident reporting επιτρέπει στις ομάδες ασφαλείας
να μοιράζονται βασικές λεπτομέρειες με τους υπεύθυνους λήψης αποφάσεων, να συντονίζουν δράσεις
μεταξύ IT, νομικού τμήματος και ηγεσίας, να συμμορφώνονται με τους κανονισμούς,
να εντοπίζουν βασικές αιτίες, και να βελτιώνουν τη μελλοντική απόκριση.
Είτε πρόκειται για phishing attempt είτε για πλήρες breach.
Η γρήγορη, ακριβής αναφορά κάνει τα πάντα να λειτουργούν καλύτερα.
Οι εργαζόμενοι πρέπει να αναφέρουν τυχόν ασυνήθιστη δραστηριότητα,
ακόμη και αν δεν είναι σίγουροι ότι είναι περιστατικό.
Παραδείγματα περιλαμβάνουν απροσδόκητα
μηνύματα επαναφοράς κωδικού πρόσβασης, περίεργη συμπεριφορά συστήματος ή μηνύματα σφάλματος,
ύποπτα emails ή συνημμένα, χαμένες ή κλεμμένες συσκευές.
Είναι καλύτερο να αναφέρετε κάτι που αποδεικνύεται αβλαβές παρά να χάσετε
κάτι σοβαρό.
Ένα σταθερό incident report περιλαμβάνει ημερομηνία
και ώρα του περιστατικού, συστήματα ή λογαριασμούς που εμπλέκονται,
όνομα και επικοινωνία του αναφέροντος,
παρατηρούμενη συμπεριφορά ή συμπτώματα,
αρχική απόκριση ή περιορισμός,
τρέχουσα κατάσταση:
Ανοιχτό, Υπό Διερεύνηση,
Επιλυμένο. Οι αναφορές πρέπει να είναι σαφείς,
περιεκτικές, και να υποβάλλονται στην κατάλληλη ομάδα.
Συνήθως, στο Security Operations Center (SOC) ή στην Incident Response Team.
Το documentation δεν σταματά μετά την αναφορά.
Καθ' όλη τη διάρκεια της διαδικασίας απόκρισης, οι ομάδες πρέπει να τεκμηριώνουν:
ποιες ενέργειες έγιναν,
ποιος εκτέλεσε κάθε ενέργεια,
τι αποδεικτικά στοιχεία συγκεντρώθηκαν, ποιο ήταν το αποτέλεσμα.
Αυτό το audit trail υποστηρίζει την compliance,
τις έρευνες, και τη μάθηση της ομάδας.
Αφού επιλυθεί το περιστατικό,
οι ομάδες πρέπει να κάνουν ένα post-incident review για να απαντήσουν:
Τι πήγε καλά;
Τι απέτυχε ή χάθηκε;
Πώς μπορούμε να βελτιωθούμε;
Αυτά τα μαθήματα καταγράφονται και κοινοποιούνται στους σχετικούς stakeholders.
Αυτό το βήμα μετατρέπει τα περιστατικά σε ευκαιρίες για ανάπτυξη,
εκπαίδευση, και system hardening.
Έτοιμοι για ένα μικρό επαναληπτικό κουίζ;
Ερώτηση πρώτη γιατί πρέπει οι χρήστες να αναφέρουν
ύποπτη δραστηριότητα ακόμη και αν δεν είναι σίγουροι ότι είναι περιστατικό;
Α για να συμπληρώσουν χαρτιά.
Β για να καθυστερήσουν τον εντοπισμό.
Γ επειδή επιτρέπει ταχύτερη διερεύνηση και απόκριση.
Δ επειδή απαιτείται για ενημερώσεις συστήματος.
Παύση.
Η σωστή απάντηση είναι Γ.
Η γρήγορη αναφορά βοηθά τους αναλυτές να ερευνήσουν και να ανταποκριθούν πριν η ζημιά κλιμακωθεί.
Ερώτηση δύο ποιο από τα παρακάτω πρέπει να περιλαμβάνεται σε ένα incident report;
Α ώρα του περιστατικού και παρατηρούμενα συμπτώματα.
Β ο καιρός.
Γ η αγαπημένη εφαρμογή του χρήστη.
Δ Μια λίστα με τα γενέθλια της ομάδας IT.
Σκεφτείτε το καλά.
Η σωστή απάντηση είναι Α. Μια καλή αναφορά
περιλαμβάνει πότε συνέβη το περιστατικό και τι παρατηρήθηκε.
Τελευταία ερώτηση
Γιατί είναι σημαντικό ένα post-incident review;
Α για την απόδοση ευθυνών.
Β για την προετοιμασία ενός εταιρικού πάρτι.
Γ για να μάθουμε από το περιστατικό και να βελτιώσουμε τη μελλοντική απόκριση.
Δ για το κλείσιμο αχρησιμοποίητων λογαριασμών χρηστών.
Παύση και σκεφτείτε.
Η σωστή επιλογή απάντησης είναι Γ
τα post-incident reviews μετατρέπουν την εμπειρία σε βελτιώσεις.
Εξαιρετική δουλειά.
Τώρα ξέρετε πώς η σωστή αναφορά και το documentation βοηθούν τις ομάδες incident
response να κινούνται γρήγορα.
Να παραμένουν compliant και να βελτιώνονται μετά από κάθε επίθεση.
Στο επόμενο μάθημα, θα εξερευνήσουμε τον κόσμο των cybersecurity forensics,
πώς οι αναλυτές ερευνούν επιθέσεις, διατηρούν
digital evidence, και υποστηρίζουν νομική δράση.
Ας συνεχίσουμε.