Įsilaužimas penktadienio vakarą: kas jūsų įmonėje pastebėtų pirmas?

Žurnalas, perspėjimas ir reakcija – trys skirtingi dalykai

Žurnalas išsaugo įvykio duomenis. Aptikimo taisyklė pagal juos gali sukurti perspėjimą. Reagavimas prasideda tada, kai situacija įvertinama ir atliekami reikalingi veiksmai. Vien įjungtas įvykių registravimas dar neparodo, kad įmonė laiku pastebės pavojų.

CISA verslui rekomenduoja centralizuoti svarbius žurnalus, nustatyti perspėjimus apie rizikingus įvykius ir paskirti incidentų valdymo kontaktus bei atsakomybes. CISA gairės apie žurnalus ir stebėseną.

Įsivaizduokime penktadienio vakarą sukurtą neplanuotą administratoriaus paskyrą. Įrašas yra, laiškas išsiųstas, bet atsakingas darbuotojas atostogauja. Tai iliustracinis scenarijus, rodantis, kodėl reikia tikrinti visą grandinę iki žmogaus, kuris gali priimti sprendimą.

Nuo kokių įvykių pradėti?

INsec siūlo pirmiausia pasirinkti kelis aiškius scenarijus, susijusius su svarbiausiomis įmonės sistemomis. Toliau pateikta lentelė yra pavyzdys vidaus tvarkai; pareigas reikia pakeisti konkrečiais kontaktais ir pavaduotojais.

Vien perspėjimas nėra patvirtintas įsilaužimas. Prisijungimas iš neįprastos vietos gali būti susijęs su kelione ar VPN, o apsaugos pokytis – su suplanuotais darbais. Reikia konteksto, kad reagavimas būtų proporcingas.

Kas vyksta, jei pirmasis žmogus neatsako?

Kiekvienam svarbiam scenarijui aprašykite pagrindinį gavėją, pavaduotoją, pranešimo kanalą ir eskalavimo kelią. Atskirkite perspėjimo gavimo patvirtinimą nuo tyrimo pradžios ir incidento suvaldymo – tai skirtingi terminai.

Reagavimo laiką sutarkite pagal sistemos svarbą ir realiai turimus išteklius. Jei paslauga prižiūrima tik darbo valandomis, šis apribojimas turi būti aiškus vadovui. Automatiškai visą parą siunčiami laiškai savaime nereiškia visą parą veikiančio budėjimo.

Kaip patikrinti perspėjimų grandinę saugiai?

Jungtinės Karalystės NCSC rekomenduoja tikrinti, ar stebėsenos priemonės veikia, ir aptikti situacijas, kai nustoja atkeliauti žurnalai arba neužfiksuojamas numatytas bandomasis įvykis. NCSC stebėsenos rekomendacijos.

1. Sutarkite bandymo apimtį. Pasirinkite testinę paskyrą ar aplinką, laiką ir atsakingus žmones. Bandymui nereikia tikros kenkėjiškos programos.
2. Sukurkite kontroliuojamą įvykį. Naudokite produkto numatytą testavimo funkciją ar saugų suderintą scenarijų.
3. Patikrinkite duomenų kelią. Ar įvykis įrašytas šaltinyje, perduotas ir aptiktas taisyklės?
4. Patikrinkite žmogaus reakciją. Ar perspėjimas pristatytas, gautas patvirtinimas ir, prireikus, pasiektas pavaduotojas?
5. Užrašykite rezultatą. Pamatuokite laikus, sutvarkykite spragas ir atkurkite testu pakeistus nustatymus.

Vien pranešimo išsiuntimo mygtukas patikrina pranešimų kanalą, bet nebūtinai įvykio surinkimą ir aptikimą. Bandymo ataskaitoje aiškiai nurodykite, kurios grandinės dalys buvo išbandytos.

Žurnalai turi būti naudingi tyrimui

NCSC gairėse pabrėžiama tinkama šaltinių konfigūracija, tikslus laikas ir tyrimui reikalingi įrašo laukai. Skirtingų sistemų įvykius sunku sugretinti, jei jų laikai nesuderinti. NCSC įvadas į saugumo žurnalus.

Praktiškai patikrinkite, ar galima nustatyti paskyrą, įrenginį, veiksmą ir jo rezultatą. Saugojimo trukmę parinkite pagal įmonės poreikius ir taikomus reikalavimus, o prieigą ribokite: žurnaluose gali būti jautrios informacijos. Jei duomenis saugo tiekėjas, iš anksto sutarkite, kaip juos gausite incidento metu.

Mažai įmonei: pradėkite nuo aiškios atsakomybės

Susirašykite svarbiausias paskyras ir sistemas, pasirinkite aktualius perspėjimus, paskirkite gavėjus bei išbandykite reakciją. Tada plėskite stebimų šaltinių apimtį. Įsigyta platforma savaime nepaskiria žmogaus, kuris tirs jos pranešimus.

Periodiškai peržiūrėkite pasikartojančius klaidingus perspėjimus ir dokumentuokite taisyklių pakeitimus. Tikslas – kad svarbus signalas turėtų aiškų prioritetą ir konkretų veiksmą.