Hændelsesrespons

Incident response (IR) er den strukturerede proces til håndtering af en sikkerhedshændelse fra detektion til gendannelse. Disciplinen opstod fra nødberedskabsmønstre og er blevet kodificeret i standarder som NIST SP 800-61 og SANS PICERL. Faserne er forudsigelige; vanskeligheden er udførelse under pres.

De seks faser

1. Preparation. Byg teamet, værktøjerne og runbooks, før der sker noget. De fleste underforberedte organisationer indser ikke, at de er underforberedte, før de er midt i en hændelse.
2. Identification. Opdag, at der er noget galt. Ofte den sværeste fase — de fleste brud bliver uopdaget i flere måneder.
3. Containment. Begræns skaden. Stop angriberen i at sprede sig yderligere. Kortsigtet indeslutning (isoler berørte systemer) og langsigtet indeslutning (rengør genopbygning før genforbindelse).
4. Eradication. Fjern angriberens tilstedeværelse - malware, persistensmekanismer, kompromitterede legitimationsoplysninger. Det er her, genopbygning i stedet for rengøring bliver svaret.
5. Recovery. Gendan systemerne til normal drift. Overvåg nøje for at genopstå truslen.
6. LErfaringer. Dokumentér, hvad der skete, hvad der virkede, hvad der ikke gjorde, og hvad der skal ændres. Denne fase bliver sprunget over under deadlinepres; at gøre det er det, der gør fremtidige hændelser mindre slemme.

Den første time

Når du har mistanke om en hændelse, betyder den første time uforholdsmæssigt meget:

• Bekræft, at advarslen er reel. var falske ressourcer; Hvis du går i gang med en fejllæst advarsel, kan det gøre virkelige ting værre.
• Aktiver IR-teamet. Hvis du ikke har en, skal din IT-leder, et eksternt IR-firma og rådgivere alle have en samtale hurtigt. øjebliksbilleder. Snapshotdisk, hukommelse, logtilstande.
• Kommuniker med disciplin. Tal ikke på e-mail eller chat, som angriberen måske læser. Brug out-of-band-kanaler, indtil du bekræfter, hvad der er rent.
• Lad være med at bryde tingene hurtigere, end du forstår dem. Træk i netværkskabler stopper angriberen, men stopper også din undersøgelse, hvis du ikke fanger tilstand først.

Containment mønstre

• Netværksisolation af kompromitterede værter — deaktiver deres switch-port, flyt dem til et karantæne-VLAN, dræb deres VPN-session.
• Credential rotation for enhver konto, der måtte have været udsat. Specielt servicekonti.
• Deaktiver persistensvektorer — planlagte opgaver, tjenester, autoruns, bagdørskonti — men først efter du har dokumenteret dem, da de ofte er den eneste registrering af, hvad angriberen gjorde. layer.
• Tving gengodkendelse på tværs af alle konti; tilbagekald aktive sessioner og tokens.

Ekstern hjælp

Hændelser over råvare-malware-niveau kræver normalt specialisthjælp:

• IR firmaer (Mængde, Volex, Inc., Inc. Svar) — betalte tilbageholdere eller timeengagement. Specialiserede værktøjer og mønstergenkendelse fra mange tidligere hændelser.
• Counsel — for brud på underretningsforpligtelser, lovgivningsmæssige engagement, overvejelser om løsesum.
• Forsikringsselskab — hvis du ikke har en forsikring med det samme; de har ofte godkendte leverandørlister og politikprocedurer.
• Llovhåndhævelse — FBI for amerikansk ransomware (især med hensyn til betaling), lokalt politi, nationale CERT'er. De løser muligvis ikke din hændelse, men de indsamler trusselsefterretninger.
• ISACs og CERTs — sektorspecifikke informationsdelingsfællesskaber. Hurtig måde at finde ud af, om andre organisationer ser den samme kampagne.

Kommunikation under en hændelse

Nogle af de mest afgørende beslutninger handler om kommunikation:

• Intern kommunikation. Need-to-know-basis indtil indeslutning, derefter bredere. Undgå offentlige kanaler, hvor angriberen kan lytte.
• Kundemeddelelse. Ofte lovpligtigt inden for specifikke vinduer (72 timer under GDPR). Forfattet omhyggeligt — vagt nok til at være nøjagtigt, mens undersøgelsen fortsætter, specifik nok til at være nyttig.
• Regulator-meddelelse. Sektorspecifik (SEC for væsentlige overtrædelser, HIPAA for sundhedspleje, statslige AG'er i de fleste amerikanske stater).
• PLZ13XPublic statement, timPLZ14XX, hvis hændelsen bliver offentligt eller offentligt. sagen. Sig ikke mere end du ved; sig ikke mindre, end det er ærligt.

Recovery and rebuild

For alvorlige hændelser er reglen genopbygget snarere end ren. Angribere efterlader persistensmekanismer på steder, der er svære at finde - registreringsdatabasenøgler, planlagte opgaver under usædvanlige konti, modificerede DLL'er, bagdørs binære filer med tidsstempler matchet til legitime filer. At forsøge at rense en dybt kompromitteret vært er sjældent vellykket. Genopbyg fra kendte gode medier og gendan data efter scanning.

Genopbygningsrækkefølgen er også vigtig: først identitetsinfrastruktur (så legitimationsoplysninger er troværdige), derefter produktionssystemer, derefter brugerenheder. Genstart af en bærbar bruger til en Active Directory, der stadig kan være kompromitteret, giver angriberen et frisk fodfæste.

For enkeltpersoner: nedskaleret IR

Hvis dine personlige konti er kompromitteret:

1. Brug en kendt, ren maskine – helst en frisk, ren maskine. Ret ikke noget fra en potentielt kompromitteret bærbar.
2. Nulstil din primære e-mail-adgangskode og 2FA fra den rene enhed. E-mail styrer alt andet.
3. Nulstil bank og kurtage derfra.
4. LSe på regler for videresendelse af e-mail — angribere tilføjer ofte videresendelse for at fange nulstilling af adgangskode, efter du har ændret adgangskoden.
5. Gennemse forbundne apps og OAuth-bevillinger; tilbagekald ukendte.
6. Kør en fuld malware-scanning på den originale enhed; hvis noget ser ud til at være galt, skal du tørre og geninstallere.
7. Overvåg regnskaber for de næste mange måneder — svindel efter legitimationstyveri sker ofte uger senere.

Lerfaringer

Den fase, der bliver sprunget over. En gennemgang efter hændelsen skulle svare:

• Hvordan kom angriberen ind?
• Hvilke detektivkontroller mislykkedes?
• Hvilke detektivkontroller fangede den (til sidst)?
• Hvad ville have forhindret den det?
• Hvad er det næste skridt for at sætte dem på plads?

Den ærlige anmeldelse er mere værdifuld end selve svaret. Gentagne hændelser i samme organisation afspejler normalt erfaringer, der ikke er lært.