Hendelsesrespons

Incident response (IR) er den strukturerte prosessen for å håndtere en sikkerhetshendelse fra deteksjon til gjenoppretting. Disiplinen dukket opp fra nødresponsmønstre og har blitt kodifisert i standarder som NIST SP 800-61 og SANS PICERL. Fasene er forutsigbare; vanskeligheten er utførelse under press.

De seks fasene

1. Preparation. Bygg teamet, verktøyene og runbooks før noe skjer. De fleste underforberedte organisasjoner skjønner ikke at de er underforberedte før de er midt i en hendelse.
2. Identification. Oppdag at noe er galt. Ofte den vanskeligste fasen — de fleste brudd blir uoppdaget i flere måneder.
3. Containment. Begrens skaden. Stopp angriperen fra å spre seg videre. Kortsiktig inneslutning (isoler berørte systemer) og langsiktig inneslutning (rengjør gjenoppbygging før du kobler til igjen).
4. Eradication. Fjern angriperens tilstedeværelse – skadelig programvare, utholdenhetsmekanismer, kompromittert legitimasjon. Det er her gjenoppbygging i stedet for rengjøring blir svaret.
5. Recovery. Gjenopprett systemene til normal drift. Overvåk nøye for å gjenoppstå trusselen.
6. Lerfaringer. Dokumenter hva som skjedde, hva som fungerte, hva som ikke gjorde det, og hva som skal endres. Denne fasen blir hoppet over under tidsfristpress; å gjøre det er det som gjør fremtidige hendelser mindre ille.

Den første timen

Når du mistenker en hendelse, betyr den første timen uforholdsmessig stor:

• Bekreft at varselet er ekte. var falske ressurser; Å gå til handling på et feillest varsel kan gjøre virkelige ting verre.
• Aktiver IR-teamet. Hvis du ikke har en, må IT-lederen din, et eksternt IR-firma og råd alle være på telefon raskt. øyeblikksbilder. Øyeblikksbildedisk, minne, loggtilstander.
• Kommuniser med disiplin. Ikke snakk på e-post eller chat angriperen kanskje leser. Bruk kanaler utenfor båndet til du bekrefter hva som er rent.
• Ikke knekk ting raskere enn du forstår dem. Å trekke nettverkskabler stopper angriperen, men stopper også etterforskningen hvis du ikke fanger opp tilstanden først.

Containment mønstre

• Nettverksisolasjon av kompromitterte verter – deaktiver svitsjporten deres, flytt dem til et karantene-VLAN, drep VPN-økten deres.
• Credential rotasjon for enhver konto som kan ha blitt utsatt. Spesielt tjenestekontoer.
• Deaktiver utholdenhetsvektorer — planlagte oppgaver, tjenester, autoruns, bakdørskontoer — men bare etter at du har dokumentert dem, siden de ofte er den eneste registreringen av hva angriperen gjorde. lag.
• Tving re-autentisering på tvers av alle kontoer; tilbakekall aktive økter og tokens.

Ekstern hjelp

Hendelser over råvare-malware-nivå krever vanligvis spesialisthjelp:

• IR-firmaer (MandiCCStrike, Incident, NMC, Inc., Inc. Svar) — betalte beholdere eller timeengasjement. Spesialiserte verktøy og mønstergjenkjenning fra mange tidligere hendelser.
• Counsel — for bruddsvarslingsplikter, regulatorisk engasjement, hensyn til løsepenger.
• Forsikringsselskap – hvis du ikke har forsikring umiddelbart; de har ofte godkjente leverandørlister og policy-prosedyrer.
• Lovhåndhevelse — FBI for amerikansk løsepengevare (spesielt med hensyn til betaling), lokalt politi, nasjonale CERT-er. De løser kanskje ikke hendelsen din, men de samler inn trusselinformasjon.
• ISACs og CERTs — sektorspesifikke informasjonsdelingssamfunn. Rask måte å finne ut om andre organisasjoner ser den samme kampanjen på.

Kommunikasjon under en hendelse

Noen av avgjørelsene med størst innsats handler om kommunikasjon:

• Intern kommunikasjon. Need-to-know-basis til inneslutning, deretter bredere. Unngå offentlige kanaler der angriperen kan lytte.
• Kundevarsling. Ofte lovpålagt innenfor bestemte vinduer (72 timer under GDPR). Nøye utarbeidet – vagt nok til å være nøyaktig mens etterforskningen fortsetter, spesifikk nok til å være nyttig.
• Regulator-varsling. Sektorspesifikk (SEC for materielle brudd, HIPAA for helsevesen, statlige AGs i de fleste amerikanske stater).
• PLZ13XPublic statement, timZ14XX vil bli offentlig om hendelsen eller den offentlige erklæringen. saken. Ikke si mer enn du vet; ikke si mindre enn det er ærlig.

Recovery and rebuild

For alvorlige hendelser er regelen gjenoppbygging i stedet for ren. Angripere etterlater utholdenhetsmekanismer på steder som er vanskelige å finne – registernøkler, planlagte oppgaver under uvanlige kontoer, modifiserte DLL-er, bakdørsbinærfiler med tidsstempler matchet med legitime filer. Å prøve å rense en svært kompromittert vert er sjelden vellykket. Gjenoppbygg fra kjente gode medier og gjenopprett data etter skanning.

Gjenoppbyggingsrekkefølgen er også viktig: Identitetsinfrastruktur først (slik at legitimasjonen er pålitelig), deretter produksjonssystemer, deretter brukerenheter. Å starte en bærbar bruker på nytt i en Active Directory som fortsatt kan være kompromittert, gir angriperen et nytt fotfeste.

For enkeltpersoner: nedskalert IR

Hvis dine personlige kontoer er kompromittert:

1. Bruk en kjent og ren maskin fortrinnsvis. Ikke fiks noe fra en potensielt kompromittert bærbar PC.
2. Tilbakestill ditt primære e-postpassord og 2FA fra den rene enheten. E-post kontrollerer alt annet.
3. Tilbakestill bank og meglerhus derfra.
4. Lse på regler for videresending av e-post — angripere legger ofte til videresending for å fange opp passordtilbakestillinger etter at du har endret passordet.
5. Se gjennom tilkoblede apper og OAuth-tildelinger; tilbakekall ukjente.
6. Kjør en fullstendig skadelig skanning på den originale enheten; hvis noe virker galt, tørk og installer på nytt.
7. Overvåk regnskapet for de neste månedene — svindel etter legitimasjonstyveri skjer ofte uker senere.

Lerfaringer

Fasen som blir hoppet over. En gjennomgang etter hendelsen skal svare:

• Hvordan kom angriperen inn?
• Hvilke detektivkontroller mislyktes?
• Hvilke detektivkontroller fanget den (til slutt)?
• Hva ville ha stoppet den det?
• Hva er neste skritt for å få dem på plass?

Den ærlige anmeldelsen er mer verdifull enn selve svaret. Gjentatte hendelser i samme organisasjon gjenspeiler vanligvis erfaringer som ikke er lært.