Jak zbudować plan reagowania na incydenty dla małego zespołu

faza 1: przygotowanie

Największa wartość jest tutaj, zanim cokolwiek się wydarzy.

Zdefiniuj, czym jest incydent, i jaką ma wagę. Uzgodnij prostą skalę wagi, na przykład: SEV1 to poważne, aktywne naruszenie albo utrata danych; SEV2 to opanowany albo podejrzewany problem; SEV3 to sprawa drobna. Waga decyduje, kogo budzisz i jak szybko.

Nazwij role. Nawet w małym zespole zdecyduj z wyprzedzeniem, kto trzyma jaką rolę podczas incydentu: lidera incydentu, który prowadzi reakcję i podejmuje decyzje, lidera technicznego, który robi robotę na miejscu, oraz osobę odpowiedzialną za komunikację wewnętrzną i zewnętrzną. Jedna osoba może trzymać więcej niż jedną rolę, ale role muszą być nazwane, nie improwizowane.

Zbuduj drzewo kontaktów. Do kogo dzwonić, w jakiej kolejności, z aktualnymi numerami telefonów, także poza godzinami pracy. Dodaj numery zewnętrzne, których potrzebowałbyś szybko: infolinię ubezpieczyciela cybernetycznego, zewnętrzną pomoc IR albo forensic, oraz prawnika. Trzymaj to gdzieś dostępnym, gdy systemy nie działają.

Podejmij trudne decyzje z wyprzedzeniem. Zdecyduj teraz, na spokojnie, o rzeczach, o których nie będziesz chciał dyskutować w trakcie incydentu: kto może zatwierdzić wyłączenie systemu produkcyjnego, kto może zatwierdzić płatność za awaryjną pomoc zewnętrzną i przy jakim progu włącza się zarząd i prawnika.

Znaj dokładnie swoje terminy raportowania. Jeśli podlegasz NIS2: wczesne ostrzeżenie w ciągu 24 godzin od uzyskania świadomości poważnego incydentu, pełniejsze zgłoszenie w ciągu 72 godzin i raport końcowy w ciągu miesiąca. Dla DORA: wstępny raport w ciągu 4 godzin od zaklasyfikowania incydentu jako poważny, nie później niż 24 godziny od pierwszego uzyskania świadomości; raport pośredni w ciągu 72 godzin; raport końcowy w ciągu miesiąca od rozwiązania. RODO wymaga zgłoszenia naruszenia organowi nadzorczemu bez zbędnej zwłoki, a tam, gdzie to wykonalne, w ciągu 72 godzin. Czterogodzinny zegar DORA jest najciaśniejszy w UE i praktycznie wyklucza ręczne gonienie terminu, co jest najmocniejszym argumentem za zbudowaniem tego planu z wyprzedzeniem. Wpisz do planu terminy, które cię dotyczą, żeby nie były niespodzianką o drugiej w nocy.

faza 2: wykrywanie i analiza

Wiedz, jak byś się o tym dowiedział. Wypisz swoje faktyczne źródła wykrywania: alerty z narzędzi, zgłoszenie od użytkownika, informację od klienta, powiadomienie o naruszeniu od dostawcy. Dla większości firm mid-market to, że ktoś coś zauważy, wciąż jest głównym kanałem, więc ułatw zgłaszanie i jasno określ, kto to odbiera.

Triage i zakres. Kiedy coś przychodzi, pierwsze pytania brzmią: czy to prawdziwe, jak poważne i jak daleko sięga. Ustal wagę i od razu zacznij określać zakres dostępu: jakie konta, systemy i dane są zaangażowane. To tu procentuje aktualny obraz dostępu, bo pierwsze, czego potrzebujesz w incydencie, to wiedzieć, po co mogła sięgnąć przejęta tożsamość.

Zacznij zapis. Otwórz oś czasu od pierwszego momentu i loguj działania, decyzje i znaczniki czasu. Będziesz tego potrzebować do przeglądu po incydencie, do każdego raportu i do ubezpieczenia.

faza 3: powstrzymanie, usunięcie, odzyskanie

Najpierw powstrzymaj. Zatrzymaj rozprzestrzenianie, zanim zaczniesz sprzątać. W incydentach napędzanych dostępem, a to większość z nich, powstrzymanie to często praca na tożsamości: wyłącz albo zresetuj przejęte konta, cofnij aktywne sesje i tokeny, i usuń stały dostęp, przez który atakujący mógłby się przemieszczać dalej. Cofnięcie sesji liczy się tak samo jak reset hasła, bo atakujący coraz częściej kradną sesję, nie dane logowania.

Usuń. Zlikwiduj przyczółek: malware, złośliwy grant OAuth, mechanizm trwałości atakującego. Znajdź, jak się dostał, żeby odzyskiwanie nie przywróciło tej samej dziury.

Odzyskaj. Przywróć systemy i dostęp w kontrolowany sposób, zweryfikuj, że są czyste, i bacznie obserwuj, czy atakujący nie wraca. Zanim ponownie otworzysz, potwierdź, że punkt wejścia jest zamknięty.

Uwaga specyficzna dla dostępu: skoro większość włamań zaczyna się dziś od ważnych danych logowania, nie od malware, twoją najszybszą dźwignią powstrzymania jest zwykle tożsamość: wyłączanie kont, zabijanie sesji, cofanie grantów. Zespoły, które to przećwiczyły, odzyskują sprawność szybciej.

faza 4: działania po incydencie

Kiedy jest po wszystkim, zrób przegląd bez szukania winnych, póki sprawa jest świeża. Co się stało, jak to wykryto, co zadziałało, co nie, i jaka konkretna zmiana zapobiegłaby następnemu incydentowi albo go skróciła. Wynikiem jest krótka lista konkretnych poprawek z właścicielami, nie dokument, który trafia do archiwum i zostaje zapomniany.

To ta faza sprawia, że reagowanie na incydenty zasila prewencję. Zaskakująco duża część poprawek po incydencie to poprawki dostępu: konto, które nie powinno mieć takiego zasięgu, osoba odchodząca, której nigdy nie offboardowano, integracja z za dużym zakresem. Incydent uczy cię, gdzie twój dostęp był luźniejszy, niż myślałeś.

przećwicz to, zanim będzie potrzebne

Plan, którego nigdy nie uruchomiłeś, to hipoteza. Ćwiczenie tabletop trwające 60 do 90 minut, które przeprowadza zespół przez realistyczny scenariusz, zamienia dokument w coś, czego ludzie faktycznie choć raz użyli, zanim przyszła prawdziwa sytuacja. Wyciąga na wierzch luki, numer telefonu, którego nikt nie miał, decyzję, do której nikt się nie przyznawał, dużo taniej niż zrobiłby to prawdziwy incydent.

wątek dostępu w skrócie

Większość incydentów to incydenty dostępu. Stały dostęp, nieaktywne konta i nadmiarowe granty, których atakujący używa do poruszania się, to te same rzeczy, które wyciąga na wierzch aktualny bazowy obraz dostępu. Ciaśniejszy bazowy dostęp to jedna z rzeczy o najwyższej dźwigni, jaką może zrobić mały zespół, żeby incydenty były rzadsze i mniejsze: zmniejsza to, jak często przejęta tożsamość ma dokąd pójść, i skraca blast radius, kiedy jednak do tego dojdzie. Wiedza, po co może sięgnąć każde konto, zanim dojdzie do incydentu, to właśnie to, co pozwala krokowi powstrzymania w fazie 3 działać szybko zamiast zgadywać.