Forberedelse: IR-planer, playbooks og teams

CSIRT er det team, der er ansvarligt for at udføre IRP'en. Vigtige roller omfatter: hændelsesansvarlig (overordnet koordinering og beslutningstagning), sikkerhedsanalytikere (teknisk undersøgelse og indsamling af beviser), kommunikationsansvarlig (meddelelser til interessenter, kunder og medier), juridisk rådgiver (overholdelse af regler og kontakt til retshåndhævende myndigheder) og øverste sponsor (godkendelse af væsentlige afhjælpende handlinger). Klart definerede roller forebygger forvirring og sikrer, at ingen kritisk opgave falder mellem to stole.

Alvorlighedsklassifikation afgør, hvor hurtigt der skal reageres, hvilken eskaleringsvej der skal følges, og hvilke underretninger der kræves. En typisk model med fire niveauer er: P1/Kritisk — aktivt brud med dataeksfiltrering eller væsentlig forretningspåvirkning, kræver øjeblikkelig indsats døgnet rundt; P2/Høj — bekræftet kompromittering uden bekræftet datatab; P3/Mellem — mistænkelig aktivitet under undersøgelse; P4/Lav — overtrædelser af politikker eller mindre uregelmæssigheder. Fejl i klassifikationen — for eksempel at behandle en P1 som en P3 — giver brud mulighed for at brede sig, mens indsatsen forsinkes.

Mens IRP'en angiver den strategiske retning, giver drejebøger taktiske procedurer trin for trin til håndtering af bestemte hændelsestyper. En drejebog for ransomware kan for eksempel angive: isolér de berørte systemer (trin 1), opret retsmedicinske afbildninger, før oprydning påbegyndes (trin 2), undersøg, om varianten er kendt, og om der findes dekrypteringsværktøjer (trin 3), underret den øverste ledelse (trin 4), tilkald et eksternt firma til håndtering af sikkerhedshændelser (trin 5). Drejebøger mindsker den mentale belastning under meget stressende hændelser, hvor de ansvarlige ellers kan overse kritiske trin.

Teknisk forberedelse omfatter implementering og konfiguration af de værktøjer, som de ansvarlige får brug for under en hændelse. Vigtigt værktøjssæt til håndtering af sikkerhedshændelser: SIEM til sammenlægning og korrelation af logge, EDR til synlighed i og indeslutning af slutpunkter, værktøjer til retsmedicinsk afbildning (FTK, dd, Magnet AXIOM), hukommelsesindsamling (Magnet RAM Capture, WinPmem), optagelse af netværkspakker (Wireshark, Zeek) og kommunikationskanaler uden for det primære netværk (hvis den primære e-mail kompromitteres under hændelsen).

Mange organisationer har beredskabsaftaler med specialiserede firmaer til håndtering af sikkerhedshændelser (Mandiant, CrowdStrike, Palo Alto Unit 42). En beredskabsaftale garanterer en prioriteret indsats, når der opstår en hændelse, med forhandlede priser på forhånd og definerede SLA'er (for eksempel en ansvarlig på stedet inden for 4 timer efter underretning). Uden en beredskabsaftale kan det tage flere dage at engagere et sådant firma under et større brud, og firmaet kan opkræve høje priser. Firmaer med beredskabsaftaler tilbyder også facilitering af scenarieøvelser, trusselsjagt og vurderinger før et brud.

Scenarieøvelser simulerer hændelsesscenarier i form af en diskussion i et mødelokale uden at berøre produktionssystemer. Deltagerne gennemgår et scenarie under udvikling — et ransomware-angreb, en svindelmail, der udgiver sig for at komme fra den administrerende direktør, eller kompromittering af legitimationsoplysninger — og diskuterer, hvad de ville gøre ved hvert beslutningspunkt. Scenarieøvelser afslører mangler i drejebøger, uklare ansvarsområder og uprøvede antagelser, før en virkelig hændelse afslører dem. De bør gennemføres hvert kvartal for CSIRT og én gang om året for den øverste ledelse.

Kommunikation om hændelser skal planlægges på forhånd. Vigtige overvejelser er: tidsfrister for underretning af myndigheder (GDPR kræver underretning om brud inden for 72 timer, HIPAA inden for 60 dage, og delstaternes love om brud varierer), skabeloner til underretning af kunder, kriterier for underretning af retshåndhævende myndigheder (FBI ved ransomware, Secret Service ved økonomisk svindel), budskaber til presse og offentlighed samt intern kommunikation til medarbejdere. Under en hændelse bør kommunikationen afgørende nok foregå via kanaler uden for det primære netværk — angriberen overvåger muligvis virksomhedens e-mail.

Forberedelsen omfatter etablering af procedurer for indsamling af beviser, der bevarer deres juridiske anvendelighed. Vigtige krav er: dokumentér rækkefølgen efter flygtighed, brug skriveblokering ved diskafbildning, registrér kryptografiske hashværdier for alle beviser (SHA-256), og dokumentér beviskæden fra indsamling til opbevaring. Beviser, der ikke kan autentificeres — fordi procedurerne ikke blev fulgt — kan afvises i retssager mod angribere eller medarbejdere.

Organisationer uden en moden forberedelse til håndtering af sikkerhedshændelser begår regelmæssigt dyre fejl under brud: De ansvarlige genafbilder systemer, før de indsamler retsmedicinske beviser (hvilket ødelægger muligheden for at forstå, hvad der skete), kommunikerer via kompromitterede kanaler (hvilket afslører over for angriberne, at de er opdaget), eskalerer for langsomt, fordi alvorlighedsklassifikationen er uklar, mangler bemyndigelse til at træffe beslutninger om indeslutning (hvilket kræver flere timers godkendelser), og kan ikke identificere de berørte systemer, fordi aktivfortegnelsen er ufuldstændig. Alle disse fejl kan forebygges med forberedelse.

I denne lektion har du lært, at IRP'en er det styrende dokument, der definerer roller, alvorlighedsklassifikationer og kommunikationsprocedurer, at drejebøger giver taktisk vejledning trin for trin til bestemte hændelsestyper, og at scenarieøvelser og beredskabsaftaler forbereder teams på at reagere effektivt, før en virkelig hændelse opstår. Som det næste undersøger vi registrering og analyse: hvordan virkelige hændelser identificeres.