Hændelsesrespons og disaster recovery

Denne afgørende første fase handler om at opbygge dit forsvar og sikre, at du er klar før et angreb finder sted.

• Teamdannelse: Fordel tydelige roller, f.eks. roller for hændelsesresponsteams og kommunikationsansvarlige.
• Værktøjer: Opsæt logning, overvågning og SIEM-systemer (Security Information and Event Management).
• Politikker: Definer tydelige procedurer, drejebøger og kommunikationskanaler.
• Træning: Træn regelmæssigt dit team gennem simuleringer og øvelser ved bordet.

Her identificerer du, at noget er galt, og begynder at forstå, hvad det er. Hurtig opdagelse er afgørende.

• Opdagelse: Brug alarmer fra SIEM-systemer, systemer til opdagelse af indtrængen (IDS) eller rapporter fra brugere.
• Analyse: Undersøg hændelsens omfang, type og alvor. Se efter Indicators of Compromise (IoC'er) som usædvanlig netværkstrafik, uautoriserede logins eller ændrede filer.

Det umiddelbare mål med inddæmning er at begrænse skaden og forhindre, at angrebet spreder sig yderligere i dine systemer eller på dit netværk.

• Kort sigt: Isolér berørte systemer, blokér ondsindede IP-adresser, eller deaktivér kompromitterede brugerkonti.
• Langt sigt: Udvikl midlertidige løsninger for at genoprette vigtige tjenester, mens en permanent løsning forberedes.

Når hændelsen er inddæmmet, er næste skridt at fjerne truslen og dens grundlæggende årsag fuldstændigt fra dit miljø.

• Identificér og udbedr den sårbarhed, der førte til bruddet, f.eks. ved at installere programrettelser, opdatere konfigurationer eller fjerne malware.
• Sørg for, at alle bagdøre, ondsindede konti eller mekanismer til vedvarende adgang, som angriberne har efterladt, fjernes grundigt.

Efter at have fjernet truslen genopretter du berørte systemer og data til en sikker og driftsklar tilstand. Det betyder, at du vender tilbage til normal drift.

• Gendan systemer og data fra rene, verificerede sikkerhedskopier.
• Implementér stærkere sikkerhedskontroller eller nye konfigurationer for at forhindre, at hændelsen gentager sig.
• Overvåg løbende systemerne for tegn på geninficering eller nye angreb.

Dette afgørende sidste trin hjælper dig med at lære af hændelsen og forbedre dine fremtidige evner inden for hændelsesrespons. Det handler om løbende forbedringer.

• Gennemfør en analyse efter hændelsen: Hvad skete der? Hvordan blev det håndteret? Hvad kunne gøres bedre næste gang?
• Opdatér politikker, værktøjer og træning på baggrund af de indhøstede erfaringer.
• Kommunikér resultater og forbedringer til relevante interessenter.

Mens IR håndterer specifikke sikkerhedshændelser, beskæftiger katastrofegendannelse (DR) sig med større forstyrrelser som naturkatastrofer, omfattende strømsvigt eller katastrofale fejl i datacentre. DR sikrer den overordnede forretningskontinuitet.

Vigtige DR-begreber omfatter:

• Recovery Time Objective (RTO): Den maksimalt acceptable nedetid for et system eller en tjeneste.
• Recovery Point Objective (RPO): Det maksimalt acceptable datatab, f.eks. hvor gamle dine data må være efter gendannelse.

I denne lektion har du lært om den afgørende rolle, som hændelsesrespons og katastrofegendannelse spiller for at opretholde robust backend-sikkerhed og forretningskontinuitet.

• Hændelsesrespons (IR) er en struktureret tilgang til at håndtere sikkerhedsbrud gennem faser som forberedelse, opdagelse, inddæmning, udryddelse, gendannelse og aktiviteter efter hændelsen.
• Katastrofegendannelse (DR) fokuserer på at genoprette driften efter større forstyrrelser ved hjælp af begreber som RTO og RPO til at styre gendannelsesarbejdet.

IR og DR er tilsammen afgørende for at opbygge modstandsdygtighed over for forskellige trusler, fra cyberangreb til naturkatastrofer.