Häiriötilanteisiin reagointi ja palautuminen katastrofeista

Tässä tärkeässä ensimmäisessä vaiheessa rakennetaan puolustusta ja varmistetaan valmius ennen hyökkäyksen tapahtumista.

• Tiimin muodostaminen: Määritetään selkeät roolit, kuten poikkeamiin reagoijat ja viestinnästä vastaavat.
• Työkalut: Otetaan käyttöön lokitus-, valvonta- ja SIEM-järjestelmät (Security Information and Event Management).
• Käytännöt: Määritellään selkeät menettelyt, toimintaohjeet ja viestintäkanavat.
• Koulutus: Koulutetaan tiimiä säännöllisesti simulaatioiden ja harjoitusten avulla.

Tässä vaiheessa tunnistetaan, että jokin on vialla, ja aletaan selvittää, mistä on kyse. Nopea havaitseminen on ratkaisevan tärkeää.

• Havaitseminen: Käytetään SIEM-järjestelmien ja tunkeutumisen havaitsemisjärjestelmien (IDS) hälytyksiä tai käyttäjien ilmoituksia.
• Analysointi: Selvitetään poikkeaman laajuus, tyyppi ja vakavuus. Etsitään Indicators of Compromise (IoCs) -merkkejä, kuten epätavallista verkkoliikennettä, luvattomia kirjautumisia tai muokattuja tiedostoja.

Rajaamisen välitön tavoite on rajoittaa vahinkoja ja estää hyökkäyksen leviäminen edelleen järjestelmissä tai verkossa.

• Lyhyellä aikavälillä: Eristetään järjestelmät, estetään haitalliset IP-osoitteet tai poistetaan vaarantuneet käyttäjätilit käytöstä.
• Pitkällä aikavälillä: Kehitetään väliaikaisia kiertoratkaisuja olennaisten palveluiden palauttamiseksi pysyvän korjauksen valmistelun ajaksi.

Kun poikkeama on rajattu, seuraava vaihe on poistaa uhka ja sen perimmäinen syy kokonaan ympäristöstä.

• Tunnistetaan tietomurtoon johtanut haavoittuvuus ja korjataan se, esimerkiksi päivittämällä ohjelmisto, muuttamalla määrityksiä tai poistamalla haittaohjelma.
• Varmistetaan, että hyökkääjien jättämät takaovet, haitalliset tilit ja pysyvän pääsyn mahdollistavat mekanismit poistetaan perusteellisesti.

Kun uhka on poistettu, vaarantuneet järjestelmät ja tiedot palautetaan turvalliseen ja toimintakykyiseen tilaan. Tavoitteena on palata normaaliin toimintaan.

• Palautetaan järjestelmät ja tiedot puhtaista, varmennetuista varmuuskopioista.
• Otetaan käyttöön vahvempia tietoturvakontrolleja tai uusia määrityksiä, jotta poikkeama ei toistu.
• Valvotaan järjestelmiä jatkuvasti uudelleentartunnan tai uusien hyökkäysten merkkien varalta.

Tämä tärkeä viimeinen vaihe auttaa oppimaan poikkeamasta ja kehittämään tulevia poikkeamiin vastaamisen valmiuksia. Kyse on jatkuvasta parantamisesta.

• Tehdään poikkeaman jälkianalyysi: Mitä tapahtui? Miten tilanteeseen reagoitiin? Mitä voitaisiin tehdä ensi kerralla paremmin?
• Päivitetään käytäntöjä, työkaluja ja koulutusta opittujen asioiden perusteella.
• Viestitään havainnoista ja parannuksista olennaisille sidosryhmille.

IR käsittelee yksittäisiä tietoturvapoikkeamia, kun taas Disaster Recovery (DR) koskee suuria häiriöitä, kuten luonnonkatastrofeja, laajoja sähkökatkoja tai konesalien vakavia vikoja. DR varmistaa liiketoiminnan jatkuvuuden kokonaisuutena.

DR:n keskeisiä käsitteitä ovat:

• Recovery Time Objective (RTO): Järjestelmän tai palvelun suurin hyväksyttävä käyttökatkon kesto.
• Recovery Point Objective (RPO): Suurin hyväksyttävä tietojen menetys, eli kuinka vanhoja tiedot voivat enintään olla palautuksen jälkeen.

Tässä oppitunnissa opitte Incident Responsen ja Disaster Recoveryn keskeisestä roolista vahvan taustajärjestelmien tietoturvan ja liiketoiminnan jatkuvuuden ylläpitämisessä.

• Incident Response (IR) on jäsennelty lähestymistapa tietoturvaloukkausten hallintaan. Se sisältää vaiheet valmistautuminen, havaitseminen, rajaaminen, poistaminen, palautuminen ja poikkeaman jälkeiset toimet.
• Disaster Recovery (DR) keskittyy toiminnan palauttamiseen suurten häiriöiden jälkeen. Palautumista ohjaavat esimerkiksi käsitteet RTO ja RPO.

Yhdessä IR ja DR ovat olennaisia, kun rakennetaan häiriönsietokykyä erilaisia uhkia, kuten kyberhyökkäyksiä ja luonnonkatastrofeja, vastaan.