Kitar Hayat IR: Persediaan, Pengenalpastian, Pembendungan

Aktiviti persediaan:

• Dokumentasikan dasar dan prosedur IR
• Bina dan latih pasukan IR (CIRT)
• Laksanakan alat pengelogan dan pengesanan
• Wujudkan saluran komunikasi dan laluan peningkatan
• Jalankan latihan atas meja dan simulasi
• Cipta buku panduan operasi untuk jenis insiden yang lazim

Buat persediaan sebelum insiden berlaku:

• SIEM berpusat untuk analisis log
• Stesen kerja forensik dengan penyekat penulisan dan alat pengimejan
• Orang hubungan undang-undang dan HR dikenal pasti terlebih dahulu
• Perjanjian perkhidmatan IR dengan firma forensik luar
• Sandaran luar talian disahkan dan boleh dicapai

Pengenalpastian ialah proses mengesan dan mengesahkan bahawa insiden telah berlaku. Sumber pengesanan:

• Amaran SIEM dan peristiwa IDS/IPS
• Laporan pengguna ("komputer saya berkelakuan pelik")
• Suapan risikan ancaman
• Pengesanan anomali (masa log masuk yang luar biasa, pemindahan data)
• Pemberitahuan pihak ketiga (penguat kuasa undang-undang, rakan kongsi)

Kelaskan insiden mengikut keterukan untuk mengutamakan respons:

• P1/Kritikal: pencerobohan aktif, pengeluaran data, perisian tebusan
• P2/Tinggi: akaun berkeistimewaan terjejas, perisian hasad dikesan
• P3/Sederhana: pelanggaran dasar, aktiviti mencurigakan
• P4/Rendah: percubaan log masuk yang gagal, salah konfigurasi kecil

Pembendungan menghentikan penyebaran kerosakan tanpa memusnahkan bukti. Terdapat dua jenis:

• Pembendungan jangka pendek: asingkan sistem yang terjejas (kuarantin rangkaian)
• Pembendungan jangka panjang: alih keluar artifak hasad sambil mengekalkan operasi

Tindakan pembendungan:

• Pengasingan rangkaian: kuarantin VLAN, peraturan penyekatan tembok api
• Penguncian akaun: nyahdayakan kelayakan yang terjejas
• Penamatan EDR: tamatkan proses hasad melalui EDR
• Lubang benam DNS: hala semula domain arahan dan kawalan untuk menghalang panggilan balik
• Pelihara bukti BEFORE pemadaman

Semasa insiden besar, gunakan struktur pemerintahan yang jelas:

• Komander Insiden — penyelarasan keseluruhan
• Ketua Teknikal — penyiasatan dan pemulihan
• Ketua Komunikasi — pemberitahuan dalaman dan luaran
• Undang-undang/Pematuhan — kewajipan kawal selia

IR yang berkesan menjalankan pembendungan, penyiasatan dan komunikasi secara selari — bukan berturutan. Ketika pasukan teknikal membendung ancaman, pasukan undang-undang menyediakan pemberitahuan dan pengurusan berkomunikasi dengan pihak berkepentingan. Masa amat penting: setiap jam capaian tanpa kawalan menyebabkan lebih banyak kerosakan.

Dokumentasikan segala-galanya semasa insiden:

• Garis masa peristiwa dengan cap masa
• Semua tindakan yang diambil (siapa, apa dan bila)
• Bukti yang dikumpulkan dan rantaian jagaan
• Keputusan yang dibuat dan justifikasinya

Dokumentasi ini penting untuk prosiding undang-undang dan semakan pascainsiden.

Kitar hayat IR (NIST): Persediaan, Pengenalpastian, Pembendungan, Penghapusan, Pemulihan, Pasca-Insiden. Persediaan ialah fasa paling penting — bina pasukan, alat dan buku panduan operasi sebelum insiden berlaku. Pengenalpastian mengesahkan sesuatu insiden. Pembendungan menghentikan penyebaran sambil memelihara bukti. Dokumentasikan setiap tindakan dengan cap masa.