Evaluering etter hendelser og lærdommer

Den siste fasen i NISTs livssyklus for hendelsesrespons er aktivitet etter hendelsen, med hovedvekt på gjennomgangen av lærdommene. Organisasjoner som hopper over denne fasen, har statistisk sett større sannsynlighet for å oppleve samme type hendelse igjen. Prosessen for å trekke lærdom samler institusjonell kunnskap, identifiserer systemiske svakheter som bidro til hendelsen, og driver frem konkrete forbedringer av kontroller, prosesser og opplæring. Uten denne tilbakekoblingssløyfen forblir kostnadene ved hendelsesrespons høye, og tiden angriperen oppholder seg i miljøet, forblir lang.

Gjennomgangen etter hendelsen (PIR) – også kalt en post-mortem eller en rapport etter hendelsen – er en strukturert møte- og dokumentasjonsprosess som gjennomføres etter at hendelsen er fullstendig lukket. PIR-en bør gjennomføres innen 1–2 uker, mens minnene fortsatt er ferske. Viktige grunnlagsdata omfatter: hendelsens tidslinje, alle innsamlede bevis, utførte handlinger og resultatene av dem, kommunikasjonslogger og den innledende hendelsesrapporten. PIR-er bør involvere alle interessenter: sikkerhetsanalytikere, systemeiere, ledelse, juridisk avdeling og kommunikasjonsavdelinger.

De mest effektive post-mortem-gjennomgangene er skyldfrie – de fokuserer på systemiske svikt og prosessforbedringer i stedet for å plassere skyld hos enkeltmedlemmer av teamet. Når folk frykter å få skylden, holder de tilbake informasjon eller toner ned sin egen rolle, noe som fører til ufullstendige funn. Den skyldfrie tilnærmingen tar utgangspunkt i at teammedlemmene tok rimelige beslutninger basert på informasjonen de hadde på det aktuelle tidspunktet. Systemer, prosesser og verktøy er i fokus, ikke enkeltpersoner. Denne filosofien, som er hentet fra site reliability engineering, gir mer nøyaktige og handlingsrettede funn.

Rotårsaksanalyse (RCA) identifiserer den dypeste underliggende årsaken til hendelsen – ikke bare den umiddelbare tekniske utløseren. 5 Why-teknikken innebærer at man gjentatte ganger spør «hvorfor?» for å spore en hendelse tilbake til dens systemiske opphav. Eksempel: Hvorfor ble data eksfiltrert? Fordi skadevare kjørte. Hvorfor ble ikke skadevaren oppdaget? Fordi AV-signaturene ikke var oppdatert. Hvorfor var de ikke oppdatert? Fordi oppdateringene ikke var automatisert. Hvorfor? Fordi IT manglet håndheving av en oppdateringspolicy. Rotårsak: manglende policy for oppdateringshåndtering – ikke bare «uoppdatert system».

Gjennomganger etter hendelser gir viktige sikkerhetsmåltall. MTTD (Mean Time to Detect) måler gjennomsnittstiden fra en hendelse begynner til sikkerhetsteamet oppdager den. Lavere MTTD betyr raskere deteksjon – og kortere tid for angriperen til å forårsake skade. MTTR (Mean Time to Respond/Recover) måler tiden fra deteksjon til full gjenoppretting. Sporing av disse måltallene på tvers av hendelser viser om sikkerhetsinvesteringene over tid forbedrer hastigheten på deteksjon og respons.

PIR-en resulterer i en rapport etter hendelsen (AAR) – et formelt dokument som beskriver hendelsen, funnene og anbefalingene til forbedringer. Seksjonene omfatter: sammendrag for ledelsen (ikke-teknisk), hendelsens tidslinje, rotårsaksanalyse, konsekvensvurdering (systemer, data, økonomi og omdømme), hva som fungerte godt, forbedringsområder og en prioritert liste over tiltak med ansvarlige og frister. AAR-en er et konfidensielt dokument som i mange jurisdiksjoner er beskyttet av advokat–klient-privilegiet.

Funnene fra PIR-en må omsettes til konkrete forbedringer. Hvis hendelsen avdekket at håndboken for løsepengevirus manglet trinn for validering av sikkerhetskopier i skyen, må dette trinnet legges til før håndboken brukes igjen. Hvis et hull i en policy muliggjorde angrepet (for eksempel manglende krav om MFA), må policyen oppdateres, og håndhevingen må verifiseres. Oppdaterte håndbøker og policyer bør versjonskontrolleres, distribueres til alle CSIRT-medlemmer og innarbeides i opplæring og skrivebordsøvelser, slik at forbedringen faktisk blir en del av praksisen.

Hver hendelse avdekker mønstre i angriperens atferd som bør bli til nye deteksjonsregler. Hvis angriperen brukte en bestemt PowerShell-kommando til lateral forflytning, bør en SIEM-regel varsle om dette mønsteret i fremtiden. Hvis det ble opprettet kontakt med et bestemt C2-domene, bør domenet legges til i blokkeringslister for trusseldata og overvåkningslister i SIEM. Deteksjonsutvikling etter en hendelse gjør hver hendelse om til varige defensive forbedringer – sikkerhetsnivået forbedres for hver undersøkte hendelse når denne prosessen følges.

Sikkerhetsteam må omsette tekniske funn fra hendelser til forretningsmessige begreper for toppledelsen. Ledere må forstå: virksomhetens konsekvenser (tapte data, regulatorisk eksponering, inntektsvirkning og omdømmerisiko), den grunnleggende årsaken forklart uten teknisk språk, hvilke investeringer som kreves for å hindre at hendelsen gjentar seg, og hvor effektivt det nåværende sikkerhetsprogrammet er. Funn fra PIR som anbefaler budsjett til sikkerhetsverktøy eller bemanning, blir oftere godkjent når de presenteres som forretningsrisiko i stedet for tekniske spesifikasjoner.

Aktiviteter etter en hendelse omfatter å sikre at regulatoriske varsler ble sendt korrekt og innen de fastsatte fristene. Enkelte regelverk krever at en rapport om vurderingen etter et datainnbrudd sendes til tilsynsmyndighetene. Juridiske bevaringspålegg kan kreve at bevis fra hendelsen oppbevares i lengre perioder. Hvis hendelsen er gjenstand for rettstvister, kan AAR-en bli omfattet av bevisfremleggelse – juridiske rådgivere bør gjennomgå den før distribusjon. Enkelte organisasjoner velger å gjennomføre PIR-er under advokat-klient-fortrolighet for å beskytte funnene mot bevisfremleggelse.

Tiltak fra PIR må følges opp helt til de faktisk er gjennomført – ikke bare tildelt. Hvert tiltak trenger: en konkret ansvarlig (ikke «sikkerhetsteamet»), et målbart suksesskriterium, en frist og en mekanisme for oppfølging (saksbehandlingssystem eller prosjektstyringsverktøy). Tiltak som tildeles, men aldri følges opp, fører til at de samme sårbarhetene består gjennom flere hendelser. Månedlige gjennomganger av sikkerhetsdriften bør ha et fast punkt på agendaen for status for PIR-tiltak, inntil alle tiltakene er lukket.

I denne leksjonen har De lært at: blameless post-mortems fokuserer på systemiske feil for å gi mer presise funn og bredere deltakelse i teamet, MTTD og MTTR er viktige måltall som viser om sikkerhetsinvesteringer forbedrer hastigheten på deteksjon og respons, og PIR-tiltak må følges opp til de er lukket, slik at funnene faktisk fører til sikkerhetsforbedringer. Deretter skal vi se nærmere på flyktighetsrekkefølge og innhenting av bevis i digital etterforskning.