Forberedelse: IR-planer, dreiebøker og team

NISTs livssyklus for hendelseshåndtering har fire faser: Forberedelse, deteksjon og analyse, begrensning/fjerning/gjenoppretting og aktiviteter etter hendelsen. Forberedelse er den viktigste fasen – alt en organisasjon gjør før en hendelse, avgjør hvor effektivt den håndterer hendelsen. Organisasjoner som investerer i forberedelser, oppdager datainnbrudd raskere, begrenser dem tidligere og bruker betydelig mindre på gjenoppretting. Den gjennomsnittlige kostnadsforskjellen mellom høy og lav beredskap for hendelseshåndtering er millioner av dollar per hendelse.

En plan for håndtering av sikkerhetshendelser (IRP) er styringsdokumentet som fastsetter organisasjonens fremgangsmåte for håndtering av sikkerhetshendelser. En omfattende IRP inneholder: formål og omfang, teamroller og kontaktinformasjon, definisjoner av hva som utgjør en hendelse, kriterier for alvorlighetsklassifisering, eskaleringsprosedyrer, kommunikasjonsmaler, krav til varsling i henhold til lover og forskrifter samt referanser til tekniske håndbøker. IRP-en må godkjennes av den øverste ledelsen og gjennomgås minst én gang i året.

CSIRT er teamet som er ansvarlig for å gjennomføre IRP-en. Viktige roller omfatter: hendelsesleder (overordnet koordinering og beslutningstaking), sikkerhetsanalytikere (teknisk undersøkelse og innsamling av bevis), kommunikasjonsansvarlig (meldinger til interessenter, kunder og medier), juridisk rådgiver (etterlevelse av regelverk og kontakt med politiet) og utøvende sponsor (godkjenning av omfattende tiltak for utbedring). Tydelig definerte roller forebygger forvirring og sikrer at ingen kritiske oppgaver faller mellom to stoler.

Alvorlighetsklassifisering avgjør hvor raskt det må reageres, hvilken eskaleringsvei som skal følges og hvilke varslingskrav som gjelder. En vanlig modell med fire nivåer er: P1/Kritisk — et aktivt datainnbrudd med dataeksfiltrering eller betydelig virksomhetspåvirkning, som krever umiddelbar respons døgnet rundt; P2/Høy — bekreftet kompromittering uten bekreftet datatap; P3/Middels — mistenkelig aktivitet som undersøkes; P4/Lav — brudd på retningslinjer eller mindre avvik. Feilklassifisering — for eksempel å behandle en P1 som P3 — gjør at datainnbrudd kan spre seg mens responsen forsinkes.

Mens IRP-en gir strategisk retning, gir håndbøker taktiske prosedyrer, trinn for trinn, for håndtering av bestemte hendelsestyper. En håndbok for løsepengevirus kan for eksempel angi: isoler berørte systemer (trinn 1), ta forensiske avbildninger før eventuell opprydding (trinn 2), undersøk om varianten er kjent og om det finnes dekrypteringsverktøy (trinn 3), varsle ledergruppen (trinn 4), engasjer et eksternt IR-selskap (trinn 5). Håndbøker reduserer den kognitive belastningen under hendelser med høyt stressnivå, der de som håndterer hendelsen ellers kan overse kritiske trinn.

Teknisk forberedelse omfatter å ta i bruk og konfigurere verktøyene som de ansvarlige for hendelseshåndteringen trenger under en hendelse. Viktig verktøysett for IR: SIEM for samling og korrelasjon av logger, EDR for oversikt over og begrensning av aktivitet på endepunkter, verktøy for forensisk avbildning (FTK, dd, Magnet AXIOM), minneinnhenting (Magnet RAM Capture, WinPmem), innhenting av nettverkspakker (Wireshark, Zeek) og kommunikasjonskanaler utenfor det ordinære nettverket (i tilfelle den primære e-posttjenesten er kompromittert under hendelsen).

Mange organisasjoner har retaineravtaler med spesialiserte selskaper for håndtering av sikkerhetshendelser (Mandiant, CrowdStrike, Palo Alto Unit 42). En retainer garanterer prioritert respons når en hendelse oppstår, med avtalte priser og definerte SLA-er (for eksempel at en responsperson er på stedet innen 4 timer etter varsling). Uten en retainer kan det ta flere dager å engasjere et IR-selskap under et omfattende datainnbrudd, og prisene kan bli betydelig høyere. Retainerselskaper tilbyr også tilrettelegging av tabletop-øvelser, threat hunting og vurderinger før datainnbrudd.

Tabletop-øvelser simulerer hendelsesscenarioer gjennom diskusjoner i møteromsformat, uten å berøre produksjonssystemer. Deltakerne går gjennom et scenario som utvikler seg — et løsepengevirusangrep, en svindel-e-post som utgir seg for å være fra administrerende direktør eller kompromittering av påloggingsinformasjon — og diskuterer hva de ville gjort ved hvert beslutningspunkt. Tabletop-øvelser avdekker mangler i håndbøker, uklare ansvarsområder og uprøvde antakelser før en reell hendelse avslører dem. De bør gjennomføres kvartalsvis for CSIRT og årlig for ledere.

Kommunikasjon under hendelser må planlegges på forhånd. Viktige hensyn er: tidsfrister for varsling til tilsynsmyndigheter (GDPR krever varsling av datainnbrudd innen 72 timer, HIPAA innen 60 dager, mens delstatenes lover om datainnbrudd varierer), maler for varsling av kunder, kriterier for varsling av politiet (FBI ved løsepengevirus, Secret Service ved økonomisk svindel), budskap fra PR-avdelingen og intern kommunikasjon til ansatte. Det er avgjørende at kommunikasjon under en hendelse skjer via kanaler utenfor det ordinære nettverket — angriperen kan overvåke virksomhetens e-post.

Forberedelser omfatter å etablere prosedyrer for innsamling av bevis som ivaretar bevisets rettslige gyldighet. Viktige krav er: dokumenter rekkefølgen etter hvor flyktige dataene er, bruk skriveblokker ved avbildning av disker, registrer kryptografiske hasher for alle bevis (SHA-256), og dokumenter beviskjeden fra innsamling til lagring. Bevis som ikke kan autentiseres — fordi prosedyrene ikke ble fulgt — kan bli avvist som bevis i rettssaker mot angripere eller ansatte.

Organisasjoner uten moden IR-forberedelse gjør jevnlig kostbare feil under datainnbrudd: de som håndterer hendelsen, installerer systemene på nytt før de samler inn forensiske bevis (og ødelegger dermed muligheten til å forstå hva som skjedde), kommuniserer via kompromitterte kanaler (og varsler angriperne), eskalerer for sent fordi alvorlighetsklassifiseringen er uklar, mangler myndighet til å ta beslutninger om begrensning av hendelsen (slik at det kreves flere timer med godkjenninger) og klarer ikke å identifisere berørte systemer fordi oversikten over eiendeler er ufullstendig. Alle disse feilene kan forebygges gjennom forberedelser.

I denne leksjonen har De lært at IRP-en er styringsdokumentet som definerer roller, alvorlighetsklassifiseringer og kommunikasjonsprosedyrer, at håndbøker gir taktisk veiledning, trinn for trinn, for bestemte hendelsestyper, og at tabletop-øvelser og retaineravtaler forbereder teamene på å reagere effektivt før en reell hendelse oppstår. Deretter skal vi se nærmere på deteksjon og analyse: hvordan man identifiserer reelle hendelser.