Przygotowanie: plany reagowania, playbooki i zespoły

Cykl reagowania na incydenty według NIST obejmuje cztery etapy: przygotowanie, wykrywanie i analizę, powstrzymywanie/usuwanie skutków/odzyskiwanie oraz działania po incydencie. Przygotowanie jest najważniejszym etapem — wszystko, co organizacja robi przed incydentem, decyduje o skuteczności reakcji w jego trakcie. Organizacje inwestujące w przygotowanie szybciej wykrywają naruszenia, szybciej je powstrzymują i wydają znacznie mniej na odzyskiwanie. Różnica w średnim koszcie między wysokim a niskim poziomem przygotowania do reagowania na incydenty wynosi miliony dolarów na incydent.

Plan reagowania na incydenty (IRP) to nadrzędny dokument określający sposób postępowania organizacji w przypadku incydentów bezpieczeństwa. Kompleksowy IRP obejmuje: misję i zakres, role członków zespołu oraz dane kontaktowe, definicje tego, co stanowi incydent, kryteria klasyfikacji ważności, procedury eskalacji, szablony komunikatów, wymagania prawne i regulacyjne dotyczące powiadomień oraz odwołania do technicznych playbooków. IRP musi zostać zatwierdzony przez kierownictwo wyższego szczebla i poddawany przeglądowi co najmniej raz w roku.

CSIRT to zespół odpowiedzialny za realizację IRP. Do kluczowych ról należą: Incident Commander (ogólna koordynacja i podejmowanie decyzji), Security Analysts (analiza techniczna i gromadzenie dowodów), Communications Lead (komunikacja z interesariuszami, klientami i mediami), Legal Counsel (zgodność z przepisami i współpraca z organami ścigania) oraz Executive Sponsor (zatwierdzanie istotnych działań naprawczych). Precyzyjnie zdefiniowane role zapobiegają nieporozumieniom i gwarantują, że żadne kluczowe zadanie nie zostanie pominięte.

Klasyfikacja ważności określa pilność reakcji, ścieżkę eskalacji i wymagania dotyczące powiadomień. Typowy model czteropoziomowy: P1/Critical — aktywne naruszenie z eksfiltracją danych lub znacznym wpływem na działalność, wymagające natychmiastowej reakcji w trybie 24/7; P2/High — potwierdzone przejęcie bez potwierdzonej utraty danych; P3/Medium — podejrzana aktywność w trakcie analizy; P4/Low — naruszenia zasad lub drobne anomalie. Błędy klasyfikacji — na przykład potraktowanie P1 jako P3 — pozwalają naruszeniom się rozszerzać, gdy reakcja jest opóźniona.

Podczas gdy IRP wyznacza kierunek strategiczny, playbooki zawierają taktyczne, szczegółowe procedury reagowania krok po kroku na określone typy incydentów. Playbook dotyczący ransomware może określać: odizolowanie zaatakowanych systemów (krok 1), wykonanie obrazów kryminalistycznych przed rozpoczęciem jakiegokolwiek czyszczenia (krok 2), sprawdzenie, czy dany wariant jest znany i czy istnieją deszyfratory (krok 3), powiadomienie zespołu kierowniczego (krok 4), zaangażowanie zewnętrznej firmy IR (krok 5). Playbooki zmniejszają obciążenie poznawcze podczas incydentów o wysokim poziomie stresu, gdy osoby reagujące w przeciwnym razie mogłyby pominąć kluczowe kroki.

Przygotowanie techniczne obejmuje wdrożenie i skonfigurowanie narzędzi, których osoby reagujące będą potrzebować podczas incydentu. Niezbędny zestaw narzędzi IR: SIEM do agregowania i korelowania logów, EDR do zapewnienia widoczności punktów końcowych i ich izolowania, Forensic imaging tools (FTK, dd, Magnet AXIOM), Memory acquisition (Magnet RAM Capture, WinPmem), Network packet capture (Wireshark, Zeek) oraz kanały komunikacji Out-of-band communication (na wypadek przejęcia głównej poczty elektronicznej podczas incydentu).

Wiele organizacji zawiera umowy retainerowe ze specjalistycznymi firmami zajmującymi się reagowaniem na incydenty (Mandiant, CrowdStrike, Palo Alto Unit 42). Retainer gwarantuje priorytetową reakcję w razie incydentu, z wcześniej uzgodnionymi stawkami i określonymi umowami SLA (np. pojawienie się osoby reagującej na miejscu w ciągu 4 godzin od powiadomienia). Bez retainera zaangażowanie firmy IR podczas poważnego naruszenia może potrwać kilka dni i wiązać się z wysokimi stawkami. Firmy świadczące usługi w ramach retainerów zapewniają również prowadzenie ćwiczeń tabletop, threat hunting oraz oceny przed wystąpieniem naruszenia.

Ćwiczenia tabletop symulują scenariusze incydentów w formie dyskusji podczas spotkania, bez ingerowania w systemy produkcyjne. Uczestnicy przechodzą przez rozwijający się scenariusz — atak ransomware, fałszywą wiadomość e-mail od dyrektora generalnego lub przejęcie danych uwierzytelniających — i omawiają, co zrobiliby w każdym punkcie decyzyjnym. Ćwiczenia tabletop ujawniają luki w playbookach, niejasny podział odpowiedzialności oraz niezweryfikowane założenia, zanim ujawni je rzeczywisty incydent. Należy je przeprowadzać co kwartał dla CSIRT i raz w roku dla kadry kierowniczej.

Komunikację dotyczącą incydentów należy zaplanować z wyprzedzeniem. Najważniejsze kwestie to: terminy powiadomień określone w przepisach (RODO wymaga powiadomienia o naruszeniu w ciągu 72 godzin, HIPAA — w ciągu 60 dni, a przepisy poszczególnych stanów dotyczące naruszeń są różne), szablony powiadomień dla klientów, kryteria powiadamiania organów ścigania (FBI w przypadku ransomware, Secret Service w przypadku oszustw finansowych), komunikaty public relations oraz komunikacja wewnętrzna z pracownikami. Co szczególnie istotne, podczas incydentu należy korzystać z kanałów komunikacji out-of-band — atakujący może monitorować firmową pocztę elektroniczną.

Przygotowanie obejmuje ustanowienie procedur gromadzenia dowodów, które zachowują ich dopuszczalność w postępowaniu prawnym. Kluczowe wymagania to: udokumentowanie kolejności ulotności danych, używanie write blockerów podczas tworzenia obrazów dysków, rejestrowanie kryptograficznych skrótów wszystkich dowodów (SHA-256) oraz dokumentowanie chain of custody od momentu zebrania dowodów aż po ich przechowywanie. Dowody, których nie można uwierzytelnić — ponieważ nie przestrzegano procedur — mogą zostać uznane za niedopuszczalne w postępowaniach prawnych przeciwko atakującym lub pracownikom.

Organizacje bez dojrzałych procesów przygotowania do IR regularnie popełniają kosztowne błędy podczas naruszeń: osoby reagujące ponownie instalują systemy przed przechwyceniem dowodów kryminalistycznych (uniemożliwiając ustalenie, co się wydarzyło), komunikują się za pośrednictwem przejętych kanałów (ostrzegając atakujących), zbyt wolno eskalują incydent z powodu niejasnej klasyfikacji ważności, nie mają uprawnień do podejmowania decyzji o izolowaniu systemów (co wymaga wielogodzinnego uzyskiwania zgód) oraz nie potrafią zidentyfikować zaatakowanych systemów z powodu niekompletnej ewidencji zasobów. Każdej z tych sytuacji można zapobiec dzięki odpowiedniemu przygotowaniu.

Sprawdź swoją znajomość zagadnień CompTIA Security+ (SY0-701) omówionych w tej lekcji.

W tej lekcji nauczyli się Państwo, że: IRP to nadrzędny dokument określający role, klasyfikację ważności i procedury komunikacji, playbooki zapewniają taktyczne wytyczne krok po kroku dla określonych typów incydentów, a ćwiczenia tabletop i umowy retainerowe przygotowują zespoły do skutecznego reagowania, zanim dojdzie do rzeczywistego incydentu. Następnie omówimy wykrywanie i analizę, czyli identyfikowanie rzeczywistych incydentów.