Подготовка: планы IR, сценарии реагирования и команды

Жизненный цикл реагирования на инциденты NIST состоит из четырех этапов: подготовка, обнаружение и анализ, локализация/устранение/восстановление и действия после инцидента. Подготовка — самый важный этап: от всего, что организация делает до инцидента, зависит эффективность реагирования на него. Организации, инвестирующие в подготовку, быстрее обнаруживают утечки, оперативнее локализуют их и значительно меньше тратят на восстановление. Средняя разница в затратах между высоким и низким уровнем готовности к IR составляет миллионы долларов на один инцидент.

План реагирования на инциденты (IRP) — это основной документ, определяющий подход организации к обработке инцидентов информационной безопасности. Комплексный IRP включает: миссию и область действия, роли команды и контактную информацию, определения того, что считается инцидентом, критерии классификации по степени серьёзности, процедуры эскалации, шаблоны коммуникаций, требования законодательства и регулирующих органов к уведомлениям, а также ссылки на технические руководства. IRP должен быть утверждён высшим руководством и пересматриваться не реже одного раза в год.

CSIRT — это команда, ответственная за выполнение IRP. Ключевые роли включают: командира инцидента (общая координация и принятие решений), аналитиков безопасности (техническое расследование и сбор доказательств), руководителя коммуникаций (сообщения заинтересованным сторонам, клиентам и СМИ), юриста (соблюдение нормативных требований, взаимодействие с правоохранительными органами) и исполнительного спонсора (санкционирование значимых мер по устранению последствий). Чётко определённые роли предотвращают путаницу и гарантируют, что ни одна критически важная задача не останется без внимания.

Классификация по степени серьёзности определяет срочность реагирования, путь эскалации и требования к уведомлениям. Типичная модель из четырёх уровней: P1/Critical — активное нарушение безопасности с кражей данных или значительным влиянием на бизнес; требуется немедленное круглосуточное реагирование; P2/High — подтверждённая компрометация без подтверждённой утечки данных; P3/Medium — подозрительная активность, находящаяся на расследовании; P4/Low — нарушения политик или незначительные аномалии. Ошибки классификации — например, отнесение P1 к P3 — позволяют нарушениям расширяться, пока реагирование откладывается.

Если IRP задаёт стратегическое направление, то пошаговые руководства содержат тактические пошаговые процедуры реагирования на конкретные типы инцидентов. В руководстве по Ransomware может быть указано: изолировать затронутые системы (шаг 1), создать криминалистические образы до начала очистки (шаг 2), проверить, известен ли данный вариант и существуют ли средства расшифровки (шаг 3), уведомить руководство (шаг 4), привлечь внешнюю фирму по реагированию на инциденты (шаг 5). Пошаговые руководства снижают когнитивную нагрузку во время инцидентов с высоким уровнем стресса, когда специалисты по реагированию могли бы пропустить критически важные шаги.

Техническая подготовка включает развёртывание и настройку инструментов, которые понадобятся специалистам во время инцидента. Основной набор инструментов IR: SIEM для объединения и корреляции журналов, EDR для наблюдения за конечными точками и их изоляции, инструменты криминалистического создания образов (FTK, dd, Magnet AXIOM), средства получения содержимого памяти (Magnet RAM Capture, WinPmem), захват сетевых пакетов (Wireshark, Zeek) и каналы внеполосной связи (на случай компрометации основной электронной почты во время инцидента).

Многие организации заключают соглашения о резервировании услуг со специализированными фирмами по реагированию на инциденты (Mandiant, CrowdStrike, Palo Alto Unit 42). Такое соглашение гарантирует приоритетное реагирование при возникновении инцидента, заранее согласованные расценки и определённые SLA (например, прибытие специалиста на место в течение 4 часов после уведомления). Без такого соглашения привлечение фирмы по реагированию во время серьёзного нарушения безопасности может занять несколько дней и обойтись по повышенным расценкам. Такие фирмы также проводят практические учения, поиск угроз и оценку готовности до нарушения безопасности.

Практические учения моделируют сценарии инцидентов в формате обсуждения в переговорной комнате, не затрагивая рабочие системы. Участники проходят по развивающемуся сценарию — атаке Ransomware, мошенническому письму от CEO или компрометации учётных данных — и обсуждают свои действия на каждом этапе принятия решений. Такие учения выявляют пробелы в пошаговых руководствах, неясные обязанности по ролям и непроверенные предположения до того, как их обнаружит реальный инцидент. Их следует проводить ежеквартально для CSIRT и ежегодно для руководителей.

Коммуникации во время инцидента необходимо планировать заранее. Ключевые аспекты: сроки уведомления регулирующих органов (GDPR требует уведомить о нарушении в течение 72 часов, HIPAA — в течение 60 дней, сроки по законам штатов о нарушениях различаются), шаблоны уведомлений клиентов, критерии уведомления правоохранительных органов (FBI при Ransomware, Секретная служба при финансовом мошенничестве), сообщения для связей с общественностью и внутренние сообщения сотрудникам. Крайне важно, чтобы во время инцидента коммуникации велись по внеполосным каналам: злоумышленник может отслеживать корпоративную электронную почту.

Подготовка включает разработку процедур сбора доказательств, сохраняющих их допустимость в суде. Ключевые требования: документировать порядок утраты данных, использовать блокираторы записи при создании образов дисков, записывать криптографические хеши всех доказательств (SHA-256), документировать цепочку хранения от сбора до хранения. Доказательства, подлинность которых невозможно подтвердить из-за несоблюдения процедур, могут быть признаны недопустимыми в судебных разбирательствах против злоумышленников или сотрудников.

Организации без зрелой подготовки к IR регулярно допускают дорогостоящие ошибки во время нарушений безопасности: специалисты переустанавливают системы до захвата криминалистических доказательств, уничтожая возможность понять произошедшее; общаются по скомпрометированным каналам, предупреждая злоумышленников; слишком медленно эскалируют инцидент из-за неясной классификации по степени серьёзности; не имеют полномочий принимать решения об изоляции, из-за чего требуются часы на получение согласований; не могут определить затронутые системы, поскольку инвентаризация активов неполна. Каждую из этих ошибок можно предотвратить подготовкой.

Проверьте своё понимание концепций CompTIA Security+ (SY0-701), рассмотренных в этом уроке.

В этом уроке Вы узнали, что IRP — это основной документ, определяющий роли, классификацию по степени серьёзности и процедуры коммуникации, пошаговые руководства содержат тактические пошаговые инструкции для конкретных типов инцидентов, а практические учения и соглашения о резервировании услуг помогают подготовить команды к эффективному реагированию до возникновения реального инцидента. Далее мы рассмотрим обнаружение и анализ: выявление реальных инцидентов.