วงจรชีวิต IR: เตรียมการ ระบุ และควบคุม

การตอบสนองต่อเหตุการณ์ (IR) คือแนวทางที่เป็นระบบสำหรับจัดการและรับมือกับเหตุการณ์ด้านความปลอดภัย เป้าหมายคือจำกัดความเสียหายให้เหลือน้อยที่สุด ลดเวลาในการกู้คืน และป้องกันไม่ให้เหตุการณ์เกิดซ้ำ การมีแผน IR ที่จัดทำเป็นเอกสารไว้ล่วงหน้าก่อนเกิดเหตุการณ์ถือเป็นเรื่องสำคัญอย่างยิ่ง

กรอบงาน IR ที่สำคัญ:

• NIST SP 800-61: การเตรียมพร้อม → การตรวจจับ/การวิเคราะห์ → การจำกัดวง/การกำจัดภัยคุกคาม/การกู้คืน → หลังเกิดเหตุการณ์
• SANS PICERL: เตรียมพร้อม, ระบุเหตุการณ์, จำกัดวง, กำจัดภัยคุกคาม, กู้คืน, บทเรียนที่ได้รับ
• CISA: โดยรวมสอดคล้องกับ NIST

กิจกรรมการเตรียมพร้อม:

• จัดทำเอกสารนโยบายและขั้นตอน IR
• จัดตั้งและฝึกอบรมทีม IR (CIRT)
• ติดตั้งเครื่องมือบันทึกข้อมูลและตรวจจับ
• จัดตั้งช่องทางการสื่อสารและเส้นทางการยกระดับเหตุการณ์
• ดำเนินการฝึกซ้อมสถานการณ์จำลองและการจำลองเหตุการณ์
• จัดทำคู่มือปฏิบัติงานสำหรับเหตุการณ์แต่ละประเภทที่พบบ่อย

เตรียมพร้อมก่อนเกิดเหตุการณ์:

• SIEM แบบรวมศูนย์สำหรับวิเคราะห์บันทึกข้อมูล
• เครื่องคอมพิวเตอร์สำหรับนิติวิทยาศาสตร์ดิจิทัล พร้อมอุปกรณ์ป้องกันการเขียนและเครื่องมือสร้างสำเนา
• ระบุผู้ติดต่อด้านกฎหมายและ HR ไว้ล่วงหน้า
• สัญญาว่าจ้างบริการ IR ล่วงหน้ากับบริษัทนิติวิทยาศาสตร์ดิจิทัลภายนอก
• ตรวจสอบและทำให้แน่ใจว่าสำเนาสำรองแบบออฟไลน์เข้าถึงได้

การระบุเหตุการณ์คือการตรวจพบและยืนยันว่าเกิดเหตุการณ์ขึ้นแล้ว แหล่งที่มาของการตรวจจับ:

• การแจ้งเตือนจาก SIEM และเหตุการณ์จาก IDS/IPS
• รายงานจากผู้ใช้ (“คอมพิวเตอร์ของฉันทำงานแปลก ๆ”)
• แหล่งข้อมูลข่าวกรองภัยคุกคาม
• การตรวจจับความผิดปกติ (เวลาเข้าสู่ระบบหรือการถ่ายโอนข้อมูลที่ผิดปกติ)
• การแจ้งจากบุคคลที่สาม (หน่วยงานบังคับใช้กฎหมายหรือพันธมิตร)

จัดระดับเหตุการณ์ตามความรุนแรงเพื่อจัดลำดับความสำคัญของการรับมือ:

• P1/วิกฤต: การเจาะระบบที่กำลังเกิดขึ้น การลักลอบนำข้อมูลออก แรนซัมแวร์
• P2/สูง: บัญชีสิทธิ์สูงถูกเจาะ มัลแวร์ถูกตรวจพบ
• P3/ปานกลาง: การละเมิดนโยบาย กิจกรรมน่าสงสัย
• P4/ต่ำ: ความพยายามเข้าสู่ระบบที่ไม่สำเร็จ การตั้งค่าผิดพลาดเล็กน้อย

การจำกัดวงช่วยหยุดการแพร่กระจายของความเสียหายโดยไม่ทำลายหลักฐาน มีสองประเภท:

• การจำกัดวงระยะสั้น: แยกระบบที่ได้รับผลกระทบ (กักกันเครือข่าย)
• การจำกัดวงระยะยาว: ลบองค์ประกอบอันตรายโดยยังคงการดำเนินงานไว้

การดำเนินการจำกัดวง:

• การแยกเครือข่าย: การกักกัน VLAN และกฎการบล็อกของไฟร์วอลล์
• การล็อกบัญชี: ปิดใช้งานข้อมูลรับรองที่ถูกเจาะ
• การยุติกระบวนการผ่าน EDR: ยุติกระบวนการอันตรายผ่าน EDR
• หลุมดัก DNS: เปลี่ยนเส้นทางโดเมนควบคุมและสั่งการเพื่อป้องกันการติดต่อกลับ
• เก็บรักษาหลักฐาน BEFORE การล้างข้อมูล

ระหว่างเหตุการณ์สำคัญ ให้ใช้โครงสร้างการบัญชาการที่ชัดเจน:

• ผู้บัญชาการเหตุการณ์ — การประสานงานโดยรวม
• หัวหน้าด้านเทคนิค — การสืบสวนและการแก้ไข
• หัวหน้าด้านการสื่อสาร — การแจ้งภายในและภายนอก
• กฎหมาย/การปฏิบัติตามข้อกำหนด — ภาระหน้าที่ตามกฎระเบียบ

IR ที่มีประสิทธิภาพดำเนินการจำกัดวง การสืบสวน และการสื่อสารไปพร้อมกัน ไม่ใช่ดำเนินการตามลำดับ ขณะที่ทีมด้านเทคนิคจำกัดวงภัยคุกคาม ฝ่ายกฎหมายจะเตรียมการแจ้งเตือน และฝ่ายบริหารจะสื่อสารกับผู้มีส่วนได้เสีย เวลาเป็นสิ่งสำคัญ: ทุกชั่วโมงที่ยังมีการเข้าถึงโดยไม่ถูกจำกัดจะทำให้เกิดความเสียหายมากขึ้น

จัดทำเอกสารทุกอย่างระหว่างเกิดเหตุการณ์:

• ลำดับเหตุการณ์พร้อมเวลาประทับ
• การดำเนินการทั้งหมดที่ทำไป (ระบุว่าใครทำอะไรและเมื่อใด)
• หลักฐานที่รวบรวมและสายการครอบครองหลักฐาน
• การตัดสินใจและเหตุผลประกอบ

เอกสารนี้จำเป็นอย่างยิ่งสำหรับกระบวนการทางกฎหมายและการทบทวนหลังเกิดเหตุการณ์

วงจร IR (NIST): การเตรียมพร้อม การระบุเหตุการณ์ การจำกัดวง การกำจัดภัยคุกคาม การกู้คืน และหลังเกิดเหตุการณ์ การเตรียมพร้อมเป็นระยะที่สำคัญที่สุด — จัดตั้งทีม เตรียมเครื่องมือ และจัดทำคู่มือปฏิบัติงานก่อนเกิดเหตุการณ์ การระบุเหตุการณ์เป็นการยืนยันว่าเกิดเหตุการณ์ขึ้น การจำกัดวงช่วยหยุดการแพร่กระจายพร้อมกับรักษาหลักฐานไว้ จัดทำเอกสารการดำเนินการทุกอย่างพร้อมเวลาประทับ