O papel da preparação e do processo na resposta a incidentes

Vamos começar pelo princípio. O primeiro aspecto da fase de preparação é identificar e atribuir funções e responsabilidades. Isso dependerá de vários fatores, como a gravidade do incidente, os detalhes do ambiente e as ferramentas disponíveis.

Uma vez identificadas as pessoas certas, a próxima pergunta é: "O que elas fazem?" Ou, mais especificamente, "Depois que a equipe sabe o que fazer e é treinada para isso, como ela sabe quando fazer?" A resposta a essa pergunta varia de acordo com o contexto. nível de maturidade de segurança da sua organização.

Você pode começar a responder a essa pergunta identificando quais das centenas, ou até milhares, de eventos de segurança diários devem ser classificados como incidentes e merecem atenção adicional. A maioria das organizações não aborda essa questão explicitamente e realiza o acompanhamento de forma pontual, dependendo dos recursos e da experiência disponíveis. Embora essa abordagem funcione por um tempo, ela não fornece informações consistentes para revisão e melhoria e provavelmente resultará em uma resposta de menor qualidade no geral. É melhor atacar o diabo nos detalhes, criando um processo formal para identificar incidentes proativamente.

O que se qualifica como um incidente?

De acordo com o Instituto Nacional de Padrões e Tecnologia (NIST), Um evento de segurança é definido como “qualquer ocorrência observável em uma rede ou sistema de informação”. Portanto, quanto mais atentamente você observar sua rede e quanto mais sensíveis forem seus instrumentos, mais eventos você observará ou detectará. A gravidade desses eventos pode variar desde pings de firewall até tentativas de phishing e exfiltração de dados. Dependendo da sua experiência e da presença ou ausência de controles compensatórios, muitos desses eventos provavelmente podem ser ignorados com segurança. Por outro lado, o NIST define um “incidente” cibernético como uma ocorrência disruptiva e um evento que também “viola políticas de segurança, procedimentos de segurança ou políticas de uso aceitável”.”

A abordagem do NIST reflete um foco em gestão programática. O incidente em questão representa uma violação de padrões, seja por um agente interno ou externo, e a resposta é ditada pelo padrão que foi violado. No entanto, da perspectiva de um analista de segurança, um evento ou potencial incidente representa a observação de algo fora do comum, ou um comportamento anômalo, na rede. Antes de classificar algo como um incidente, é necessário começar com uma linha de base de medições de atividade, para saber o que constitui normalidade. Do ponto de vista da preparação, é preciso ter políticas e procedimentos que especifiquem a atividade "normal" em sua rede.

Outra forma de identificar eventos e incidentes é fazer algumas perguntas-chave sobre o evento:

1. O evento indica uma violação da lei ou de regulamentação aplicável, como PCI/DSS, HIPAA, FERPA, etc.? Existem regulamentações que exigem notificação pública em decorrência do evento?
2. O evento indica uma violação da política da empresa? E qual é a consequência especificada na política?
3. O evento reflete uma violação dos valores e/ou da ética corporativa? (Se você respondeu sim à pergunta 3, mas não à 2, considere se deve haver uma política em vigor).

A preparação para resposta a incidentes é desafiadora, mas formalizar o processo de identificação de incidentes tornará essa preparação muito mais eficaz. preparado para a resposta: conter, erradicar e remediar o incidente.

*Adaptado de um texto existente Segurança de Sincronia Postagem de blog.