Planowanie reagowania na zdarzenia

Ten artykuł jest częścią dyscypliny Operacje zabezpieczeń (SecOps) w strukturze rozwiązania zabezpieczające firmy Microsoft Adoption Framework (SAF). Pomaga to liderom SecOps, architektom, liderom IT i interesariuszom biznesowym projektować zdolności reagowania na incydenty do badania, powstrzymywania i odtwarzania po aktywnych cyberatakach, jednocześnie minimalizując wpływ na działalność biznesową, operacyjną, prawną i reputację.

Skorzystaj z tego artykułu, aby uzyskać wskazówki dotyczące strategii i procesu reagowania na incydenty. W przypadku działań związanych z gotowością użyj polecenia Prepare for incident response. Aby uzyskać wskazówki dotyczące wykonywania określonego scenariusza, użyj Omówienie podręczników reagowania na zdarzenia. Aby uzyskać wskazówki dotyczące implementacji specyficzne dla kontroli i na poziomie produktu, użyj technologii SecOps.

Omówienie reagowania na zdarzenia

Reagowanie na zdarzenia to praktyka badania i korygowania aktywnych kampanii ataku przeciwko organizacji.

Reagowanie na zdarzenia ma największy bezpośredni wpływ na krytyczne metryki SecOps, szczególnie:

  • Średni czas potwierdzenia (MTTA). Czas potrzebny zespołowi na potwierdzenie alertu lub zdarzenia po wygenerowaniu.
  • Średni czas korygowania (MTTR). Czas potrzebny na naprawienie zdarzenia zabezpieczeń po potwierdzeniu.

Zmniejszenie tych metryk zmniejsza ryzyko organizacyjne i ogranicza wpływ atakującego.

Pomyślna reakcja na zdarzenia zależy od ścisłej współpracy między osobami reagującymi na zdarzenia, wyszukiwaniem zagrożeń, analizą zagrożeń, operacjami IT, prawem, komunikacją i zespołami kierowniczymi.

Podręczniki reagowania na zdarzenia

Podręczniki reagowania na zdarzenia zapewniają szczegółowe wskazówki dotyczące scenariusza, które ułatwiają zespołom SecOps szybkie i spójne reagowanie na typowe techniki ataków.

Podręczniki są kluczowymi danymi wyjściowymi planowania. Są one opracowywane, poddawane przeglądowi i weryfikowane, zanim dojdzie do incydentów, dzięki czemu zespoły reagowania mogą pod presją prowadzić dochodzenia i działania ograniczające skutki bez konieczności opracowywania procedur działania na bieżąco.

Microsoft publikuje podręczniki reagowania na zdarzenia w oparciu o najlepsze rozwiązania z Microsoft Reagowanie na zdarzenia, wraz ze wskazówkami dotyczącymi typowych scenariuszy ataku, w tym:

  • Phishing (wyłudzanie informacji)
  • Atak rozproszony na hasła
  • Nadużycie mechanizmu zgody aplikacji
  • Naruszone lub złośliwe aplikacje

Każdy podręcznik reagowania na zdarzenia obejmuje:

Playbook | SzczegółyWymagania wstępne | Wymagane dzienniki, role, uprawnienia i konfiguracja potrzebne przed rozpoczęciem dochodzenia. Przepływ pracy | Zalecany przepływ badania, który wyjaśnia sekwencjonowanie i zależności. Lista kontrolna | Ukierunkowana na zadania lista kontrolna, która wspiera realizację działań, zwłaszcza w środowiskach regulowanych lub audytowanych. Etapy dochodzenia | Szczegółowe wskazówki krok po kroku dostosowane do konkretnej techniki ataku.

Podręczniki uzupełniają, ale nie zastępują planów reagowania na zdarzenia, procedur odzyskiwania ani procesów podejmowania decyzji wykonawczych. Zamiast tego operacjonalizują Twoją strategię reagowania na incydenty, przekształcając wykrycia w powtarzalne działania reagowania o wysokim poziomie pewności.

Zasady skutecznego reagowania

Niezależnie od używanych narzędzi lub procesów skuteczne reagowanie na zdarzenia wymaga spójnego zastosowania poniższych zasad.

  • Bądź spokojny i skoncentrowany: Incydenty bezpieczeństwa są destrukcyjne i emocjonalnie naładowane. Najpierw należy skoncentrować się na akcjach o najwyższym wpływie.

  • Zrównoważ pilność z precyzją: szybkie działanie w celu powstrzymania zagrożeń, ale weryfikowanie działań w celu uniknięcia niezamierzonych szkód, utraty dowodów lub niekompletnego korygowania.

  • Nie wyrządzaj szkód: Upewnij się, że działania podejmowane w odpowiedzi nie:

    • Niszczenie dowodów kryminalistycznych
    • Przyczyna niepotrzebnych zakłóceń w działalności biznesowej
    • Zapobieganie analizie głównej przyczyny i uczeniu się

  • Zaangażuj dział prawny odpowiednio wcześnie: Wsparcie prawne ma kluczowe znaczenie dla:

    • Zaangażowanie organów ścigania
    • Powiadomienia o przepisach i ochronie prywatności
    • Komunikacja zewnętrzna
    • Zachowywanie uprawnień

  • Udostępnianie informacji kontroli: komunikacja publiczna lub komunikacja z klientami powinna odbywać się tylko z wytycznymi prawnymi, aby uniknąć odpowiedzialności i dezinformacji.

  • Uzyskaj pomoc w razie potrzeby: duże lub zaawansowane ataki często wymagają głębokiej, specjalistycznej wiedzy, w tym zewnętrznych osób reagująjących, dostawców lub profesjonalnych usług.

Reagowanie na zdarzenia jest podobne do leczenia krytycznego stanu zdrowia: system jest niezwykle ważny, nie można go zamknąć i jest zbyt złożony, aby każda osoba mogła w pełni zrozumieć.

Zrównoważ szybkość i ryzyko

Podczas zdarzeń zespoły SecOps muszą spójnie równoważyć następujące elementy:

  • Szybkość a dokładność — szybkie działanie bez eskalacji wpływu
  • Przejrzystość a odpowiedzialność — odpowiednie udostępnianie informacji śledczym, kierownictwu i klientom

Ważne jest, aby postępować zgodnie z zalecanymi działaniami, które zmniejszają ryzyko i unikają typowych pułapek, jednocześnie spełniając oczekiwania uczestników projektu.

Najlepsze rozwiązania dotyczące odpowiedzi technicznych

Kluczowe cele podczas reagowania na zdarzenia techniczne obejmują:

  • Identyfikowanie zakresu ataku
  • Identyfikowanie mechanizmów trwałości
  • Określanie celu osoby atakującej, jeśli jest to możliwe

Atakujący często wracają, jeśli nie uda się w pełni pokrzyżować ich planów.

Zalecane rozwiązania obejmują:

  • Unikaj przekazywania plików do publicznych skanerów: przeciwnicy monitorują usługi, takie jak VirusTotal w celu wykrycia docelowego złośliwego oprogramowania.
  • Starannie rozważ modyfikacje systemu: wprowadzaj zmiany tylko wtedy, gdy ryzyko bezczynności przewyższa wpływ na działalność biznesową. Dokumentuj wszystkie zmiany wprowadzone w związku z incydentem, aby umożliwić ich wycofanie podczas przywracania.
  • Bezwzględnie ustal priorytety dochodzenia: skup analizę na zasobach, z których atakujący rzeczywiście korzystał lub które zmodyfikował. Pełne objęcie analizą forensyczną jest często niewykonalne.
  • Udostępnianie informacji celowo: Upewnij się, że wewnętrzne zespoły i zatwierdzone zewnętrzne śledczy dzielą się ustaleniami zgodnie ze wskazówkami prawnymi.
  • Uwzględnij dogłębną wiedzę systemową: włącz ekspertów w zakresie platform, aplikacji i infrastruktury — nie tylko generalistów ds. bezpieczeństwa.
  • Zaplanuj ograniczoną zdolność operacyjną: Załóż, że 50% personelu będzie pracować z wydajnością na poziomie 50% z powodu stresu i zmęczenia.
  • Zarządzanie oczekiwaniami: w niektórych zdarzeniach zidentyfikowanie początkowego wektora dostępu może być niemożliwe z powodu usunięcia lub niedostępności telemetrii.

Najlepsze rozwiązania dotyczące odpowiedzi na operacje

Koordynacja operacyjna jest równie krytyczna.

Kluczowe cele obejmują:

  • Utrzymywanie nacisku na zasoby krytyczne dla działania firmy
  • Ustanawianie jasności roli i organu decyzyjnego
  • Zarządzanie wpływem biznesowym i operacyjnym

Zalecane rozwiązania:

  • Stosuj System Dowodzenia Incydentem (ICS): jeśli nie istnieje żadna stała organizacja kryzysowa, ICS zapewnia tymczasową strukturę organizacyjną.
  • Zachowywanie codziennych operacji SecOps: wykrywanie, klasyfikacja i monitorowanie muszą być kontynuowane podczas badania.
  • Unikaj zakupów opartych na panikach: nie pobieraj narzędzi, których nie można wdrażać i obsługiwać podczas zdarzenia.
  • Eskaluj do właścicieli i dostawców platform: zapewnij dostęp do głębokiej wiedzy na temat systemów operacyjnych, aplikacji i infrastruktury podstawowej.
  • Wczesne definiowanie przepływów informacji: ustawianie oczekiwań dotyczących aktualizacji kadry kierowniczej i osób biorących udział w projekcie.

Najlepsze rozwiązania dotyczące odzyskiwania technicznego

Odzyskiwanie powinno być celowe, skonsolidowane i szybkie.

Kluczowe cele obejmują:

  • Ogranicz zakres, aby odzyskiwanie mogło nastąpić w ciągu 24 godzin, gdy jest to możliwe
  • Unikaj rozpraszania uwagi, które nie są bezpośrednio związane z odzyskiwaniem

Zalecane rozwiązania:

  • Nie resetuj wszystkich haseł jednocześnie: Nadaj priorytet kontom, o których wiadomo, że zostały skompromitowane, zwłaszcza kontom administratorów i kontom usługowym. W razie potrzeby należy używać resetowania etapowego dla użytkowników.
  • Skonsoliduj działania naprawcze: skoordynowane działania naprawcze typu „Big Bang” ograniczają możliwość dostosowania się przez atakującego.
  • Najpierw użyj istniejących narzędzi: korzystaj z narzędzi już wdrożonych i zrozumiałych.
  • Nie zaalarmuj osoby atakującej: zakładaj, że osoby atakujące mogą mieć dostęp do danych produkcyjnych i poczty e-mail.

Microsoft Security Operations Center używa dzierżawy Microsoft 365 nieprodukcyjnej na potrzeby bezpiecznej współpracy środowiska IR.

Najlepsze rozwiązania dotyczące odzyskiwania operacji

Kluczowe cele obejmują:

  • Usuń właściciela planu
  • Kontrolowany zakres
  • Ciągła komunikacja uczestników projektu

Zalecane rozwiązania:

  • Wyznacz osobę odpowiedzialną za przywracanie działania: scentralizowane podejmowanie decyzji zapobiega nieporozumieniom.
  • Zrozum ograniczenia: skorzystaj z pomocy zewnętrznych ekspertów, gdy zespoły są przeciążone lub niedoświadczone.
  • Udokumentować wyciągnięte wnioski: Zaktualizować podręczniki operacyjne SecOps, procedury i wskazówki dla poszczególnych ról.

Komunikacja kadry kierowniczej i zarządu jest skuteczniejsza, gdy jest planowana i przećwiczona z wyprzedzeniem.

Proces reagowania na zdarzenia dla metodyki SecOps

Podejmowanie decyzji i działania

Gdy narzędzia takie jak Microsoft Defender XDR lub Microsoft Sentinel tworzą incydent:

  • Usługa MTTA kończy się, gdy analityk przejmuje własność
  • MTTR zaczyna się w momencie rozpoczęcia działań naprawczych

Na podstawie pewności i zakresu analitycy wybierają między:

  • Usuwaj na bieżąco — skup się na incydentach we wczesnej fazie.
  • Działania naprawcze na dużą skalę — koncentracja na głęboko zakorzenionych atakujących utrzymujących trwały dostęp.

Częściowe działania naprawcze często alarmują atakującego i zwiększają skalę szkód.

Typowe akcje korygowania obejmują:

  • Punkty końcowe — izolowanie i ponowne odtworzenie obrazu
  • Serwery i aplikacje — koordynowanie korygowania z właścicielami
  • Konta użytkowników — wyłączanie, resetowanie poświadczeń, wygasanie tokenów, weryfikowanie uwierzytelniania wieloskładnikowego
  • Konta usług — koordynowanie z właścicielami i operacjami IT
  • Poczta e-mail — usuwanie złośliwych wiadomości i zachowywanie oryginalnych wiadomości
  • Inne akcje — odwoływanie tokenów aplikacji, ponowne konfigurowanie usług

Oczyszczanie po zdarzeniu

Skuteczne reagowanie na zdarzenia jest niekompletne bez uczenia instytucjonalnego. Działania po zdarzeniu obejmują:

  • Rejestrowanie wskaźników naruszenia (IoCs)
  • Rozwiązywanie problemów z nieznanymi lub niezaznaczonemi lukami w zabezpieczeniach
  • Włączanie lub ulepszanie rejestrowania i telemetrii
  • Aktualizowanie punktów odniesienia zabezpieczeń
  • Ulepszanie procesów odpowiedzi i podręczników

Te ulepszenia zmniejszają nakład pracy ręcznej i skracają czas odpowiedzi w przyszłych zdarzeniach.

Następne kroki

  • Ostatnia aktualizacja o