Dịch vụ ứng phó sự cố an ninh mạng và phục hồi

Chọn tiêu chí kích hoạt nhóm ứng phó sự cố hành động. Hệ thống CNTT thu thập thông tin về các sự kiện từ công cụ giám sát, tệp nhật ký, thông báo lỗi, tường lửa và hệ thống phát hiện xâm nhập. Để xác định liệu các sự kiện bất thường có phản ánh sự cố bảo mật hay không, dữ liệu này phải được kiểm tra bởi các công cụ tự động và chuyên gia bảo mật. Ví dụ: nên kiểm tra nhiều yếu tố, thay đổi hành vi và các sự kiện mới để biết khi có người đang làm hại máy chủ web. Cần thông báo nhóm ứng phó sự cố khi sự cố được cách ly. Nhóm nên thực hiện biện pháp ứng phó phù hợp với sự cố:

• Xác định, đánh giá sự cố và thu thập bằng chứng
• Xác định loại và mức độ nghiêm trọng của sự cố, và nếu cần, hãy thông báo tình huống lên trên
• Mô tả các hành động bạn đã thực hiện, tập trung vào câu hỏi ""ai, cái gì, ở đâu, tại sao và như thế nào."" Trong trường hợp cần chứng minh trước pháp luật, thông tin này có thể làm bằng chứng.

Sau khi cô lập một sự kiện bảo mật, nhóm ứng phó cần ngăn chặn sự kiện này tiếp tục gây thiệt hại. Điều đó bao gồm:

• Ngăn chặn ngắn hạn: Việc này đòi hỏi phản ứng kịp thời để ngăn chặn mối đe dọa gây hại nhiều hơn, như cách ly một phân đoạn mạng dễ bị tấn công hoặc gỡ bỏ các máy chủ sản xuất bị xâm nhập.
• Sao lưu hệ thống: Trước khi xóa và mô phỏng lại hệ thống bị ảnh hưởng để đạt ""trạng thái hiện tại"" hoặc hình ảnh pháp y, bạn nên sao lưu tất cả. Hình ảnh pháp y là bản sao chính xác của ổ cứng hoặc phân vùng đĩa cụ thể. Hình ảnh đĩa được tạo sau một sự cố bảo mật để duy trì trạng thái của đĩa mọi lúc, mọi nơi và cung cấp một ""ảnh chụp nhanh"" tĩnh để hiểu hệ thống đã bị tấn công như thế nào.
• Ngăn chặn dài hạn: Xây dựng lại các hệ thống sạch và đưa vào sử dụng trong suốt giai đoạn khôi phục, đồng thời thực hiện các bản sửa lỗi tạm thời để thay thế các hệ thống đã bị gỡ xuống thành hình ảnh và khôi phục. Cài đặt bản vá bảo mật trên các hệ thống bị ảnh hưởng và có liên quan, xóa tài khoản và lỗ hổng do kẻ tấn công tạo ra, sửa đổi quy tắc tường lửa, thay đổi định tuyến để vô hiệu hóa IP của kẻ tấn công, đồng thời thực hiện các biện pháp khác để ngăn chặn tình huống tái diễn hoặc trở nên tồi tệ hơn.

Bảo vệ chống lại mối đe dọa và khôi phục các hệ thống cơ bản về trạng thái ban đầu. Để ngăn chặn các cuộc tấn công tiếp theo, nhóm ứng phó phải xác định nguồn gốc chính của cuộc tấn công, loại bỏ các mối đe dọa và phần mềm độc hại, đồng thời tìm và giảm thiểu bất kỳ lỗ hổng nào đã bị khai thác. Các bước này có thể thay đổi cấu trúc của tổ chức. Mục tiêu là triển khai các thay đổi với tác động nhỏ nhất đến hoạt động thường ngày của tổ chức bằng cách hạn chế và giảm lượng dữ liệu bị lộ. Đảm bảo nhóm ứng phó đã kiểm tra các hệ thống bị ảnh hưởng và xóa mọi nội dung độc hại. Chẳng hạn khi kẻ tấn công khai thác bất kỳ lỗ hổng nào, thì lỗ hổng đó sẽ được sửa.

• Xác định và giải quyết bất kỳ máy chủ bị ảnh hưởng nào – bên ngoài hoặc bên trong
• Loại bỏ tất cả phiên bản phần mềm bằng cách tập trung vào nguồn của cuộc tấn công
• Phân tích phần mềm độc hại để xác định mức độ thiệt hại
• Quan sát xem kẻ tấn công có phản ứng với hành động của bạn không - xác minh thông tin xác thực mới được tạo hoặc nâng quyền để ứng phó tuyên bố khai thác hoặc POC công khai
• Xác minh rằng không có bất kỳ sự lây nhiễm thứ cấp nào và xóa nếu có
• Bảo vệ mạng và đảm bảo rằng không có thêm hoạt động nào từ những kẻ tấn công

Ưu tiên đưa các hệ thống bị ảnh hưởng trở lại môi trường sản xuất trong giai đoạn này để tránh sự kiện khác. Luôn khôi phục hệ thống từ các bản sao lưu sạch, thay đổi các tệp hoặc bộ chứa bị hỏng với tệp sạch, cài đặt lại hoàn toàn hệ thống, áp dụng các bản vá lỗi, cập nhật mật khẩu và thắt chặt bảo mật vành đai mạng như danh sách kiểm soát truy cập bộ định tuyến ranh giới, bộ quy tắc tường lửa, v.v.

Xác định cách kiểm tra các hệ thống bị ảnh hưởng đang hoạt động bình thường và doanh nghiệp cần giám sát mạng và hệ thống điểm cuối bị ảnh hưởng trong bao lâu. Xác định tổn thất của vi phạm dữ liệu và mọi hậu quả liên quan, chẳng hạn như giảm hiệu suất và thời gian cần thiết để gỡ lỗi, khôi phục và khôi phục hoàn toàn.

Một cuộc họp tóm tắt hoặc rút kinh nghiệm rất có giá trị sau bất kỳ sự cố nào để ghi lại những gì đã xảy ra, những gì diễn ra tốt đẹp và khả năng cải thiện. Để tăng cường quy trình sắp tới, nhóm ứng phó sự cố nên tham khảo ý kiến của các bên liên quan. Hoàn thành tài liệu chưa được chuẩn bị trong suốt quá trình phản hồi. Nhóm ứng phó phải giải thích cách xử lý và loại bỏ sự cố.

Phân tích các bước được sử dụng để khôi phục hệ thống bị xâm nhập, cũng như các khía cạnh mà nhóm ứng phó cần cải thiện. Kiểm tra hiệu quả của kế hoạch ứng phó sự cố hoặc vị trí của lỗ hổng. Sự cố được xem xét rõ ràng trong các báo cáo về các bài học kinh nghiệm. Nội dung này sau đó có thể sử dụng trong các cuộc họp, làm điểm so sánh hoặc làm tài liệu đào tạo cho các thành viên mới của nhóm ứng phó sự cố.