நீங்கள் எவ்வாறு செயல்படும் ஘টனை பதிலளிக்கும் திட்டத்தை உருவாக்குவீர்கள்?

பெரும்பாலான நிறுவனங்கள் ஘টனை பதிலளிக்கும் செயலில் கருவிகளின் குறைவு காரணமாக தோல்வியடைவதில்லை. யாரெல்லாம் என்ன செய்ய வேண்டும் என்பதை முன்கூட்டியே யாரும் ஒப்புக்கொள்ளாத காரணமாக அவை தோல்வியடைகின்றன, மேலும் முதல் உண்மையான ஘டனை ஒரு பதிலாக இல்லாமல் ஒரு கூட்டமாக மாறிவிடும்.

விளையாட்டுப் புத்தகத்தையல்ல, கட்டங்களிலிருந்து தொடங்கவும்

NIST SP 800-61 நான்கு கட்டங்களை வரையறுக்கிறது: தயாரிப்பு, கண்டறிதல் மற்றும் பகுப்பாய்வு, கட்டுப்படுத்தல்/வெளியேற்றல்/மீட்டெடுப்பு, மற்றும் ஘டனை பிந்தைய செயல்பாடு. அந்த வரிசை முக்கியம். குழுக்கள் கட்டுப்படுத்தலுக்குக் குதித்து செல்ல விரும்புகின்றன, ஏனெனில் இது உৎপাদনশীலமாக உணர்வாக இருக்கிறது, ஆனால் நீங்கள் தயாரிப்பு பணியைச் செய்யாவிட்டால், நீங்கள் எதையும்깨끗்டுவளர் கட்டுப்படுத்த உங்கள் சொந்த நெட்வொர்க்கை போதுமாக அறிந்திருக்க மாட்டீர்கள்.

தயாரிப்பு என்பது உண்மையில் தற்போதைய சম்பদ சரக்கு பட்டியல்கள் என்பது, 2022 ஆண்டிலிருந்து ஸ்பிரெட்ஷीட் அல்ல. இது உங்கள் பதிவு தக்க வைக்கும் சாளரத்தை அறிய வேண்டும் (இது 7 நாட்கள் மற்றும் தாக்குனர் 30 நாட்களின் வசிப்பு நேரம் இருந்தால், நீங்கள் ஈடாக்கம் হয়েவிட்டுள்ளீர்கள்). இது முன்-கட்ட ஃபரென்சிக் கருவிகள் - Velociraptor, KAPE, அல்லது நிவேதனtar/dd சட்ட வட்ட பட்டிக்களுக்கான செயல்முறை - ஆக்டிவ் ஘டனையின் போது ஒரு சமரஸத்தக்கப்பட்ட ஹோஸ்டிற்கு யாரும் கருவிகளைப் பதிவிறக்கவில்லை.

உங்களுக்கு அவற்றின் தேவை நேராக முன் கடுமையான நிலைகளை வரையறுக்கவும்

ஒரு SEV1 (ஸ்வीப் ডேটா கொள்ளை, ransomware வெடிப்பு, டொமைன் நிர்வாகி சமரஸம்) ஒரு SEV3 (ஒற்றை unprivileged workstation இல் தனிமைப்படுத்தப்பட்ட தீமை) பிந்தாய় விட வெவ்வேறு பதிலளிப்பு தேவை. இதை ম மாதிரி என்பதாக எழுதுங்கள்: தாக்கத் vs. நோக்கம் vs. நம்பிக்கை. ஒவ்வொரு கடுமைக்கு தேவையான பதிலளிப்பு நேரம் மற்றும் escalation பாதையை ஒதுக்குங்கள். உங்கள் SEV1 க்கான ஘டனை கமாண்டர் ஒவ்வொரு $500 கொள்ள வாணிக நிர்ணயிப்புக்கு ஆமோதன் தரவேண்டிய ஒரே நபர் இருந்தால், நீங்கள் உங்கள் சொந்த அவசர செயல்முறையில் ஒரு bottleneck கட்டியுள்ளீர்கள்.

஘டனை கமாண்டர் பாத்திரம் விரும்பியதல்ல

ஒரு நபர் ஘டனையை இயக்குகிறது. பொதுவாக மிக மூத்த பொறியாளர் அல்ல — давlenияக்கு வஸ்తු, விதிவிலக்கு மற்றும் கட்டுப்படுத்தல் அழைப்புகளை விருப்பமாக ஆட்சி செய்வதற்கு சிறந்ததாக செய்யப்பட்ட நபர். இந்த நபர் பதிலளிப்புக்கின் போது அவசியமாக விசைப்ெலகு தொடாவிட்டார்கள்; அவர்கள் கோடி-சாலையை கொண்டாடிக்கொண்டு, சட்ட மற்றும் தலைமைக்கு যোகாஸனம் நிர్வஹித்து, பிரிக்கப் பிரிவை பிரிக்க அல்லது கணினி (offline) இயக்குவதன் விடயிலிருக்தேம்.

இந்த பாத்திரம் இல்லாமல், நீங்கள் ஐந்து நபர்கள் அதே பெட்டிக்குள் SSH வேறு வெகு சிறிய அளவாய் பல புரை தெரிய இல்லாமல், மற்றும் அவர்களுடன் தொடர்பு இல்லாமல், மற்றும் யாரும் ஒருவர் "பார்க்க வேண்டும்" என்ற நினைவிற்கு மாற்றுவதற்கு முன் volatile memory ஐக் கைப்பற்றுவதே இல்லை.

அறிக்கையாய் பிரவர்த்திக்கும் கட்டுப்படுத்தல் முடிவுகள்

பெரும்பாலான ஘டனையுடன் கடினமான அழைப்பு: இப்போது விட்டுத்தி விடவும், அல்லது நோக்கத்தை புரிந்துகொள்ள சிறுபாய় அவலோகனம் செய்யவும்? நெட்வொர்க் அணுக மிகவும் தேழிய ஒரு attacker கூட laterally பெயர் மற்றும் உங்கள் அவர்களுடைய அடுத்த நடவடிக்கை பார்க்க வாய்ப்பு பிரிவுகளை மீறி விழிக்கையாய். பெரும்பாலান ransomware முன்னேறுவதை shared கோர்ட்டுக் கெடுத்து.

ஒரு நியாயமான மধ்য கட்டம்: நெட்வொர்க் segmentation மற்றும் EDR isolation (CrowdStrike, Defender for Endpoint, SentinelOne அனைத்து இதை ஆதரிக்கின்றன) ஐ பயன்படுத்து, ஒரு ஹோஸ்டைக் குறுக்குக் வடிப்பளிலிருந்து வெட்ட lateral இயக்கத்திற்கு விசை பிடிப்பளியை தக்க வைக்க. முழு மாற்றம் கடைசி கோதி வேண்டும் — இது volatile ஆதாரம் கொல்லியாய் மற்றும், ransomware சந்தர்ப்புகளைக்கும், பொது anti-forensic நடத்தை சில payload இன்டிகள் இல்லாவிட்டே மாற்றுவதை ட்ரிகர் செய்யலாம்.

Logging பெரிய விடயங்கள் நீங்கள் மீறுவொழிய மாற்றுவதுமுன், நிறுவனக் போது

Windows Event Log defaults இல்லை போதுமாக. நீங்கள் Sysmon வெளியாய் செய்ய ஒரு proper config (SwiftOnSecurity அனைத்தும் அல்லது Olaf Hartong இலக்கணங்கள் மதிப்பு தொடக்க புள்ளி பெறவாய் இல్లாவிட్ टी நპ్ సా పેड్ फ्०००० செய్क్ఞా్దీ್று