Làm Thế Nào Để Xây Dựng Một Kế Hoạch Ứng Phó Sự Cố Hiệu Quả?

Hầu hết các tổ chức không thất bại trong ứng phó sự cố vì thiếu công cụ. Họ thất bại vì trước đó không ai đồng ý ai sẽ làm gì, và sự cố thực tế đầu tiên trở thành một cuộc họp thay vì một phản ứng.

Bắt đầu với các giai đoạn, không phải playbook

NIST SP 800-61 xác định bốn giai đoạn: chuẩn bị, phát hiện và phân tích, chứa chặn/loại bỏ/khôi phục, và hoạt động sau sự cố. Thứ tự đó có ý nghĩa. Các nhóm thường muốn nhảy thẳng đến chứa chặn vì nó cảm thấy có hiệu quả, nhưng nếu bạn chưa hoàn thành công việc chuẩn bị, bạn không hiểu mạng của chính mình đủ tốt để chứa chặn bất cứ điều gì một cách sạch sẽ.

Chuẩn bị có nghĩa là danh sách tài sản thực sự được cập nhật, không phải bảng tính từ năm 2022. Nó có nghĩa là biết cửa sổ giữ nhật ký của bạn (nếu nó là 7 ngày và kẻ tấn công có 30 ngày thời gian tồn tại, bạn đã mất dòng thời gian rồi). Nó có nghĩa là công cụ pháp y được chuẩn bị sẵn — Velociraptor, KAPE, hoặc thậm chí một quy trình tar/dd được ghi chép cho ảnh đĩa — để không ai tải công cụ xuống máy chủ bị xâm phạm trong một sự cố đang hoạt động.

Xác định mức độ nghiêm trọng trước khi bạn cần chúng

Một SEV1 (đánh cắp dữ liệu đang hoạt động, kích hoạt ransomware, thỏa hiệp quyền quản trị miền) cần một phản ứng khác so với SEV3 (phần mềm độc hại bị cô lập trên một trạm công việc không có đặc quyền). Viết cái này dưới dạng ma trận: tác động so với phạm vi so với độ tin cậy. Gán mỗi mức độ nghiêm trọng thời gian phản ứng bắt buộc và đường tăng cấp. Nếu chỉ huy sự cố của bạn cho SEV1 là cùng một người phải phê duyệt mọi đơn hàng mua $500, bạn đã tạo nên một nút cổ chai trong quy trình khẩn cấp của chính mình.

Vai trò chỉ huy sự cố không phải là tùy chọn

Một người điều hành sự cố. Không phải kỹ sư cao cấp nhất theo mặc định — người phù hợp nhất để phối hợp, ủy quyền, và đưa ra quyết định chứa chặn dưới áp lực. Người này không nhất thiết phải sử dụng bàn phím trong quá trình ứng phó; họ theo dõi dòng thời gian, quản lý giao tiếp với bộ phận pháp lý và lãnh đạo, và quyết định khi nào kích hoạt cách ly một đoạn hoặc ngắt một hệ thống.

Không có vai trò này, bạn sẽ có năm người SSH vào cùng một box, không ai nói chuyện với nhau, và không ai nắm bắt bộ nhớ biến động trước khi ai đó khởi động lại máy để "xem liệu nó có khắc phục được không".

Quyết định chứa chặn thực sự có ý nghĩa

Cuộc gọi khó nhất trong hầu hết các sự cố là: cách ly ngay bây giờ, hay quan sát lâu hơn một chút để hiểu phạm vi? Cắt quyền truy cập mạng quá sớm tiết lộ cho kẻ tấn công vẫn đang di chuyển ngang bên cạnh và phá hủy cơ hội xem nước đi tiếp theo của họ. Chờ quá lâu cho phép ransomware hoàn thành mã hóa các chia sẻ.

Một trung bình hợp lý: sử dụng phân đoạn mạng và cách ly EDR (CrowdStrike, Defender for Endpoint, SentinelOne đều hỗ trợ cái này) để cắt một máy chủ khỏi di chuyển ngang bên cạnh trong khi giữ nó bật để nắm bắt bộ nhớ. Tắt hoàn toàn nên là giải pháp cuối cùng — nó làm hủy bằng chứng biến động và, đối với các trường hợp ransomware, có thể kích hoạt hành vi chống pháp y được tích hợp trong một số tải trọng.

Khoảng trống ghi nhật ký bạn sẽ hối tiếc trong quá trình, không phải trước

Mặc định Windows Event Log không đủ. Nếu bạn không có Sysmon triển khai với cấu hình tử tế (các cấu hình cơ bản của SwiftOnSecurity hoặc Olaf Hartong là một điểm khởi đầu vững chắc), bạn sẽ tái cấu trúc cây quy trình từ các đoạn. Ở phía mạng, các nhật ký NetFlow hoặc Zeek quan trọng hơn hầu hết các tổ chức nhận ra cho đến khi họ cần trả lời