Реагирование на инцидент безопасности
Установи и сохрани доказательства
- Определи подозрительное событие, затронутые идентичности и активы, уверенность в выводах, продолжающийся ущерб и ответственного за реагирование. Отделяй доказательства доступа от доказательств раскрытия данных или закрепления в системе.
- Сохрани относящиеся к событию логи, идентификаторы, временные отметки и происхождение данных в разрешённом проектом хранилище доказательств. Веди рабочую сводку без чувствительных значений и отмечай ограничения сбора или пробелы хранения.
- Выбирай способы сохранения доказательств, которые без необходимости не задерживают срочное сдерживание. Если сдерживание меняет или уничтожает доказательства, зафиксируй причину, охват и то, что удалось сохранить.
Сдерживай инцидент в его границах
- Определи наименее разрушительную эффективную границу вмешательства: идентичность, сессию, нагрузку, сетевой путь или раскрытый ресурс. Укажи ожидаемую пользу, влияние на бизнес и условие отката или восстановления.
- Выполняй сдерживание в пределах уже имеющихся полномочий пользователя и политики реагирования. Не превращай событие, связанное с одной идентичностью, в отключение всей организации без доказательств или соответствующего решения.
- Если затронут секрет доступа, до ротации или отзыва установи его потребителей. Замена секрета в хранилище может оставить действующими существующие сессии или ранее выданные учётные данные. Явно проверь соответствующий жизненный цикл.
- Проверяй продолжение несанкционированной активности по путям, подтверждённым доказательствами. Отсутствие событий может означать отсутствие логирования, поэтому само по себе не доказывает ни сдерживание, ни отсутствие раскрытия данных.
- Восстанови систему из доверенного состояния, проверь законное поведение сервиса и защитные меры, наблюдай за ранее обнаруженными индикаторами. В статусе различай сдерживание, устранение компрометации и восстановление.
Результат
Укажи подтверждённый охват, открытые гипотезы, ссылки на доказательства, выполненные действия и их наблюдаемый эффект, а также оставшиеся решения по реагированию. Добавь последующую работу по обнаружению или усилению защиты там, где инцидент показал пробел.
Не публикуй чувствительные индикаторы или данные клиентов. Уведомление и раскрытие информации определяются полномочиями пользователя и политикой реагирования. Когда нужна более полная схема реагирования, используй рекомендации NIST. Технический статус не устанавливает юридические обязанности по уведомлению.
1---2name: security-incident-response3description: Оценить ситуацию и координировать сдерживание или восстановление при подозрении на компрометацию учётных данных, проникновение, вредоносное ПО или раскрытие данных. Использовать для события безопасности, а не обычного разбора уязвимостей или сбоя сервиса без признаков компрометации.4---56# Реагирование на инцидент безопасности78## Установи и сохрани доказательства910- Определи подозрительное событие, затронутые идентичности и активы, уверенность в выводах, продолжающийся ущерб и ответственного за реагирование. Отделяй доказательства доступа от доказательств раскрытия данных или закрепления в системе.11- Сохрани относящиеся к событию логи, идентификаторы, временные отметки и происхождение данных в разрешённом проектом хранилище доказательств. Веди рабочую сводку без чувствительных значений и отмечай ограничения сбора или пробелы хранения.12- Выбирай способы сохранения доказательств, которые без необходимости не задерживают срочное сдерживание. Если сдерживание меняет или уничтожает доказательства, зафиксируй причину, охват и то, что удалось сохранить.1314## Сдерживай инцидент в его границах15161. Определи наименее разрушительную эффективную границу вмешательства: идентичность, сессию, нагрузку, сетевой путь или раскрытый ресурс. Укажи ожидаемую пользу, влияние на бизнес и условие отката или восстановления.172. Выполняй сдерживание в пределах уже имеющихся полномочий пользователя и политики реагирования. Не превращай событие, связанное с одной идентичностью, в отключение всей организации без доказательств или соответствующего решения.183. Если затронут секрет доступа, до ротации или отзыва установи его потребителей. Замена секрета в хранилище может оставить действующими существующие сессии или ранее выданные учётные данные. Явно проверь соответствующий жизненный цикл.194. Проверяй продолжение несанкционированной активности по путям, подтверждённым доказательствами. Отсутствие событий может означать отсутствие логирования, поэтому само по себе не доказывает ни сдерживание, ни отсутствие раскрытия данных.205. Восстанови систему из доверенного состояния, проверь законное поведение сервиса и защитные меры, наблюдай за ранее обнаруженными индикаторами. В статусе различай сдерживание, устранение компрометации и восстановление.2122## Результат2324Укажи подтверждённый охват, открытые гипотезы, ссылки на доказательства, выполненные действия и их наблюдаемый эффект, а также оставшиеся решения по реагированию. Добавь последующую работу по обнаружению или усилению защиты там, где инцидент показал пробел.2526Не публикуй чувствительные индикаторы или данные клиентов. Уведомление и раскрытие информации определяются полномочиями пользователя и политикой реагирования. Когда нужна более полная схема реагирования, используй [рекомендации NIST](https://csrc.nist.gov/pubs/sp/800/61/r3/final). Технический статус не устанавливает юридические обязанности по уведомлению.
fbakiyev