Phản ứng với một Sự cố Bảo mật Mạng

Cho dù bạn có cẩn thận đến đâu và dù hệ thống của bạn có an toàn đến đâu đi nữa, những điều xấu cũng xảy ra. Linh kiện điện tử không thành công. Phần mềm có thể được tìm thấy là lỗi. Mọi người phạm sai lầm. Và, đôi khi, người ta làm hỏng hóc với ý định làm hại tới mạng. Thiên nhiên có thể ảnh hưởng đến việc mạng của bạn có hoạt động hay không. Tất cả những tình huống này đòi hỏi bạn phải đáp ứng với trường hợp khẩn cấp trong tầm tay một cách nhanh chóng và hiệu quả.

Gọi trong nhóm SWAT, um, CERT

Cách tốt nhất để chuẩn bị cho tình huống khẩn cấp về an ninh mạng là phải có CERT tại chỗ. CERT là viết tắt của Computer Emergency Response Team (hoặc CIRT, Máy tính đáp ứng sự cố máy tính) - một nhóm bạn thiết lập để xử lý trường hợp khẩn cấp trong tổ chức của bạn. Cho dù bạn đánh vần gì, đây là Ghostbusters của mạng máy tính; họ tìm thấy những thứ xấu và rễ nó ra.

phản ứng đến các trường hợp khẩn cấp giống như cách nhân viên cứu hỏa và cảnh sát làm. Họ trả lời, xác định tình hình, cô lập khu vực, và đi làm. Và bởi vì không ai biết bao lâu để chứa đựng tình huống khẩn cấp, họ thường làm việc lâu dài, những giờ khó khăn dưới áp lực to lớn. CERT bao gồm những người có tay nghề cao, những người khác nhau về lĩnh vực chuyên môn nhưng được đào tạo chuyên môn để bao gồm bất kỳ sự kiện nào. Các thành viên trong nhóm cần

Có hiểu biết sâu về mạng, hệ điều hành và ứng dụng để họ có thể nhận ra khi có điều gì đó không hay.

• Có thể xác định được vi rút và kỹ thuật loại trừ.
• Biết các kỹ thuật hacking và các lỗ hổng hệ thống
• Sử dụng nhiều công cụ mạng đa nền tảng. Một số công cụ này thực sự là các công cụ hacker và một số khác được sử dụng để khám phá sự xâm nhập của hệ thống …
• Có thể làm việc theo nhóm và chịu áp lực.
• Có khả năng giao tiếp với những người không có mức độ hiểu biết cao như họ. Điều này rất quan trọng để có thể đưa ra các báo cáo về tình trạng và đề xuất các thay đổi về bảo mật để ngăn ngừa các sự cố thêm nữa.
• Vì các thành viên của CERT có tay nghề cao nên một công ty không thể thuê một đội CERT chỉ ngồi hàng tháng trời mà không làm gì cả. Các thành viên của nhóm thường có các công việc toàn thời gian làm một cái gì đó ngoài việc trả lời khẩn cấp. Hiếm khi họ giữ nhiều hơn các vị trí giám sát hoặc quản lý cấp trung. Tuy nhiên, khi họ đáp ứng được một tình huống nguy kịch, họ cần phải có thẩm quyền và quyền tự quyết để đưa ra những quyết định cấp độ.Cuộc sống của doanh nghiệp bạn có thể phụ thuộc vào các quyết định nhanh chóng.

Bạn nên có một phần trong các chính sách bảo mật và tài liệu về thủ tục của bạn để đánh dấu sự sắp xếp của CERT đối với công ty bạn, bất kể nó có ở trong nhà hay bên ngoài. Cần phải nêu rõ vai trò và trách nhiệm rõ ràng cũng như ai nên gọi cho nhóm để hành động và khi nào cần được gọi.

Ứng phó với trách nhiệm

Mạng của bạn đã hoạt động vui nhộn gần đây hoặc bạn đã nhìn thấy một số điều kỳ lạ làm bạn tin rằng kẻ đột nhập đang ở trong mạng của bạn. Mục đầu tiên trong chương trình làm việc là

Do not Panic! Hãy gọi ngay CERT của bạn ngay khi có thể. Có thể là kẻ đột nhập đã ở đó một thời gian, nhưng đây chỉ là lần đầu tiên bạn chú ý đến. Những kẻ xâm nhập giống như những vụ ăn cắp vặt - họ không chỉ xảy ra qua đêm. CERT sẽ mất thời gian và làm việc một cách có hệ thống để thoát khỏi sự phiền toái. Và trừ khi họ nhận thấy rằng các tệp trên máy chủ của bạn đang bị phá hủy ở mức báo động, họ sẽ không tắt mạng của bạn.

Bạn cần phải thực hiện một số bước cơ bản trước khi CERT đến và bắt đầu hoạt động. Các bước này có thể khác nhau theo thứ tự, tùy thuộc vào tình hình. Ví dụ: trong một số trường hợp, bạn có thể gọi trong CERT trước khi thông báo cho các giám đốc điều hành của công ty bởi vì điều quan trọng hơn là làm cho nhóm làm việc đầu tiên. Trong mọi trường hợp, làm tất cả các bước sau và không bỏ qua bất cứ điều gì. Trước hết, tuy nhiên -

Không tắt hoặc khởi động lại bất kỳ hệ thống nào. Điều này có thể cản trở quá trình phục hồi.

1. Bắt đầu ghi chép.

Đừng bắt đầu gõ lệnh như điên cố gắng tìm kẻ đột nhập. Hãy để CERT làm điều đó. Điều quan trọng hơn ở điểm này là bạn có được một cuốn sổ ghi chép mới và ghi lại tất cả mọi thứ bạn đã nhận thấy và những gì bạn đã làm. Điều rất quan trọng là bạn ghi lại thời gian và ngày của mọi thứ. Quyển sổ này có thể trở thành bằng chứng quan trọng trong tố tụng pháp lý sau này.

2. Thông báo cho cấp trên.

Không gửi e-mail vì họ có thể đưa ra lời khuyên cho kẻ xâm nhập. Hy vọng rằng bạn đã chuẩn bị một bảng điện thoại trước thời hạn với tên và số điện thoại của những người cần biết. Cách hiệu quả nhất để xử lý thông báo là bạn gọi cho hai người và sau đó gọi họ cho phần còn lại của danh sách. Nếu không, bạn có thể dành nhiều giờ trên điện thoại giải thích tình hình này hơn và hơn cho hàng chục người. Thời gian là quý giá và nên được dành cho trường hợp khẩn cấp - không phải trên tay cầm.

3. Gọi vào CERT của bạn.

Làm điều này một cách lặng lẽ và không phô trương. Bạn không muốn công việc của cả công ty dừng lại vì bạn đã gọi báo động chung. Khi CERT đến đó, hãy tóm tắt cho họ và sau đó để chúng một mình làm công việc của họ.

4. Thực hiện chính sách "cần biết".

Đừng nói với nhân viên một cái gì đó đang lên trừ khi họ thực sự cần biết. Kẻ đột nhập có thể có một người đồng hành bên trong, hoặc nó có thể là một báo động giả và không phải là một sự xâm nhập. Bạn không muốn tin đồn nhàn rỗi đi ra ngoài văn phòng cho khách hàng của bạn, báo chí, hoặc đối thủ cạnh tranh của bạn.Bạn luôn có thể nói rằng công ty đang gặp "vấn đề về mạng" vì hầu hết mọi người sẽ chấp nhận lời giải thích đó mà không có bất kỳ câu hỏi nào.

5. Một người nào đó trong công ty nên là người quan trọng trong trường hợp công chúng nhận thức được tình hình.

Nếu bạn có bộ phận PR, đó là công việc của họ. Bạn không muốn có một cơn bão truyền thông trong tay, vì vậy chỉ có người được chỉ định hoặc người được phép nói chuyện với báo chí và khách hàng. Đôi khi một sự cố không phải là một sự việc nào cả mà là một sự cấu hình sai trong mạng. Nhắc nhở báo chí và công chúng rằng mọi thứ không phải lúc nào cũng có vẻ như.

6. Hỗ trợ CERT của bạn.

Họ có thể làm việc rất nhiều giờ mà không nghỉ. Hãy chắc chắn rằng họ nhận được bữa ăn và thức uống được gửi vào họ. (Điều này có nghĩa là nhiều hơn Coke và bánh kẹo.) Nếu các thành viên của nhóm cứu trợ là cần thiết, hãy đặt chúng vào cảnh báo và thiết lập lịch trình thay đổi. Thực hiện đúng tiến độ. Nhiều thành viên trong nhóm sẽ miễn cưỡng từ bỏ vị trí của họ, nhưng họ có thể dễ dàng bị bỏng sau một hoặc hai ngày. Nếu nhóm cần nhiều thiết bị hơn như ổ đĩa phụ và thiết bị mạng, hãy nhanh chóng.

7. Liên hệ với bộ phận pháp lý của bạn.

Cho họ biết tình hình. Họ có thể quyết định xem có luật nào đã bị phá vỡ hay không. Nếu họ khuyên bạn liên hệ với cơ quan thực thi pháp luật, hãy làm như vậy.

8. Tiến hành các cuộc họp và các cuộc họp sau khi dọn dẹp.

Nói với mọi người những gì đã xảy ra và tại sao và những gì bạn có thể có / sẽ làm để đảm bảo rằng điều đó không xảy ra lần nữa. Không chỉ ngón tay; học hỏi từ những sai lầm của bạn.

Không nhầm lẫn rằng đây sẽ là một vấn đề căng thẳng đối với nhiều người và những nhược điểm đó có thể và sẽ bùng phát. Đừng rơi vào cái bẫy để bị cuốn vào thời điểm mà bạn quên đi những gì bạn đang phải làm.