Rinkinys · Incidentai
Pirminio vertinimo ir eskalavimo rinkinys
Sprendimų taškai, kurie įspėjimų eilę paverčia procedūra. Parašyta taip, kad tas pats įspėjimas būtų sutvarkytas vienodai, nesvarbu, kas budi pamainoje ir kelinta valanda.
- Dažnumas
- Kiekvieną pamainą
- Lygiai
- L1 · L2 · L3
- Taisyklė
- Eskaluojama pagal kriterijų, o ne pagal nuojautą
Privalomi registracijos laukai
Užfiksuokite juos registruodami. Kiekvieną iš jų vėliau atkurti brangu, o atkurti sąžiningai – neįmanoma.
Pirminio vertinimo (triage) sprendimų seka
- 1
Ar tai akivaizdus netikras pavojus (false positive)?
1 sprendimo taškas · L1Jei taip: uždarykite ir užfiksuokite, ar taisyklę reikia derinti. Uždarant neatsakius į derinimo klausimą, tas pats įspėjimas kitą savaitę atims lygiai tiek pat minučių. - 2
Ar tai išsprendžia esamas scenarijus (playbook)?
2 sprendimo taškas · L1Jei taip: įvykdykite jį ir užfiksuokite rezultatą. Jei scenarijus tinka ne visai, tai ir eskalavimo pagrindas, ir scenarijaus trūkumas – užfiksuokite abu. - 3
Ar suveikia eskalavimo kriterijus?
3 sprendimo taškas · L1 į L2Kriterijai yra užrašytos sąlygos: scenarijaus nėra, scenarijaus rezultatas dviprasmiškas arba įspėjimas liečia kritiniu pažymėtą turtą. Ne „atrodo rimta“. - 4
Ar tai tikras incidentas?
4 sprendimo taškas · L2Nuodugnesnis konteksto, grėsmės vektoriaus ir poveikio vertinimas. Priskiriama incidento grupė, pogrupis ir teisės aktuose nustatyta poveikio kategorija. Atliekama per 24 valandas nuo registracijos. - 5
Ar tai viršija L2 kompetenciją arba įgaliojimus?
5 sprendimo taškas · L2 į L3Apimtis peržengia pasitikėjimo ribas, matomas priešininko įsitvirtinimas ar slėpimasis, reikia kriminalistinio atvaizdo ar atvirkštinės inžinerijos arba tikėtinas teisininkų įsitraukimas. - 6
Ar apie tai privaloma pranešti?
6 sprendimo taškas · SOC vadovasPritaikykite didelio kibernetinio incidento testą. Abejodami paleiskite laikrodį – ankstyvasis perspėjimas, kuris pasirodo esąs nereikalingas, kainuoja nepalyginamai mažiau nei praleistas terminas.
Eskalavimo kriterijai, užrašyti
| Iš / į | Kriterijus | Ką privaloma užfiksuoti |
|---|---|---|
| L1 į L2 | Įspėjimui netaikomas joks scenarijus; scenarijaus rezultatas dviprasmiškas; turtas pažymėtas kaip kritinis; įspėjimas kartojasi keliuose įrenginiuose | Eskalavimo priežastis, laikas ir viskas, ką L1 jau patikrino |
| L2 į L3 | Pastebėtas priešininko įsitvirtinimas ar slėpimasis; apimtis peržengia pasitikėjimo ribą; reikia kriminalistinio atvaizdo ar kodo analizės; tikėtinas teisininkų ar teisėsaugos įsitraukimas | Iki šiol nustatyta apimtis, jau surinkti įrodymai ir konkretus klausimas, keliamas L3 |
| L3 į SOC vadovą | Reikia verslo sprendimo; artėjama prie pranešimo ribos; suvaldymas iš esmės sutrikdytų veiklą | Kokio sprendimo prašoma, kokie variantai ir kokios kiekvieno pasekmės |
| Bet kuris lygis: nedelsiant | Vykstantis duomenų nutekinimas, diegiama išpirkos reikalaujanti programinė įranga arba poveikis žmonių saugai | Pirma veikiama pagal suvaldymo mandatą, dokumentuojama iškart po to |
Neužfiksuotas uždarymas
Analitikas, nusprendęs, kad įspėjimas nieko nereiškia, ir dirbantis toliau, atliko pagrįstą darbą ir nepaliko jokių to įrodymų. Vėliau nebegalėsite parodyti, kad įspėjimas buvo pastebėtas, ir nežinosite, ar ta taisyklė suveikia tris kartus per savaitę, ar tris šimtus. Kiekvienas pirminio vertinimo sprendimas palieka įrašą – įskaitant „jokių veiksmų“.
Kitas rinkinys
Pranešimų priežiūros institucijai rinkinys
Didelio kibernetinio incidento kriterijai veiklos kalba, 24 val. / 72 val. / vieno mėnesio teikimo paketas ir pranešimo laikrodis.