Reagerer på et netværkssikkerhedsbrud

Uanset hvor omhyggelig du er, og uanset hvor sikkert dine systemer er, sker der dårlige ting. Elektroniske komponenter fejler. Software kan findes at være buggy. Folk laver fejl. Og bare nogle gange gør folk ondskab med det formål at gøre skade på netværket. Naturen kan påvirke, om dit netværk fungerer eller ej. Alle disse situationer kræver, at du hurtigt og effektivt reagerer på nødsituationen.

Opkald i SWAT, UM, CERT-teamet

Den bedste måde at være forberedt på til en nødsituation for netværkssikkerhed er at have en CERT på plads. CERT står for Computer Emergency Response Team (eller CIRT, Computer Incident Response Team) - et team du har oprettet til at håndtere nødsituationer i din egen organisation. Uanset hvordan du staver det, er disse Ghostbusters af computernetværk; de finder de dårlige ting og rod det ud.

Erhvervsmodellen for et Computer Emergency Response Team er at reagere på nødsituationerne på samme måde som brandmænd og politi gør. De reagerer, identificerer situationen, isolerer området og går på arbejde. Og fordi ingen nogensinde ved, hvor længe det vil tage for at indeholde en nødsituation, arbejder de ofte lange, hårde timer under enorm stress.

CERT'er består af højtuddannede personer, der varierer inden for deres ekspertiseområder, men er tværuddannede til at dække enhver eventualitet. Disse holdmedlemmer skal

• Få en dybdegående forståelse af netværk, operativsystemer og applikationer, så de kan genkende, når noget er forkert.
• Være i stand til at identificere vira og udryddelsesteknikker.
• Kend hackingsteknik og systemproblemer
• Brug mange netværkstværktøjer på tværs af platformen. Nogle af disse værktøjer er faktisk hackingsværktøjer, og andre er vant til at opdage systemintrusioner …
• Kunne arbejde som hold og være køligt under pres.
• Kunne kommunikere med andre, der ikke har så højt et forståelsesniveau som de gør. Dette er vigtigt for at kunne give statusrapporter og anbefale ændringer i sikkerhed for at forhindre yderligere hændelser.

Fordi CERT-teammedlemmer er så højtuddannede, har et firma ikke råd til at ansætte et CERT-team, bare for at sidde i flere måneder, når det ikke gør noget. Holdmedlemmerne har normalt fuldtidsjob, der gør andet end nødsituation. Sjældent har de nogensinde mere end tilsyns- eller mellemledelsesstillinger. Men når de reagerer på en kritisk situation, skal de have autoritet og selvstyre til at træffe beslutninger på executive level.Livet i din virksomhed kan afhænge af hurtige beslutninger.

Du bør have en sektion i dit sikkerhedspolicy og -procedure dokument, der fortæller din virksomheds ordninger for en CERT, uanset om det er internt eller outsourcet. Rollerne og ansvarsområderne skal klart angives såvel som hvem der skal ringe holdet til handling, og hvornår de skal kaldes.

Responsible Responsible

Dit netværk har været sjovt i det seneste, eller du har set nogle mærkelige ting, der får dig til at tro, at en ubudende er i dit netværk. Det første punkt på dagsordenen er Do not Panic! Ring i din CERT så hurtigt som muligt. Chancerne er, at indtrengeren har været derinde i nogen tid, men det er bare første gang du har bemærket. Indtrengere er som roach angreb - de sker ikke bare over natten. CERT vil tage deres tid og arbejde systematisk for at slippe af med generen. Og medmindre de bemærker, at filer på dine servere bliver ødelagt med alarmerende hastighed, lukker de ikke dit netværk.

Du skal tage nogle grundlæggende trin, inden CERT kommer ind og begynder at fungere. Disse trin kan variere lidt i rækkefølge afhængigt af situationen. For eksempel kan du i nogle tilfælde ringe til CERT før du giver besked til virksomhedsledere, fordi det er mere vigtigt at få holdet til at fungere først. Under alle omstændigheder skal du gøre alle de følgende trin og udelade ikke noget. Først og fremmest - Sluk ikke eller genstart eventuelle systemer. Dette kan hæmme genopretningsprocessen.

1. Start med at tage noter.

Start ikke at skrive kommandoer som skøre, der forsøger at finde fremmede. Lad CERT gøre det. Det er vigtigere på dette tidspunkt, at du får en ny notesbog og skriver ned alt, hvad du har bemærket, og hvad du gjorde. Det er meget vigtigt, at du optager tid og dato for alt. Denne notesbog kan blive afgørende bevis i retssager senere.

2. Underret den øverste ledelse.

Send ikke e-mail-meddelelser, da de kunne tippe indtrengeren. Forhåbentlig havde du lavet et call-sheet på forhånd med navnene og telefonnumrene for dem, der har brug for at vide. Den mest effektive måde at håndtere underretningen på er at kalde to personer og derefter få dem til at ringe til resten af ​​listen. Ellers kan du bruge timer på telefonen og forklare situationen igen og igen til snesevis af mennesker. Tiden er værdifuld og bør bruges til nødsituationen - ikke ved håndholdingen.

3. Ring i din CERT.

Gør dette roligt og uden fanfare. Du vil ikke have hele virksomhedens arbejde til at standse, fordi du har kaldt en generel alarm. Når CERT kommer der, skal du kortlægge dem og derefter lade dem stå alene for at gøre deres arbejde.

4. Håndhæve en "need-to-know" -politik.

Fortæl ikke medarbejdere, noget er op, medmindre de virkelig skal vide. Den ubudne kan have en intern medskyldig, eller det kan være en falsk alarm og ikke et indbrud. Du ønsker ikke inaktiv sladder at komme uden for kontoret til dine kunder, pressen eller dine konkurrenter.Du kan altid sige, at virksomheden oplever "netværksproblemer", da de fleste vil acceptere denne forklaring uden yderligere spørgsmål.

5. Nogen i virksomheden bør være punktpersonen, hvis offentligheden bliver opmærksom på situationen.

Hvis du har en PR-afdeling, er det deres job. Du ønsker ikke en mediestorm for hånden, så kun den udpegede person eller personer har lov til at tale med pressen og kunderne. Nogle gange er en hændelse slet ikke en hændelse, men en fejlkonfiguration i netværket. Påmind pressen og offentligheden om, at tingene ikke altid er som de synes.

6. Giv støtte til din CERT.

De arbejder sikkert med lange hårde timer uden pauser. Sørg for at de får måltider og forfriskninger sendt til dem. (Dette kan betyde mere end bare Cokes og candy barer.) Hvis relief team medlemmer er nødvendige, sætte dem på advarsel og oprette en skift tidsplan. Håndhæv planen også. Mange holdmedlemmer vil være tilbageholdende med at opgive deres indlæg, men de kan let brænde ud efter en dag eller to. Hvis holdet har brug for mere udstyr som ekstra diskdrev og netværksenheder, skal du få dem hurtigt.

7. Kontakt din juridiske afdeling.

Lad dem vide situationen. De kan afgøre, om loven er brudt. Hvis de råder dig til at kontakte retshåndhævelse, gør det.

8. Gennemfør briefinger og møder efter oprydning.

Fortæl alle hvad der skete, og hvorfor og hvad du kan / har / vil gøre for at sikre, at det ikke sker igen. Du må ikke pege på fingrene lære af dine fejl.

Gør ingen fejl, at dette vil være en stressende affære for mange, og at temperamentet kan og vil blusse. Må ikke falde i fælden for at blive så fanget i det øjeblik du glemmer, hvad du skal gøre.