Практическо ръководство ·
Кой може да спре компрометиран акаунт? Решенията преди инцидента
Договорете предварително кой може да разследва, ограничава и възстановява достъп, при какви условия и с какъв запис. Разрешението за наблюдение и правото да се прекъсне услуга са различни решения. Планът става използваем, когато заместникът може да го приложи, без да измисля одобрението по време на инцидента.
Откъде идва забавянето?
Анализатор установява подозрителна активност по акаунт на важно приложение. Блокирането може да ограничи заплахата, но и да спре клиентски операции. Сигналът е ескалиран до недостъпен ръководител. Никой не знае дали заместникът може да одобри действието.
Този пример показва управленски проблем с технически последствия. Повече сигнали няма да го решат. Нужен е ред за решение, който отчита ограничаването на заплахата, услугата и несигурността на доказателствата.
Кои разрешения трябва да разграничим?
Разделете достъпа за анализ от правото за промяна в продукционната среда. Екипът може да чете записи, без да има право да блокира всеки акаунт. Определете допълнителните условия за ограничаване: обхват, налични доказателства и ескалация.
Посочете роля и заместник вместо само личен телефон. Осигурете контролиран авариен достъп, когато е необходим, и записвайте употребата му. Ръководството на NIST поставя подготовката и реакцията в общото управление на риска; тези решения принадлежат към нормалното управление.
| Решение | Уточнете предварително | Запишете при инцидента |
|---|---|---|
| Анализ | Разрешени данни и отговорна роля | Обхват и наблюдения |
| Ограничаване | Правомощия, заместник и допустими последствия | Основание, одобряващ и час |
| Ескалация | Контакти и резервен път | Кой е намерен и кога |
| Възстановяване | Проверки и приемане от бизнеса | Резултат и остатъчен риск |
Как избираме съразмерно действие?
Дайте варианти според средата. В зависимост от фактите и технологията те могат да включват прекратяване на сесии, ограничаване на конкретно право или изолиране на устройство. Процедурата трябва да казва кой избира и одобрява варианта, вместо да предписва една реакция за всеки сигнал.
Отчетете споделените услуги и автоматизираните акаунти. Предварително запишете зависимостите и начина за възстановяване. При инцидент документирайте известните факти, решението, отговорната роля и времето. Актуализирайте записа при нови доказателства.
Как проверяваме дали планът е използваем?
Проведете настолно упражнение с недостъпен основен одобряващ и непълна информация. Нека заместникът обясни следващото действие, бизнес последствията и уведомяването. Запишете къде планът става неясен и го поправете.
Възстановяването също се нуждае от отговорник. „Акаунтът отново е активен“ не доказва безопасен достъп или приключил анализ. Уточнете проверките и приемането от бизнеса. Регулаторните срокове се поддържат в съответния план за докладване; тази карта не ги заменя.
Разгледайте подробно: Първите 24 часа: часовникът при инцидент.
Изтеглете работния лист (TXT) — свободен достъп, без регистрация
Как може да помогне Диасол
Диасол може да уточни отговорностите, да подготви процедури и да упражни договорения процес за решения. Обхватът се съобразява с услугите и съществуващата организация за реакция.
Източници и контекст
Примерите са илюстративни. Практическите препоръки се адаптират към конкретната организация.