🚨 Incidentu reaģēšana - kiberincidentu pārvaldība (IR)
Sešas tēmas par kiberincidentu reaģēšanu - no notikuma līdz mācībām - pēc starptautiskās prakses (NIST SP 800-61, SANS PICERL, ISO/IEC 27035, ENISA). Termiņi un piemēri ir ilustratīvi, paredzēti apmācībām.
Pamatjēdziens un lomas
Notikums → brīdinājums → incidents → pārkāpums
Pielietojums
Kopīga valoda: kad notikums kļūst par incidentu un kurš ko dara. Skaidras lomas un eskalācija samazina haosu reaģēšanas pirmajās minūtēs.
Atsauce
NIST SP 800-61 Rev. 2 · ISO/IEC 27035-1:2023 · ENISA "Good Practice Guide for Incident Management".
Drošības piezīme
Komandu un kontaktus saskaņo PIRMS incidenta. Plāns, kas pirmoreiz tiek lasīts incidenta laikā, ir novēlots - sagatavotība ir cikla pirmais solis.
Reaģēšanas dzīves cikls
NIST SP 800-61, SANS PICERL un ISO/IEC 27035
Izvēlies vienu ietvaru un pieturies pie tā - jaukot terminus dažādu incidentu laikā rada apjukumu. Galvenais: cikls ir nepārtraukts, ne vienreizējs.
Pielietojums
Strukturē reaģēšanu posmos, lai zem spiediena neizlaistu soļus. Viens cikls der gan tehniskai komandai, gan vadības atskaitēm.
Atsauce
NIST SP 800-61 Rev. 2 · SANS Incident Handler's Handbook (PICERL) · ISO/IEC 27035-1:2023 · NIST CSF 2.0 (Respond, Recover).
Drošības piezīme
Visizplatītākā kļūda - izlaist "Pēc incidenta" posmu. Bez mācībām un cēloņa novēršanas tas pats incidents atkārtojas; cikls paliek nepabeigts.
Atklāšana, triāža un klasifikācija
No signāla līdz prioritātei - smaguma līmeņi
Līmeņu skaits (SEV-1…4 vai P1…P4) un sliekšņi jāpieskaņo organizācijai. Galvenais - vienota, iepriekš saskaņota skala, ko visi saprot vienādi.
Pielietojums
Triāža atsijā troksni un piešķir prioritāti. Smaguma līmenis nosaka, cik ātri reaģēt, ko eskalēt un vai sākt ziņošanas pulksteni.
Atsauce
NIST SP 800-61 Rev. 2 · ENISA Reference Incident Classification Taxonomy · MITRE ATT&CK (tehniku kartēšana).
Drošības piezīme
Nenovērtē smagumu par zemu, lai izvairītos no ziņošanas - daži termiņi sākas no incidenta atklāšanas brīža. Pārklasificē, ja apjoms aug.
Aktīvā reaģēšana
Ierobežošana → izskaušana → atjaunošana
Pielietojums
Skaidra darbību secība krīzes brīdī: vispirms aptur, tad iztīra, tad atjauno. Katram solim - iepriekš sagatavots playbook konkrētam incidenta tipam.
Atsauce
NIST SP 800-61 Rev. 2 · ISO/IEC 27035-3:2020 (operācijas) · RFC 3227 (pierādījumu vākšana) · SANS PICERL (Contain/Eradicate/Recover).
Drošības piezīme
Steidzīga "iztīrīšana" pirms apjoma noskaidrošanas atstāj uzbrucēju citur sistēmā. Vispirms saproti pilnu klātbūtni, tad izskausti visu uzreiz.
Juridiskā ziņošana
Ziņošanas termiņi - NIS2, GDPR un CERT.LV
Konkrētie termiņi un adresāti ir atkarīgi no subjekta tipa un jurisdikcijas - šī ir vispārēja shēma. Precīzās prasības pārbaudi normatīvajos aktos un ar CERT.LV.
Pielietojums
Skaidra termiņu shēma palīdz nepalaist garām juridiskos logus. Ziņošanas lēmumu un kontaktus iekļauj playbook - krīzes laikā nav laika meklēt.
Atsauce
NIS2 direktīva (ES) 2022/2555 23. pants · GDPR 33./34. pants · MK noteikumi Nr. 397 · CERT.LV ziņošanas kārtība.
Drošības piezīme
NIS2 un GDPR ir atsevišķi pienākumi - viens incidents var prasīt abus ziņojumus dažādām iestādēm. Termiņš sākas no apzināšanās, ne no pilnas izmeklēšanas beigām.
Standartu karte un metrikas
Ietvari, taksonomijas un reaģēšanas metrikas
Pielietojums
Palīdz salikt pilnu IR programmu: process (NIST/SANS/ISO), taksonomija (ENISA/ATT&CK), atbilstība (NIS2/GDPR) un mērīšana (MTTD/MTTR).
Atsauce
NIST SP 800-61/86 · ISO/IEC 27035 · ENISA RICT · MITRE ATT&CK · VERIS · FIRST · NIS2 · MK noteikumi Nr. 397 · GDPR · TLP 2.0.
Drošības piezīme
Metrikas vada uzlabojumus, bet var maldināt: "ātrs slēgšanas laiks" ar nepilnīgu izskaušanu ir slikta zīme. Skati metrikas kopā ar mācību kvalitāti.
Saīsinājumi
Visu ceļvedī lietoto saīsinājumu atšifrējumi (oriģināls un nozīme).
- IR
- Incident Response — incidentu reaģēšana.
- CSIRT
- Computer Security Incident Response Team — datordrošības incidentu reaģēšanas komanda.
- CERT
- Computer Emergency Response Team — datordrošības reaģēšanas komanda.
- CERT.LV
- Latvijas nacionālā kiberdrošības incidentu novēršanas komanda.
- SOC
- Security Operations Center — drošības operāciju centrs.
- SIEM
- Security Information and Event Management — drošības notikumu pārvaldība.
- EDR / XDR
- Endpoint / Extended Detection and Response — galiekārtu un paplašinātā atklāšana.
- IDS / IPS
- Intrusion Detection / Prevention System — ielaušanās atklāšana/novēršana.
- IOC
- Indicator of Compromise — kompromitācijas indikators.
- DFIR
- Digital Forensics and Incident Response — digitālā forensika un reaģēšana.
- RCA
- Root Cause Analysis — sākotnējā cēloņa analīze.
- CIA
- Confidentiality, Integrity, Availability — konfidencialitāte, integritāte, pieejamība.
- C2
- Command and Control — uzbrucēja vadības kanāls.
- SEV / P
- Severity / Priority — smaguma/prioritātes līmenis (SEV-1…4).
- NIST SP
- NIST Special Publication — ASV standartu institūta publikācija.
- PICERL
- Prepare, Identify, Contain, Eradicate, Recover, Lessons learned (SANS).
- CSF
- Cybersecurity Framework — NIST kiberdrošības ietvars (2.0).
- MTTD
- Mean Time To Detect — vidējais atklāšanas laiks.
- MTTA
- Mean Time To Acknowledge — vidējais reakcijas (apstiprināšanas) laiks.
- MTTR
- Mean Time To Respond/Recover — vidējais atrisināšanas/atjaunošanas laiks.
- RTO
- Recovery Time Objective — pieļaujamais atjaunošanas laiks.
- RPO
- Recovery Point Objective — pieļaujamais datu zuduma apjoms.
- BCP / DRP
- Business Continuity / Disaster Recovery Plan — nepārtrauktības un atjaunošanas plāns.
- NIS2
- Network and Information Security Directive 2 — ES tīklu un informācijas drošības direktīva.
- GDPR
- General Data Protection Regulation — Vispārīgā datu aizsardzības regula.
- DVI
- Datu valsts inspekcija (LV datu aizsardzības uzraugs).
- MK 397
- Ministru kabineta noteikumi Nr. 397 (NIS2 īstenošana Latvijā).
- ENISA
- Eiropas Savienības Kiberdrošības aģentūra.
- RICT
- ENISA Reference Incident Classification Taxonomy.
- VERIS
- Vocabulary for Event Recording and Incident Sharing (Verizon).
- ATT&CK
- MITRE pretinieku taktiku un tehniku zināšanu bāze.
- FIRST
- Forum of Incident Response and Security Teams (globāls CSIRT tīkls).
- DORA
- Digital Operational Resilience Act — ES finanšu nozares noturības regula.
- PCI DSS
- Payment Card Industry Data Security Standard.
- TLP
- Traffic Light Protocol — informācijas dalīšanās marķējums (2.0).
- STIX / TAXII
- draudu izlūkdatu apraksta un apmaiņas standarti.
- MISP
- Malware Information Sharing Platform - draudu apmaiņas platforma.