Свържете доставката със SOC и SIRT

Определете функциите зад имената

Център за операции по сигурността, или SOC, обикновено наблюдава сигнали за сигурност, проучва известия и ескалира подозирани инциденти. Екип за реакция при инциденти със сигурността, или SIRT, координира реакцията. CSIRT е друго често име за тази функция.

Организациите разпределят функциите различно. Едни и същи хора могат да изпълняват и двете. Външен доставчик може да предоставя част от услугата. Не извеждайте покритие или правомощия от съкращение. Запишете часовете на мониторинг, пътищата за ескалация, правата за решения и ангажиментите за реакция.

Рамката на FIRST за CSIRT описва услуги, които екип за реакция може да предоставя. NIST свързва реакцията при инциденти с по-широко управление на риска за киберсигурността. Използвайте тези източници, за да определите отговорностите и интерфейсите си. Рамка на FIRST, реакция при инциденти според NIST.

Включете разработката с AI в обхвата на откриване

Система за доставка на софтуер има идентичности, хранилища, runner-и, регистри, интеграции и данни за удостоверяване при внедряване. Агентите добавят извиквания на инструменти и потоци от данни към доставчика на модела. Включете тези граници в проекта за сигурност.

Изберете събития, които подкрепят определени механизми за откриване. Примерите включват неочакван достъп до хранилище, промени в привилегии, необичайно публикуване на артефакти и внедряване от неодобрена идентичност. Свържете записите с времеви отметки, идентичности на извършителите, идентификатори на ресурси и неизменяеми digest-и на артефакти, когато са налични.

Защитете тези записи. Достъпът до одитните записи, срокът им за съхранение, точността на часовника и неуспехите при събиране влияят на проучването. Лог от изпълнение при разработка и облачен одитен лог отговарят на различни въпроси. Нито един не е автоматично пълен запис на инцидента.

Подгответе предаването преди инцидента

Определете кой може да прекрати валидността на токен, да изолира runner, да спре внедряване или да възстанови услуга. Отговорниците за услугите обясняват оперативните последствия. Специалистите по реакция по сигурността координират проучването и ограничаването. Съответните отговорници за поверителност, правни въпроси и бизнес оценяват задълженията за уведомяване според действителната ситуация.

Изискванията за уведомяване зависят от инцидента и приложимите задължения. Включете подходящия отговорник за решението рано. Не оставяйте AI обобщение да вземе това решение или да забави установен път за ескалация.

Разгледайте измислен инцидент с токен

В 14:05 UTC SOC открива идентичност за изграждане, която чете неочаквано хранилище. В 14:08 отговорникът за хранилището потвърждава, че няма одобрена задача, която да обяснява дейността. Остава неизвестно дали изходен код е напуснал средата.

Екипът за реакция запазва одитните записи и съответните доказателства от runner-а. Упълномощен отговорник прекратява валидността на засегнатите данни за удостоверяване и спира подозирания път за изпълнение. Действията следват процедурата за реакция на организацията и отчитат ефекта върху услугата.

Изтриването на разкрития токен от файл е недостатъчно. Данните за удостоверяване могат да останат валидни другаде. Повторно изграждане на runner също е недостатъчно, ако идентичността остава компрометирана. Проучете произведените артефакти, последващия достъп и други данни за удостоверяване в правдоподобния обхват.

Преди възстановяване на доставката проверете идентичността, runner-а, произхода на артефактите и необходимите граници на достъп. Запишете какво все още е неизвестно. Успешно изграждане само по себе си не установява, че средата за доставка е доверена.

Върнете констатациите към инженерната работа

Превърнете потвърдените причини в работа с отговорник: по-кратък живот на данни за удостоверяване, по-тесен достъп, изолация на runner-и, промени в откриването или регресионен тест. Проверете поправката и упражнете предаването отново.

Одитните записи и записите за доставка на Taiga могат да допринесат с доказателства в документирания си обхват. Интегрирайте ги с процеса за реакция на организацията. Проверете границата на споделената отговорност, вместо да приемате, че активирането на Taiga прехвърля отговорността за SOC или SIRT. Одитен лог, споделена отговорност.