Pārvaldiet incidentu no atklāšanas līdz atjaunošanai

Pasludiniet incidentu pēc ietekmes

Incidents ir notikums, kas pārtrauc, pasliktina vai apdraud pakalpojumu pietiekami, lai būtu vajadzīga koordinēta reaģēšana. Organizācija definē smaguma līmeņus un eskalācijas noteikumus. Piemērojiet tos pēc ietekmes uz lietotājiem, skartajiem datiem, ilguma un tvēruma.

Negaidiet pilnu pamatcēloņa skaidrojumu, pirms lūdzat palīdzību. Lai sāktu koordinēšanu, pietiek ar skaidru novērotās ietekmes aprakstu. Atšķiriet aizdomas par drošības incidentu no apstiprināta secinājuma.

Sagatavojiet reaģēšanas ceļu pirms laidiena. Nodrošiniet kontaktinformācijas, piekļuves procedūru, rīcības instrukciju un saziņas kanālu pieejamību arī tad, kad galvenais pakalpojums nav pieejams. Izmēģiniet šo ceļu ar izdomātu incidentu.

Piešķiriet pienākumus pirms konfliktējošām izmaiņām

Incidenta koordinēšana nosaka prioritātes un vada lēmumus. Tehniskie reaģētāji izmeklē un mazina ietekmi. Saziņa informē ietekmētos cilvēkus. Google SRE apraksta šos pienākumus kā atsevišķas lomas. Mazas komandas var apvienot lomas, bet tām joprojām jāaptver viss darbs. Reaģēšana uz incidentiem.

Uzturiet vienu kopīgu laika skalu. Reģistrējiet laiku, novērojumu, darbību, veicēju un rezultātu. Atšķiriet faktus no hipotēzēm. Izmantojiet kopīgu laika joslu un atzīmējiet neuzticamus laika zīmogus.

Izskatiet izdomātu incidentu

Visi tālāk norādītie laiki ir UTC. Organizācija ieceļ incidenta koordinatoru, kad eksporta kļūme ietekmē vairākus klientus.

Noderīgs pirmais ziņojums nosauc ietekmēto funkciju, zināmo tvērumu, ietekmes mazināšanu un nākamā ziņojuma laiku. Tas nesola labošanas laiku bez pierādījumiem. Neiekļaujiet klientu ierakstus kopīgajā ziņojumā.

09:10 incidents mainās. Ar sekmīgu eksportu atjaunošanu vairs nepietiek. Komandai jānovērtē iespējamā datu izpaušana, jākontrolē piekļuve, jāsaglabā pierādījumi un jāiesaista attiecīgie lēmumu pieņēmēji.

Maziniet ietekmi, saglabājot kontroli

Izmantojiet pārbaudītas rīcības instrukcijas, kur tās der. Pārbaudiet priekšnosacījumus pirms atgriešanās iepriekšējā versijā, pārslēgšanās vai piekļuves datu maiņas. Iepriekšēja lietotnes versija var nesaprast pašreizējo datubāzes shēmu. Pārslēgšanās uz citu reģionu var pārvietot tos pašus bojātos datus.

Ļaujiet MI asistentam sakārtot pierādījumus ar aizklātiem sensitīviem datiem vai salīdzināt hipotēzes apstiprinātās robežās. Reaģētājiem jāpārbauda tā secinājumi. Žurnāli un pieteikumi ir neuzticama ievade, nevis atļauja izpildīt to saturu.

Ārkārtas piekļuvei vajag atļautu mērķi, ierobežotu ilgumu un audita ierakstu. Steidzamība nepadara aģenta ieteikto komandu pareizu.

Noslēdziet atjaunošanu un turpmākos darbus atsevišķi

Pirms paziņojat par pakalpojuma atjaunošanu, pārbaudiet lietotāja darbplūsmu, datu integritāti, piekļuves robežas un uzraudzības datu svaigumu. Reģistrējiet atlikušos ierobežojumus. Turpiniet drošības izmeklēšanu, ja tās jautājumi nav atrisināti.

Pēc tam izpētiet apstākļus, kas padarīja incidentu iespējamu. Piešķiriet konkrētus turpmākos darbus ar atbildīgo un pārbaudes kritērijiem. Pārskatīšana bez vainošanas meklē precīzu skaidrojumu un noderīgas izmaiņas. Tā neatceļ atbildību par šo izmaiņu pabeigšanu. Pēcincidenta pārskatīšana.

Turpiniet ar drošības operācijām un atgriezeniskās saites cikla noslēgšanu.