Saistiet piegādi ar SOC un SIRT

Definējiet funkcijas aiz nosaukumiem

Drošības operāciju centrs jeb SOC parasti uzrauga drošības signālus, izmeklē brīdinājumus un eskalē aizdomas par incidentiem. Drošības incidentu reaģēšanas komanda jeb SIRT koordinē reaģēšanu uz drošības incidentiem. CSIRT ir vēl viens izplatīts šīs reaģēšanas funkcijas nosaukums.

Organizācijas sadala šīs funkcijas atšķirīgi. Tie paši cilvēki var veikt abas. Ārējs piegādātājs var nodrošināt daļu pakalpojuma. Neizseciniet pārklājumu vai pilnvaras no saīsinājuma. Reģistrējiet uzraudzības laiku, eskalācijas ceļus, lēmumu tiesības un reaģēšanas saistības.

FIRST CSIRT ietvars apraksta pakalpojumus, ko reaģēšanas komanda var sniegt. NIST saista incidentu reaģēšanu ar plašāku kiberdrošības risku pārvaldību. Izmantojiet šīs atsauces, lai definētu savus pienākumus un saskarnes. FIRST ietvars, NIST incidentu reaģēšana.

Iekļaujiet MI izstrādi atklāšanas tvērumā

Programmatūras piegādes sistēmai ir identitātes, repozitoriji, izpildvides, reģistri, integrācijas un izvietošanas piekļuves dati. Aģenti pievieno rīku izsaukumus un datu plūsmas uz modeļu sniedzējiem. Iekļaujiet šīs robežas drošības risinājumā.

Izvēlieties notikumus, kas atbalsta noteiktus atklāšanas scenārijus. Piemēri ir neparedzēta repozitorija piekļuve, tiesību izmaiņas, neparasta artefaktu publicēšana un izvietošana no neapstiprinātas identitātes. Saistiet ierakstus ar laika zīmogiem, darbību veicēju identitātēm, resursu identifikatoriem un nemainīgām artefaktu jaucējvērtībām, kur tās pieejamas.

Aizsargājiet šos ierakstus. Piekļuve audita datiem, glabāšana, pulksteņu precizitāte un vākšanas kļūmes ietekmē izmeklēšanu. Izstrādes izpildes žurnāls un mākoņa audita žurnāls atbild uz atšķirīgiem jautājumiem. Neviens automātiski nav pilns incidenta ieraksts.

Sagatavojiet nodošanu pirms incidenta

Definējiet, kurš var atsaukt tokenu, izolēt izpildvidi, apturēt izvietošanu vai atjaunot pakalpojumu. Par pakalpojumu atbildīgie izskaidro ekspluatācijas sekas. Drošības reaģētāji koordinē izmeklēšanu un ierobežošanu. Attiecīgie privātuma, juridisko un biznesa jautājumu atbildīgie novērtē paziņošanas pienākumus konkrētajā situācijā.

Paziņošanas prasības ir atkarīgas no incidenta un piemērojamajiem pienākumiem. Laikus iesaistiet attiecīgo lēmuma pieņēmēju. Neļaujiet MI kopsavilkumam pieņemt šo lēmumu vai aizkavēt noteikto eskalācijas ceļu.

Izskatiet izdomātu tokena incidentu

14:05 UTC SOC atklāj, ka būvēšanas identitāte lasa neparedzētu repozitoriju. 14:08 par repozitoriju atbildīgais apstiprina, ka darbību neizskaidro neviens apstiprināts uzdevums. Vēl nav zināms, vai pirmkods atstāja vidi.

Reaģēšanas komanda saglabā audita ierakstus un attiecīgos izpildvides pierādījumus. Pilnvarotais atbildīgais atsauc ietekmētos piekļuves datus un aptur aizdomīgo izpildes ceļu. Šīs darbības ievēro organizācijas reaģēšanas procedūru un ņem vērā ietekmi uz pakalpojumu.

Ar noplūdušā tokena dzēšanu no faila nepietiek. Piekļuves dati citur var palikt derīgi. Arī izpildvides izveide no jauna nav pietiekama, ja identitāte paliek kompromitēta. Iespējamā tvēruma robežās izmeklējiet izdotos artefaktus, turpmāko piekļuvi un citus piekļuves datus.

Pirms piegādes atjaunošanas pārbaudiet identitāti, izpildvidi, artefaktu izcelsmi un vajadzīgās piekļuves robežas. Reģistrējiet vēl nezināmo. Sekmīga būvēšana viena pati nepierāda, ka piegādes vide ir uzticama.

Atgrieziet secinājumus izstrādē

Pārvērtiet apstiprinātus cēloņus darbos ar atbildīgajiem: īsāks piekļuves datu derīgums, šaurāka piekļuve, izpildvides izolācija, atklāšanas izmaiņas vai regresijas tests. Pārbaudiet labojumu un vēlreiz izmēģiniet nodošanu.

Taiga audita un piegādes ieraksti var sniegt pierādījumus dokumentētā tvērumā. Integrējiet tos organizācijas reaģēšanas procesā. Pārbaudiet dalītās atbildības robežu, nevis pieņemiet, ka Taiga ieviešana nodod SOC vai SIRT atbildību. Audita žurnāls, dalītā atbildība.