Свяжите поставку ПО с SOC и SIRT

Определите функции, стоящие за названиями

Security operations center, или SOC, обычно наблюдает за сигналами безопасности, расследует оповещения и эскалирует предполагаемые инциденты. Security incident response team, или SIRT, координирует реагирование на инциденты безопасности. CSIRT — ещё одно распространённое название этой функции.

Организации распределяют эти функции по-разному. Одни и те же люди могут выполнять обе. Часть услуг может предоставлять внешний поставщик. Не делайте выводов об охвате или полномочиях по аббревиатуре. Зафиксируйте часы мониторинга, пути эскалации, права принятия решений и обязательства по реагированию.

CSIRT Framework организации FIRST описывает услуги команды реагирования. NIST связывает реагирование с более широким управлением рисками кибербезопасности. Используйте эти источники для определения своих обязанностей и порядка взаимодействия. FIRST Framework, реагирование по NIST.

Включите разработку с ИИ в область обнаружения

У системы поставки ПО есть identities, репозитории, runners, registries, интеграции и учётные данные для deployment. Агенты добавляют вызовы инструментов и потоки данных к поставщикам моделей. Учитывайте эти границы при проектировании безопасности.

Выбирайте события, необходимые для определённых правил обнаружения. Примеры: неожиданный доступ к репозиторию, изменение привилегий, необычная публикация артефактов и deployment от неразрешённой identity. Связывайте записи через временные метки, identities исполнителей, идентификаторы ресурсов и неизменяемые digest артефактов, где они доступны.

Защищайте эти записи. Доступ к аудиту, сроки хранения, точность часов и сбои сбора влияют на расследование. Лог запуска разработки и облачный лог аудита отвечают на разные вопросы. Ни один из них автоматически не является полной записью инцидента.

Подготовьте передачу работы до инцидента

Определите, кто может отозвать токен, изолировать runner, приостановить deployment или восстановить сервис. Ответственные за сервисы объясняют эксплуатационные последствия. Команда безопасности координирует расследование и локализацию угрозы. Соответствующие ответственные за приватность, юридические вопросы и бизнес оценивают обязанности по уведомлению в фактической ситуации.

Требования к уведомлению зависят от инцидента и применимых обязательств. Привлекайте ответственного за нужное решение на раннем этапе. Не позволяйте сводке ИИ принимать это решение или задерживать установленную эскалацию.

Разберите вымышленный инцидент с токеном

В 14:05 UTC SOC обнаруживает, что build identity читает неожиданный репозиторий. В 14:08 ответственный за репозиторий подтверждает, что ни одна утверждённая задача не объясняет эту активность. Покидал ли исходный код среду, пока неизвестно.

Команда реагирования сохраняет записи аудита и соответствующие доказательства с runner. Уполномоченный ответственный отзывает затронутые учётные данные и останавливает подозрительный путь выполнения. Эти действия следуют процедуре организации и учитывают влияние на сервис.

Удалить утёкший токен из файла недостаточно. Учётные данные могут остаться действительными в другом месте. Пересоздать runner тоже недостаточно, если identity остаётся скомпрометированной. Исследуйте выпущенные артефакты, последующий доступ и другие учётные данные в пределах возможного масштаба инцидента.

Перед восстановлением поставки проверьте identity, runner, происхождение артефакта и необходимые границы доступа. Запишите, что всё ещё неизвестно. Один успешный build не подтверждает, что среде поставки можно доверять.

Верните выводы в инженерную работу

Превратите подтверждённые причины в задачи с ответственными: сократить срок действия учётных данных, сузить доступ, изолировать runner, изменить обнаружение или добавить тест регрессии. Проверьте исправление и снова отработайте передачу инцидента.

Записи аудита и поставки Taiga могут дать доказательства в пределах документированного охвата. Включите их в процесс реагирования организации. Проверьте границу разделённой ответственности, а не предполагайте, что подключение Taiga передаёт ей ответственность за SOC или SIRT. Лог аудита, разделённая ответственность.