Prepojte dodávanie so SOC a SIRT

Definujte funkcie za názvami

Security operations center, alebo SOC, zvyčajne monitoruje bezpečnostné signály, skúma upozornenia a eskaluje podozrivé incidenty. Security incident response team, alebo SIRT, koordinuje reakciu na bezpečnostné incidenty. CSIRT je ďalší bežný názov tejto funkcie reagovania.

Organizácie si tieto funkcie rozdeľujú rôzne. Obe môžu vykonávať tí istí ľudia. Časť služby môže poskytovať externý dodávateľ. Zo skratky nevyvodzujte pokrytie ani oprávnenia. Zaznamenajte hodiny monitorovania, postupy eskalácie, rozhodovacie práva a záväzky reagovania.

Rámec CSIRT organizácie FIRST opisuje služby, ktoré môže tím reagovania poskytovať. NIST prepája reagovanie na incidenty so širším riadením kybernetických rizík. Tieto zdroje použite na definovanie svojich povinností a rozhraní spolupráce. Rámec FIRST, reagovanie na incidenty podľa NIST.

Zahrňte vývoj s AI do rozsahu detekcie

Systém dodávania softvéru má identity, repozitáre, runnery, registre, integrácie a prihlasovacie údaje nasadenia. Agenti pridávajú volania nástrojov a toky údajov k poskytovateľom modelov. Tieto hranice zahrňte do návrhu bezpečnosti.

Vyberte udalosti, ktoré podporujú definované detekcie. Príkladmi sú neočakávaný prístup k repozitáru, zmeny privilégií, nezvyčajná publikácia artefaktov a nasadenie neschválenou identitou. Záznamy prepájajte časovými údajmi, identitami vykonávateľov, identifikátormi zdrojov a dostupnými nemennými digestmi artefaktov.

Chráňte tieto záznamy. Prístup k auditu, uchovávanie, presnosť hodín a zlyhania zberu ovplyvňujú vyšetrovanie. Log vývojovej úlohy a cloudový auditný log odpovedajú na rôzne otázky. Ani jeden nie je automaticky úplným záznamom incidentu.

Pripravte odovzdanie pred incidentom

Definujte, kto môže odvolať token, izolovať runner, pozastaviť nasadenie alebo obnoviť službu. Osoby zodpovedné za služby vysvetľujú prevádzkové dôsledky. Bezpečnostní zasahujúci koordinujú vyšetrovanie a obmedzenie hrozby. Príslušné osoby zodpovedné za súkromie, právne otázky a obchod posudzujú oznamovacie povinnosti pre skutočnú situáciu.

Oznamovacie požiadavky závisia od incidentu a uplatniteľných povinností. Príslušnú osobu zodpovednú za rozhodnutie zapojte včas. Nenechajte súhrn AI rozhodnúť túto otázku ani zdržať zavedený postup eskalácie.

Prejdite fiktívnym incidentom s tokenom

O 14:05 UTC SOC zistí, že identita zostavenia číta neočakávaný repozitár. O 14:08 osoba zodpovedná za repozitár potvrdí, že túto aktivitu nevysvetľuje žiadna schválená úloha. Zatiaľ nie je známe, či zdrojový kód opustil prostredie.

Tím reagovania zachová auditné záznamy a relevantné dôkazy z runnera. Oprávnená zodpovedná osoba odvolá dotknutý prihlasovací údaj a zastaví podozrivú cestu vykonávania. Tieto akcie dodržiavajú postup reagovania organizácie a zohľadňujú dosah na službu.

Odstránenie uniknutého tokenu zo súboru nestačí. Prihlasovací údaj môže zostať platný inde. Ani nové vytvorenie runnera nestačí, ak identita zostáva kompromitovaná. Preskúmajte vydané artefakty, nadväzujúci prístup a ďalšie prihlasovacie údaje v rámci vierohodného rozsahu.

Pred obnovením dodávania overte identitu, runner, pôvod artefaktu a požadované hranice prístupu. Zaznamenajte, čo zostáva neznáme. Samotné úspešné zostavenie nepreukazuje dôveryhodnosť prostredia dodávania.

Vráťte zistenia do inžinierskej práce

Potvrdené príčiny premeňte na prácu so zodpovednou osobou: kratšiu platnosť prihlasovacích údajov, užší prístup, izoláciu runnera, zmeny detekcie alebo regresný test. Overte opravu a znova precvičte odovzdanie.

Auditné záznamy a záznamy dodávania Taiga môžu prispieť dôkazmi vo svojom zdokumentovanom rozsahu. Integrujte ich s procesom reagovania organizácie. Overte hranicu zdieľanej zodpovednosti; nepredpokladajte, že aktivácia Taigy prenáša zodpovednosť za SOC alebo SIRT. Auditný log, zdieľaná zodpovednosť.