Lidhni dorëzimin me SOC dhe SIRT

Përcaktoni funksionet pas emërtimeve

Një qendër e operacioneve të sigurisë, ose SOC, zakonisht monitoron sinjalet e sigurisë, heton alarmet dhe përshkallëzon incidentet e dyshuara. Një ekip i përgjigjes ndaj incidenteve të sigurisë, ose SIRT, koordinon përgjigjen ndaj incidenteve të sigurisë. CSIRT është një tjetër emërtim i zakonshëm për këtë funksion përgjigjeje.

Organizatat i ndajnë këto funksione në mënyra të ndryshme. Të njëjtët njerëz mund t’i kryejnë të dyja. Një ofrues i jashtëm mund të sigurojë një pjesë të shërbimit. Mos nxirrni përfundime për mbulimin ose autoritetin vetëm nga një akronim. Regjistroni oraret e monitorimit, rrugët e përshkallëzimit, të drejtat e vendimmarrjes dhe angazhimet për përgjigje.

Kuadri CSIRT i FIRST përshkruan shërbimet që mund të ofrojë një ekip përgjigjeje. NIST e lidh përgjigjen ndaj incidenteve me menaxhimin më të gjerë të rrezikut të sigurisë kibernetike. Përdorini këto referenca për të përcaktuar përgjegjësitë dhe pikat tuaja të bashkëveprimit. Kuadri i FIRST, përgjigjja ndaj incidenteve sipas NIST.

Përfshini zhvillimin me AI në fushën e zbulimit

Një sistem dorëzimi softueri ka identitete, depo kodi, runner-a, regjistra paketash dhe artefaktesh, integrime dhe kredenciale vendosjeje. Agjentët shtojnë thirrje mjetesh dhe rrjedha të dhënash drejt ofruesit të modelit. Përfshijini këta kufij në projektimin e sigurisë.

Zgjidhni ngjarje që mbështesin zbulime të përcaktuara. Shembujt përfshijnë akses të papritur në depon e kodit, ndryshime privilegjesh, publikim të pazakontë artefaktesh dhe vendosje nga një identitet i pamiratuar. Lidhni regjistrimet me vulat kohore, identitetet e atyre që vepruan, identifikuesit e burimeve dhe vlerat e pandryshueshme digest të artefakteve, kur janë të disponueshme.

Mbrojini këto regjistrime. Aksesi në regjistrat e auditimit, afati i ruajtjes, saktësia e orës dhe dështimet e mbledhjes ndikojnë në hetim. Një regjistër ekzekutimi zhvillimi dhe një regjistër auditimi cloud u përgjigjen pyetjeve të ndryshme. Asnjëri nuk është automatikisht një regjistër i plotë incidenti.

Përgatitni kalimin e informacionit para incidentit

Përcaktoni kush mund të revokojë një token, të izolojë një runner, të pezullojë vendosjen ose të restaurojë një shërbim. Personat përgjegjës për shërbimin shpjegojnë pasojat operacionale. Ekipi i përgjigjes së sigurisë koordinon hetimin dhe kufizimin e ndikimit. Personat përkatës përgjegjës për privatësinë, çështjet ligjore dhe biznesin vlerësojnë detyrimet e njoftimit për situatën konkrete.

Kërkesat e njoftimit varen nga incidenti dhe detyrimet e zbatueshme. Përfshini herët personin e duhur përgjegjës për vendimin. Mos lejoni që një përmbledhje me AI ta marrë këtë vendim ose të vonojë një rrugë të përcaktuar përshkallëzimi.

Përpunoni një incident të trilluar me token

Në 14:05 UTC, SOC zbulon se një identitet ndërtimi po lexon një depo kodi të papritur. Në 14:08, personi përgjegjës për depon konfirmon se asnjë detyrë e miratuar nuk e shpjegon veprimtarinë. Ende nuk dihet nëse kodi burimor ka dalë nga mjedisi.

Ekipi i përgjigjes ruan regjistrat e auditimit dhe evidencën përkatëse të runner-it. Një person përgjegjës i autorizuar revokon kredencialin e prekur dhe ndalon rrugën e dyshimtë të ekzekutimit. Këto veprime ndjekin procedurën e përgjigjes të organizatës dhe marrin parasysh ndikimin në shërbim.

Fshirja nga një skedar e token-it të rrjedhur nuk mjafton. Kredenciali mund të mbetet i vlefshëm diku tjetër. As rindërtimi i një runner-i nuk mjafton nëse identiteti mbetet i komprometuar. Hetoni artefaktet e publikuara, aksesin në sistemet pasuese dhe kredencialet e tjera brenda shtrirjes së mundshme.

Para restaurimit të dorëzimit, verifikoni identitetin, runner-in, prejardhjen e artefaktit dhe kufijtë e nevojshëm të aksesit. Regjistroni çfarë ende nuk dihet. Një ndërtim i suksesshëm, i vetëm, nuk vërteton se mjedisi i dorëzimit është i besueshëm.

Kthejini gjetjet te puna inxhinierike

Shndërrojini shkaqet e konfirmuara në punë me përgjegjës të caktuar: afat më i shkurtër vlefshmërie për kredencialet, akses më i ngushtë, izolim i runner-it, ndryshime në zbulim ose një test regresioni. Verifikoni korrigjimin dhe ushtroni përsëri kalimin e informacionit.

Regjistrat e auditimit dhe dorëzimit të Taiga mund të japin evidencë brenda fushës së tyre të dokumentuar. Integrojini me procesin e përgjigjes së organizatës. Kontrolloni kufirin e përgjegjësisë së përbashkët në vend që të supozoni se aktivizimi i Taiga transferon përgjegjësinë për SOC ose SIRT. Audit log, përgjegjësia e përbashkët.