Повежите испоруку са SOC и SIRT тимовима

Дефинишите функције иза назива

Безбедносни оперативни центар, односно SOC, обично прати безбедносне сигнале, истражује упозорења и ескалира сумње на инциденте. Тим за одговор на безбедносне инциденте, односно SIRT, координише одговор на безбедносне инциденте. CSIRT је још један уобичајен назив за ову функцију одговора.

Организације различито деле ове функције. Исти људи могу да обављају обе. Спољни добављач може да пружа део услуге. Не закључујте обухват или овлашћења из скраћенице. Забележите време надзора, путеве ескалације, права одлучивања и обавезе реаговања.

FIRST CSIRT оквир описује услуге које тим за одговор може да пружа. NIST повезује одговор на инцидент са ширим управљањем ризицима сајбер-безбедности. Користите ове изворе да дефинишете одговорности и начине сарадње. FIRST оквир, NIST одговор на инцидент.

Укључите AI развој у обухват откривања

Систем испоруке софтвера има идентитете, репозиторијуме, runner-е, регистре, интеграције и акредитиве за постављање. Агенти додају позиве алата и токове података ка добављачу модела. Укључите ове границе у безбедносни дизајн.

Изаберите догађаје који подржавају дефинисане механизме откривања. Примери укључују неочекиван приступ репозиторијуму, промене привилегија, необично објављивање артефаката и постављање са неодобреног идентитета. Повежите записе временским ознакама, идентитетима извршилаца, идентификаторима ресурса и непроменљивим криптографским сажецима артефаката где су доступни.

Заштитите те записе. Приступ ревизијским записима, задржавање, квалитет часовника и откази прикупљања утичу на истрагу. Лог развојног извршавања и cloud ревизијски лог одговарају на различита питања. Ниједан није аутоматски потпун запис инцидента.

Припремите предају пре инцидента

Дефинишите ко може да опозове токен, изолује runner, паузира постављање или врати сервис. Особе одговорне за сервисе објашњавају оперативне последице. Безбедносни тим координише истрагу и ограничавање последица. Релевантне особе одговорне за приватност, правна питања и пословање процењују обавезе обавештавања за стварну ситуацију.

Захтеви обавештавања зависе од инцидента и применљивих обавеза. Рано укључите одговарајућег доносиоца одлуке. Не дозволите да AI сажетак донесе ту одлуку или одложи утврђени пут ескалације.

Прођите кроз измишљен инцидент са токеном

У 14:05 UTC, SOC открива да build идентитет чита неочекиван репозиторијум. У 14:08 особа одговорна за репозиторијум потврђује да ниједан одобрен посао не објашњава ту активност. Остаје непознато да ли је изворни код напустио окружење.

Тим за одговор чува ревизијске записе и релевантне доказе са runner-а. Овлашћена одговорна особа опозива погођени акредитив и зауставља сумњиву путању извршавања. Ове радње прате поступак реаговања организације и узимају у обзир утицај на сервис.

Брисање процурелог токена из датотеке није довољно. Акредитив може да остане важећи на другом месту. Поновна изградња runner-а такође није довољна ако идентитет остаје компромитован. Испитајте издате артефакте, даљи приступ и друге акредитиве у оквиру вероватног обухвата инцидента.

Пре враћања испоруке проверите идентитет, runner, порекло артефакта и потребне границе приступа. Забележите шта је и даље непознато. Сам успешан build не доказује да је окружење испоруке поуздано.

Вратите налазе инжењерском тиму

Претворите потврђене узроке у послове са одговорним особама: краћи век акредитива, ужи приступ, изолација runner-а, промене откривања или регресиони тест. Потврдите исправку и поново увежбајте предају.

Taiga ревизијски записи и евиденција испоруке могу да допринесу доказима у свом документованом обухвату. Укључите их у процес одговора организације. Проверите границу заједничке одговорности уместо претпоставке да омогућавање коришћења платформе Taiga преноси одговорност за SOC или SIRT. Ревизијски лог, заједничка одговорност.