Koppla leveransen till SOC och SIRT

Definiera funktionerna bakom namnen

Ett security operations center, SOC, övervakar vanligen säkerhetssignaler, undersöker larm och eskalerar misstänkta incidenter. Ett security incident response team, SIRT, samordnar insatser vid säkerhetsincidenter. CSIRT är ett annat vanligt namn på denna funktion.

Organisationer fördelar funktionerna på olika sätt. Samma personer kan utföra båda. En extern leverantör kan tillhandahålla en del av tjänsten. Dra inte slutsatser om täckning eller befogenheter från en förkortning. Dokumentera övervakningstider, eskaleringsvägar, beslutsrätt och åtaganden för insatser.

FIRST:s CSIRT-ramverk beskriver tjänster som ett insatsteam kan tillhandahålla. NIST kopplar incidenthantering till bredare hantering av cybersäkerhetsrisker. Använd referenserna för att definiera ansvar och gränssnitt. FIRST:s ramverk, NIST:s incidenthantering.

Ta med AI-utveckling i det som övervakas

Ett system för programvaruleverans har identiteter, repositoryn, runners, register, integrationer och autentiseringsuppgifter för driftsättning. Agenter tillför verktygsanrop och dataflöden till modellleverantörer. Ta med dessa gränser i säkerhetsdesignen.

Välj händelser som stöder definierade detekteringar. Exempel är oväntad repositoryåtkomst, ändrade privilegier, ovanlig publicering av artefakter och driftsättning från en icke godkänd identitet. Koppla samman poster med tidsstämplar, aktörernas identiteter, resursidentifierare och oföränderliga artefaktdigests där sådana finns.

Skydda posterna. Åtkomst till granskningsloggar, lagringstid, klockornas kvalitet och insamlingsfel påverkar utredningen. En logg från en utvecklingskörning och en granskningslogg från molnet besvarar olika frågor. Ingen av dem är automatiskt en fullständig incidentdokumentation.

Förbered en överlämning före incidenten

Definiera vem som får återkalla en token, isolera en runner, pausa driftsättning eller återställa en tjänst. Tjänsteansvariga förklarar konsekvenserna för driften. Säkerhetsfunktionen samordnar utredning och begränsning. Relevanta ansvariga för dataskydd, juridik och verksamhet bedömer anmälningsskyldigheter för den faktiska situationen.

Anmälningskrav beror på incidenten och tillämpliga skyldigheter. Involvera rätt beslutsansvarig tidigt. Låt inte en AI-sammanfattning avgöra saken eller fördröja en etablerad eskaleringsväg.

Arbeta igenom en fiktiv tokenincident

Klockan 14:05 UTC upptäcker SOC att en byggidentitet läser ett oväntat repository. Klockan 14:08 bekräftar repositoryansvarig att inget godkänt jobb förklarar aktiviteten. Det är fortfarande okänt om källkod har lämnat miljön.

Insatsteamet bevarar granskningsloggar och relevant underlag från runnern. En behörig ansvarig återkallar den berörda autentiseringsuppgiften och stoppar den misstänkta körvägen. Åtgärderna följer organisationens incidentrutin och tar hänsyn till påverkan på tjänsten.

Det räcker inte att ta bort den läckta token från en fil. Autentiseringsuppgiften kan fortfarande vara giltig på annat håll. Det räcker inte heller att bygga om en runner om identiteten fortfarande är komprometterad. Undersök skapade artefakter, åtkomst i efterföljande system och andra autentiseringsuppgifter inom det rimliga omfånget.

Verifiera identiteten, runnern, artefakternas ursprung och de nödvändiga åtkomstgränserna innan leveransen återupptas. Dokumentera vad som fortfarande är okänt. Ett lyckat bygge fastställer inte ensamt att leveransmiljön är tillförlitlig.

För tillbaka fynden till utvecklingsarbetet

Omvandla bekräftade orsaker till arbete med tydligt ansvar: kortare livslängd för autentiseringsuppgifter, snävare åtkomst, isolering av runners, ändrad detektering eller ett regressionstest. Validera korrigeringen och öva överlämningen igen.

Taigas gransknings- och leveransposter kan bidra med underlag inom sitt dokumenterade omfång. Integrera dem med organisationens incidentprocess. Kontrollera gränsen för delat ansvar i stället för att anta att aktivering av Taiga överför ansvaret för SOC eller SIRT. Audit log, delat ansvar.