Resurssit · 21
Kybertapahtuman triage-luokittelu ja varhaisten todisteiden säilyttäminen.
Hämmentävän signaalin muuttaminen aikajanaksi, hypoteeseiksi, päätöksiksi ja oikeasuhteiseksi eskaloinniksi.
Päivitetty · 2 min
Mitä tämä opas auttaa saavuttamaan
- Vastaanottaa hyödyllisen signaalin
- Säilyttää kontekstin
- Arvioida vaikutusta
- Järjestää päätöksiä
Pikatarkistus
- Kuka näki mitä, missä ja milloin?
- Mitkä lähteet tai jäljet voivat kadota?
- Mitkä palvelut, tilit ja tiedot voivat kärsiä?
- Kuka valtuuttaa välittömät toimenpiteet?
- Milloin arviointia tarkastellaan uudelleen?
Vaiheittainen menetelmä
- 1
Avaa yksi tapausrekisteri
Kirjaa alkuperäinen signaali, aika, havaitsija, vaikutuspiirissä olevat järjestelmät ja raportointikanava. Määritä tapauksen omistaja ja varahenkilö.
Tuotos: aikaleimattu tapahtumarekisteri.
- 2
Erottaa tosiasia hypoteesista
Listaa todennettavissa olevat havainnot, lähteet ja luotettavuus. Ilmoita mahdolliset skenaariot olettamatta alkuperää tai laajuutta.
Tuotos: tosiasiallinen aikajana ja testattavat hypoteesit.
- 3
Säilytä haihtuva materiaali
Tunnistaa hyödylliset lokit, hälytykset, viestit ja järjestelmätilat; Säilytä kopiot sisäisten menettelyjen mukaisesti ja kirjaa käyttöoikeus. Vältä muutoksia, jotka tuhoavat jälkiä.
Tuotos: alustava todisteiden luettelo ja käsittelytiedot.
- 4
Arvioi laajuutta ja vaikutusta.
Kartoita mahdollisesti vaikutuspiirissä olevat varat, tilit, tiedot ja liiketoimintaprosessit. Kirjaa ylös vahvistetut, poissuljetut tai tuntemattomat asiat sekä odottamisen kustannukset.
Tuotos: laajuuskartta ja alustava vaikutustaso.
- 5
Päätä ja vie eteenpäin.
Valitse oikeasuhteiset suojatoimenpiteet, asiantuntijat ja sidosryhmät tiedotettavaksi sovellettavien vaatimusten mukaisesti. Kirjaa ylös päätöksentekijä ja perustelut.
Tuotos: päätösloki ja viestintäsuunnitelma.
- 6
Arvioi uudelleen ja opi.
Aseta seuraava tilannepäivitys, lisää uusia todisteita ja yhdistä syyt ja puutteet korjaavaan työhön päätöksen jälkeen.
Tuotos: päivätyt päivitykset ja opitut kokemukset.
Johdon indikaattorit
| Indikaattori | Mitä se mittaa | Ensimmäinen toimenpide |
|---|---|---|
| Triage-vaiheeseen kuluva aika | Signaalista ensimmäiseen dokumentoituun laajuuteen kuluva aika | Eskaloinnin selventäminen |
| Päätöksen jäljitys | Päätökset ajan, omistajan ja perustelun kera | Lokin täydentäminen |
| Todisteiden kattavuus | Kriittisten lähteiden tunnistaminen ja säilyttäminen | Keräysaukkojen korjaaminen |
| Uudelleenarviointi | Hypoteesien uudelleentarkastelu sovituissa tarkastuspisteissä | Laajuuden päivittäminen |
Yleisiä virheitä
- Jälkien poistaminen ennenaikaisilla toimilla
- Syyn ilmoittaminen ennen validointia
- Ristiriitaisten aikataulujen noudattaminen
- Päätöksen päivämäärän laiminlyönti tai oletuksen uudelleentarkastelu
Usein kysytyt kysymykset
Onko jokainen hälytys tapahtuma?
Ei. Triage määrittää, edellyttävätkö havainnot virallista vastausta, ja se voi muuttua todisteiden kehittyessä.
Onko suojelun odotettava, kunnes kaikki on tiedossa?
Ei. Oikeasuhteiset toimenpiteet voivat rajoittaa vahinkoa tutkinnan jatkuessa, edellyttäen, että niiden vaikutukset todisteisiin ja palveluun kirjataan.
Mitä voidaan aluksi ilmoittaa?
Vahvistetut tosiasiat, tunnetut vaikutukset, nykyiset toimenpiteet ja seuraava päivitys. Syy ja laajuus pysyvät alustavina, kunnes ne on selvitetty.
Viralliset viitteet
Viitteet tukevat menetelmää. Sovita tarkastukset kontekstiisi; ne eivät ole sertifiointia. Alkuperäiset viitteiden otsikot ja lähdeasiakirjat voivat olla toisella kielellä.
