Ресурсы · 21
Сортировка кибер-инцидента и сохранение ранних доказательств.
Преобразование запутанного сигнала в временную шкалу, гипотезы, решения и соразмерную эскалацию.
Обновлено · 2 min
Чего помогает достичь это руководство
- Получение полезного сигнала
- Сохранение контекста
- Оценка воздействия
- Организация принятия решений
Быстрая проверка
- Кто что видел, где и когда?
- Какие источники или следы могут исчезнуть?
- Какие услуги, учетные записи и данные могут быть затронуты?
- Кто санкционирует немедленные меры?
- Когда будет проведена повторная оценка?
Пошаговый метод
- 1
Открытие одной записи дела
Запись первоначального сигнала, времени, наблюдателя, затронутых систем и канала сообщения. Назначение ответственного за дело и заместителя.
Результат: запись инцидента с отметкой времени.
- 2
Отделение фактов от гипотез
Перечисление проверяемых наблюдений, источников и степени достоверности. Изложение возможных сценариев без предположения о происхождении или масштабе.
Результат: фактическая хронология и проверяемые гипотезы.
- 3
Сохранение нестабильных данных
Выявление полезных журналов, оповещений, сообщений и состояний системы; сохранение копий в соответствии с внутренними процедурами и регистрация доступа. Избегать изменений, уничтожающих следы.
Результат: первоначальная инвентаризация доказательств и запись об обработке.
- 4
Оценка масштаба и воздействия
Составление карты потенциально затронутых активов, счетов, данных и бизнес-процессов. Регистрация подтвержденных, исключенных или неизвестных данных, а также стоимости ожидания.
Результат: карта масштаба и предварительный уровень воздействия.
- 5
Принятие решения и эскалация
Выбор соразмерных мер защиты, специалистов и заинтересованных сторон для информирования в соответствии с применимыми требованиями. Регистрация лица, принявшего решение, и обоснования.
Результат: журнал принятия решений и план коммуникации.
- 6
Переоценка и извлечение уроков
Определение следующего обновления ситуации, добавление новых доказательств и установление связи между причинами и пробелами и корректирующей работой после завершения.
Результат: обновления с указанием дат и извлеченные уроки.
Показатели управления
| Показатель | Что он измеряет | Первое действие |
|---|---|---|
| Время на сортировку | Время от сигнала до первого задокументированного масштаба | Уточнение эскалации |
| Отслеживание решений | Решения с указанием времени, ответственного лица и обоснования | Заполнение журнала |
| Охват доказательств | Выявление и сохранение критически важных источников | Устранение пробелов в сборе информации |
| Переоценка | Пересмотр гипотез на согласованных контрольных точках | Обновление области действия |
Распространенные ошибки
- Устранение следов путем преждевременных действий
- Объявление причины до подтверждения
- Соблюдение противоречивых сроков
- Отсутствие указания даты принятия решения или пересмотр предположения
Часто задаваемые вопросы
Является ли каждое оповещение инцидентом?
Нет. Сортировка определяет, требуют ли наблюдения официального ответа, и может меняться по мере появления доказательств.
Должна ли защита ждать, пока все станет известно?
Нет. Соразмерные меры могут ограничить вред, пока продолжается расследование, при условии, что их влияние на доказательства и обслуживание зафиксировано.
Что можно сообщить изначально?
Подтвержденные факты, известные последствия, текущие действия и следующее обновление. Причина и масштаб остаются предварительными до установления.
Официальные ссылки
Ссылки подтверждают метод. Адаптируйте проверки к вашему контексту; они не являются сертификацией. Оригинальные названия ссылок и исходные документы могут быть на другом языке.
