建站
咨詢
售后
建站咨詢
新聞中心
人非圣賢，孰能無(wú)過(guò)?但在安全行業(yè)，小過(guò)失往往造成大損失。從缺乏計(jì)劃到緊急關(guān)閉事件，這些常見錯(cuò)誤都會(huì)嚴(yán)重破壞應(yīng)急響應(yīng)(IR)工作的有效性，進(jìn)而損害企業(yè)利益。
創(chuàng)新互聯(lián)服務(wù)項(xiàng)目包括德欽網(wǎng)站建設(shè)、德欽網(wǎng)站制作、德欽網(wǎng)頁(yè)制作以及德欽網(wǎng)絡(luò)營(yíng)銷策劃等。多年來(lái)，我們專注于互聯(lián)網(wǎng)行業(yè)，利用自身積累的技術(shù)優(yōu)勢(shì)、行業(yè)經(jīng)驗(yàn)、深度合作伙伴關(guān)系等，向廣大中小型企業(yè)、政府機(jī)構(gòu)等提供互聯(lián)網(wǎng)行業(yè)的解決方案，德欽網(wǎng)站推廣取得了明顯的社會(huì)效益與經(jīng)濟(jì)效益。目前，我們服務(wù)的客戶以成都為中心已經(jīng)輻射到德欽省份的部分城市，未來(lái)相信會(huì)繼續(xù)擴(kuò)大服務(wù)區(qū)域并繼續(xù)獲得客戶的支持與信任！
運(yùn)行良好的網(wǎng)絡(luò)事件響應(yīng)團(tuán)隊(duì)(CIRT)可以通過(guò)阻止早期入侵轉(zhuǎn)變成全面的數(shù)據(jù)泄露事件，來(lái)證明網(wǎng)絡(luò)安全計(jì)劃的最終保障能力。至少，CIRT可以在事情沒有演變得不可收拾之前，將數(shù)據(jù)泄露的影響降至最低。
盡管當(dāng)前許多網(wǎng)絡(luò)安全組織都部署了早期的網(wǎng)絡(luò)事件響應(yīng)團(tuán)隊(duì)，但是真正實(shí)現(xiàn)良好運(yùn)行的卻并不多。
根據(jù)具備災(zāi)后恢復(fù)工作經(jīng)驗(yàn)的安全專家表示，由于應(yīng)急響應(yīng)(IR)故障，許多事件變得更加糟糕。而且這些故障都是企業(yè)反復(fù)觸及的一些常見錯(cuò)誤集。為了幫助企業(yè)組織更好地實(shí)現(xiàn)應(yīng)急響應(yīng)，安全專家總結(jié)了top 10失誤點(diǎn)，以及關(guān)于如何規(guī)避這些錯(cuò)誤的相關(guān)建議。
1. 沒有合適的應(yīng)急響應(yīng)計(jì)劃
毫無(wú)疑問，排在第一的應(yīng)急響應(yīng)錯(cuò)誤就是未能制定適當(dāng)?shù)挠?jì)劃，該計(jì)劃可以在發(fā)生安全事件時(shí)有效地指導(dǎo)安全團(tuán)隊(duì)行事。
Digital Guardian 網(wǎng)絡(luò)安全副總裁Tim Bandos表示：
“時(shí)至今日，我仍然看到很多企業(yè)并未制定適當(dāng)?shù)膽?yīng)急響應(yīng)計(jì)劃來(lái)應(yīng)對(duì)安全事件。通常來(lái)說(shuō)，這一過(guò)程需要雇傭第三方應(yīng)急響應(yīng)團(tuán)隊(duì)參與進(jìn)來(lái)，部署代理、收集證據(jù)、執(zhí)行分析等等。這可能會(huì)花費(fèi)很多時(shí)間，但是結(jié)果一定是值得的。因?yàn)橐?，惡意行為者在企業(yè)環(huán)境中潛伏的越久，他們用于竊取企業(yè)信息的時(shí)間也就越多。所以，部署適當(dāng)?shù)挠?jì)劃，及時(shí)發(fā)現(xiàn)和阻止攻擊，對(duì)于企業(yè)而言是具有高投資回報(bào)率的事情?！?/p>
對(duì)于這種情況，安全顧問和第三方響應(yīng)公司早就察覺到了?？上В匀挥泻芏喙緵]有準(zhǔn)備響應(yīng)計(jì)劃，也沒有遏制和響應(yīng)策略，甚至也沒有適當(dāng)?shù)纳?jí)計(jì)劃。
Kudelski Security首席執(zhí)行官Andrew Howard表示：
“我們的應(yīng)急響應(yīng)小組還發(fā)現(xiàn)，客戶對(duì)于應(yīng)對(duì)違規(guī)行為時(shí)所面臨的威脅普遍缺乏了解。造成這種缺乏了解和準(zhǔn)備的因素有很多：其中一個(gè)就是，許多網(wǎng)絡(luò)事件響應(yīng)程序在創(chuàng)建之初都沒有考慮任何策略，取而代之的是，創(chuàng)建一個(gè)團(tuán)隊(duì)并提供一組威脅檢測(cè)或威脅情報(bào)工具，然后要求他們進(jìn)行操作。不幸的是，如果沒有驅(qū)動(dòng)整個(gè)團(tuán)隊(duì)的理念和計(jì)劃，這只會(huì)造成一種虛假的安全感?！?/p>
2. 無(wú)法測(cè)試計(jì)劃可行性
Beyond Security首席執(zhí)行官Aviram Jenik表示，如果最大的錯(cuò)誤是根本不具備應(yīng)急響應(yīng)計(jì)劃的話，那么緊隨其后的就是永遠(yuǎn)不會(huì)實(shí)際地測(cè)試計(jì)劃的可行性和有效性。
Jenik表示：
“記住，每個(gè)企業(yè)都可以制定一份計(jì)劃，但是計(jì)劃有效性如何，也許只有到直面挑戰(zhàn)的那一天才知曉。為了最大限度地降低攻擊影響，您需要應(yīng)急響應(yīng)小組介入，來(lái)檢測(cè)該計(jì)劃的可行性和有效性?！?/p>
進(jìn)行測(cè)試的方法有很多種，應(yīng)該從程序級(jí)別，桌面練習(xí)以及技術(shù)級(jí)別(如定期的紅隊(duì)練習(xí))進(jìn)行驗(yàn)證。此外，安全專家還建議可以使用更高級(jí)的預(yù)檢和模擬對(duì)所有部件進(jìn)行進(jìn)一步測(cè)試。
Optiv公司威脅管理技術(shù)總監(jiān)Curtis Fechner稱：
“涵蓋單個(gè)遵從性驅(qū)動(dòng)方案的基本桌面練習(xí)，可能無(wú)法提供足夠的維度來(lái)驗(yàn)證該計(jì)劃的基本原理是否合理，并切實(shí)地支持企業(yè)級(jí)別的應(yīng)急響應(yīng)(IR)可執(zhí)行計(jì)劃。認(rèn)真對(duì)待這項(xiàng)測(cè)試以推動(dòng)持續(xù)改進(jìn)至關(guān)重要。”
3. 計(jì)劃中暗藏過(guò)時(shí)細(xì)節(jié)
定期進(jìn)行安全測(cè)試可以幫助減少另一項(xiàng)常見錯(cuò)誤：應(yīng)急響應(yīng)計(jì)劃成為過(guò)時(shí)品。
Pen Test Partners公司取證顧問Andrew Bassi表示：
“應(yīng)急響應(yīng)程序的生命歷程大致是這樣的：編寫完成、擱置、蒙塵、攻擊來(lái)襲再匆忙將其挖掘出來(lái)。屆時(shí)，最初設(shè)定的聯(lián)系人可能早已離職或者更換他人，而且過(guò)程也可能不適用當(dāng)前環(huán)境中所部署的硬件/軟件?！?/p>
Bassi建議，雖然不一定每次公司更換平臺(tái)時(shí)都需要編寫新計(jì)劃，但確實(shí)需要定期對(duì)其進(jìn)行審查以獲取更新信息。
除此之外，還可以在某些部分(如升級(jí)計(jì)劃)編寫得足夠通用一些，這樣就不會(huì)過(guò)時(shí)得那么快。比如，工作流應(yīng)該按部門、職務(wù)或角色指定負(fù)責(zé)的人員或小組，而不是按個(gè)人姓名來(lái)，以此避免人員流動(dòng)帶來(lái)的問題?？傊?，所有的人機(jī)交互都應(yīng)該是通用的，但要精確地確定所有權(quán)——例如，指定數(shù)據(jù)隱私官或云安全架構(gòu)師，而不是John或Sandy。
4. 缺少自動(dòng)化的最佳選擇
自動(dòng)化可以大大提高應(yīng)急響應(yīng)程序的效率和效果。其背后的原理是，通過(guò)適當(dāng)?shù)淖詣?dòng)化水平，以削減低價(jià)值的手動(dòng)勞作，同時(shí)還可以將更適合人工決策的任務(wù)交給最精明的分析人員處理，實(shí)現(xiàn)了人員效益最大化。
RedSeal的首席技術(shù)官M(fèi)ike Lloyd表示：
“有些組織會(huì)因?yàn)樽詣?dòng)化程度不足，或者應(yīng)急響應(yīng)過(guò)程遇到困難而最終迷失其中，空留一個(gè)響亮的口號(hào)。還有一部分組織則適得其反，過(guò)度地利用了自動(dòng)化，完全沒有意識(shí)到機(jī)器決策仍然存在不足，致其成為攻擊者的攻擊入口?！?/p>
5. 在弄不清狀況的情況下工作
為可靠的應(yīng)急響應(yīng)實(shí)踐奠定的一些最佳基礎(chǔ)，也是實(shí)現(xiàn)良好的IT管理和安全管理的解決方案。包括進(jìn)行一些資產(chǎn)發(fā)現(xiàn)和分類等“發(fā)現(xiàn)自我”的工作。
要知道，未能解決資產(chǎn)清單或數(shù)據(jù)分類及管理等方面的問題，將會(huì)導(dǎo)致諸多錯(cuò)誤。不知道自己在保護(hù)什么，或者企業(yè)最寶貴的東西是什么，在哪里，就很難制定合理的投資者關(guān)系策略。
6. 讓威脅行為持續(xù)太久
警報(bào)優(yōu)先級(jí)和分類是管理分析工作負(fù)載的重要組成部分。但是，簡(jiǎn)單地根據(jù)關(guān)鍵高點(diǎn)對(duì)操作進(jìn)行優(yōu)先級(jí)排序，而忽略低級(jí)和不明顯的威脅行為，可能會(huì)使導(dǎo)致某些異常活動(dòng)被忽略，直至發(fā)生入侵事件才悔之晚矣。
這種僅遵循優(yōu)先級(jí)處理威脅的方法所存在的問題在于，一些低級(jí)的威脅可能會(huì)在企業(yè)網(wǎng)絡(luò)中潛伏很久很深，而無(wú)法被視為優(yōu)先事項(xiàng)進(jìn)行處理。而如果組織可以在流程的較早階段發(fā)現(xiàn)并組織該威脅，實(shí)際上可以更好地減輕企業(yè)組織面臨的風(fēng)險(xiǎn)。
針對(duì)該問題，可以通過(guò)更平衡的應(yīng)急響應(yīng)工具組合以及諸如威脅捕獲之類的積極實(shí)踐來(lái)解決。
7. 結(jié)案太快
采取最快的速度結(jié)案，并且不去深究引發(fā)問題的根本原因以及惡意活動(dòng)的相關(guān)跡象等問題，可能會(huì)導(dǎo)致問題的進(jìn)一步擴(kuò)散和惡化，而應(yīng)急響應(yīng)團(tuán)隊(duì)很可能只是在跟表面現(xiàn)象做斗爭(zhēng)，而并未將問題扼殺在萌芽狀態(tài)。
Sophos托管威脅響應(yīng)高級(jí)總監(jiān)JJ Thompson表示：
“通過(guò)避開需要費(fèi)時(shí)挖掘的關(guān)鍵問題，來(lái)盡快結(jié)案或贏得勝利，通常會(huì)導(dǎo)致更廣泛的傳播問題。通常情況下，這些惡意軟件或明顯的入口點(diǎn)都是假定的，但由于技術(shù)限制而未經(jīng)驗(yàn)證，這可能會(huì)導(dǎo)致應(yīng)急響應(yīng)團(tuán)隊(duì)、法務(wù)人員和行政人員之間產(chǎn)生誤會(huì)，從而導(dǎo)致錯(cuò)誤的違規(guī)報(bào)告?！?/p>
8. 缺乏合作和溝通
無(wú)論響應(yīng)者是在安全運(yùn)營(yíng)中心(SOC)還是遠(yuǎn)程辦公，成功的應(yīng)急響應(yīng)計(jì)劃都能使團(tuán)隊(duì)成員緊密協(xié)作，并且更高效地合作處理案件。由于新冠疫情持續(xù)蔓延，應(yīng)急響應(yīng)團(tuán)隊(duì)現(xiàn)在必須采用新的遠(yuǎn)程工作策略，這也使得他們投入了更多精力在通信方法和渠道上。通過(guò)小組聊天、共享的跟蹤表和團(tuán)隊(duì)電話會(huì)議，團(tuán)隊(duì)成員間能夠輕松地共享數(shù)據(jù)以及相關(guān)的事件信息，這些都比以往任何時(shí)候都更為重要。
IBM X-Force網(wǎng)絡(luò)應(yīng)急響應(yīng)團(tuán)隊(duì)的首席技術(shù)官Chris Scott表示：
“由于此次全球危機(jī)，辦公室內(nèi)的溝通對(duì)話減少了。而一旦溝通和協(xié)作中斷，圍繞安全事件的背景信息就會(huì)丟失。只有擁有正確的背景信息，人們才有可能做出最佳決策?！?/p>
9. 在不設(shè)置腳本的情況下執(zhí)行
僅僅制定總體性和戰(zhàn)略性的應(yīng)急響應(yīng)計(jì)劃是遠(yuǎn)遠(yuǎn)不夠的。應(yīng)急響應(yīng)團(tuán)隊(duì)還需要針對(duì)常見情況制定戰(zhàn)術(shù)計(jì)劃，以此來(lái)節(jié)省響應(yīng)時(shí)間和簡(jiǎn)化操作流程。
這就是為什么有些安全專家指出，最大的錯(cuò)誤之一就是在沒有腳本和設(shè)定程序的情況下處理事件。
By Light公司首席技術(shù)官Ken Jenkins表示：
“企業(yè)必須設(shè)定團(tuán)隊(duì)將要響應(yīng)的特定類型的事件，并制定逐步的程序，而這些程序必須確保可以在當(dāng)下最激烈的攻擊事件中運(yùn)行。關(guān)于這些程序越詳細(xì)越好?！?/p>
10. 缺乏時(shí)間觀念的事件通知
當(dāng)涉及內(nèi)部和外部違規(guī)通知時(shí)，時(shí)間就是一切。而企業(yè)組織犯下的最大錯(cuò)誤之一就是過(guò)早或過(guò)遲地傳達(dá)違規(guī)通知。
過(guò)早溝通會(huì)導(dǎo)致無(wú)法回答諸多細(xì)節(jié)問題，或無(wú)法為組織和第三方的潛在風(fēng)險(xiǎn)和影響提供更多見解。而過(guò)晚溝通又會(huì)帶來(lái)無(wú)法及時(shí)發(fā)現(xiàn)和處理事件的感覺。
【責(zé)任編輯： 趙寧寧 TEL：（010）68476606】
標(biāo)題名稱：網(wǎng)絡(luò)安全應(yīng)急響應(yīng)誤區(qū)及緩解建議
分享URL：http://www.5511xx.com/article/dhphhsi.html
