در یک حادثه سایبری، زمان و تصمیم درست اهمیت دارند
یک حمله سایبری ممکن است با رفتار غیرعادی یک حساب کاربری، رمزگذاری
فایل‌ها، اختلال یک سرویس، مشاهده ترافیک مشکوک یا انتشار اطلاعات آغاز شود.
اگر تصمیم‌های اولیه بدون شناخت کافی گرفته شوند، ممکن است دامنه خسارت
افزایش یابد یا شواهد ضروری برای تحلیل حادثه از بین بروند.
روت‌نت با بررسی فنی رخداد، اولویت‌بندی اقدامات و هماهنگی با تیم‌های
فناوری اطلاعات و مدیریت سازمان، به کنترل حادثه و بازیابی مرحله‌ای
سرویس‌ها کمک می‌کند. پس از مهار بحران نیز علت اصلی، نقاط ضعف و
اقدام‌های اصلاحی بررسی می‌شوند.
مشاهده هر نشانه به‌تنهایی اثبات حمله نیست، اما بررسی سریع و
ساختاریافته می‌تواند از گسترش خسارت جلوگیری کند.
تغییر غیرمنتظره فایل‌ها، ایجاد پسوندهای ناشناخته یا نمایش
پیام‌های اخاذی می‌تواند نشانه حمله باج‌افزاری باشد.
ورود از موقعیت یا زمان غیرمعمول، ایجاد حساب ناشناس یا افزایش
سطح دسترسی بدون مجوز به بررسی فوری نیاز دارد.
ارتباط با مقصدهای ناشناخته، افزایش ناگهانی ترافیک یا رفتار
غیرعادی میان بخش‌های شبکه ممکن است نیازمند تحلیل باشد.
قطعی یا کاهش شدید عملکرد وب‌سایت، ایمیل، پایگاه داده، فایل‌سرور
یا سایر سرویس‌های حیاتی ممکن است منشأ امنیتی داشته باشد.
توقف آنتی‌ویروس، حذف لاگ‌ها، تغییر تنظیمات فایروال یا غیرفعال‌شدن
ابزارهای نظارتی می‌تواند بخشی از فعالیت مهاجم باشد.
مشاهده اسناد سازمان در منابع ناشناس یا شواهد انتقال غیرمجاز
اطلاعات، نیازمند بررسی دامنه و منشأ رخداد است.
خدمات امنیت سایبری روت‌نت
دامنه اقدامات بر اساس نوع حادثه، حساسیت اطلاعات، زیرساخت سازمان
و سطح دسترسی موردتوافق مشخص می‌شود.
بررسی نشانه‌های حادثه، تعیین اولویت اقدامات، کمک به مهار تهدید
و هماهنگی برای بازگرداندن سرویس‌های حیاتی. هدف اولیه، محدودکردن
دامنه آسیب بدون ازبین‌بردن شواهد موردنیاز برای تحلیل است.
بررسی لاگ‌ها، رخدادهای سیستم، حساب‌های کاربری، ارتباطات شبکه
و تغییرات مهم برای درک مسیر حادثه، دامنه احتمالی نفوذ و علت اصلی.
نتیجه در قالب گزارش فنی و پیشنهادهای اصلاحی ارائه می‌شود.
شناسایی نشانه‌های آلودگی، حساب‌های آسیب‌دیده، دسترسی‌های غیرمجاز
و سازوکارهای ماندگاری مهاجم. پاک‌سازی و بازگردانی سامانه‌ها پس
از تهیه نسخه لازم از شواهد و تعیین روش امن اجرا انجام می‌شود.
برنامه‌ریزی برای بازگرداندن سیستم‌ها از نسخه پشتیبان سالم،
تغییر اعتبارنامه‌ها، اصلاح تنظیمات و بررسی امنیت پیش از اتصال
مجدد به شبکه. بازیابی مرحله‌ای انجام می‌شود تا خطر بازگشت تهدید
کاهش پیدا کند.
بررسی تنظیمات سیستم‌عامل، سرویس‌ها، سطح دسترسی، فایروال،
دسترسی مدیریتی، به‌روزرسانی‌ها و سایر کنترل‌ها با هدف کاهش
سطح حمله و جلوگیری از بهره‌برداری مجدد از نقاط ضعف شناخته‌شده.
جمع‌آوری و تحلیل رخدادهای امنیتی از سرورها، تجهیزات شبکه و
سامانه‌های مهم برای افزایش قابلیت مشاهده، شناسایی رفتارهای
مشکوک و تسریع فرایند بررسی حوادث احتمالی.
بررسی وضعیت لاگ‌ها، نسخه‌های پشتیبان، دسترسی‌های اضطراری،
مسئولیت اعضای تیم و فرایندهای ارتباطی. خروجی ارزیابی به سازمان
کمک می‌کند پیش از وقوع بحران، ضعف‌های اجرایی خود را شناسایی کند.
تدوین دستورالعمل‌های متناسب با سازمان، آموزش تیم فناوری اطلاعات
و آگاهی‌رسانی به کاربران درباره تهدیدهایی مانند فیشینگ،
اعتبارنامه‌های سرقت‌شده و رفتار مناسب هنگام مشاهده رخداد.
فرایند Incident Response
مراحل بر اساس شرایط حادثه ممکن است هم‌زمان یا با اولویت متفاوت اجرا شوند.
نوع و جزئیات خروجی بر اساس دامنه قرارداد و اطلاعات قابل‌دسترسی تعیین می‌شود.
پیشگیری و افزایش آمادگی
آمادگی مناسب باعث می‌شود سازمان هنگام بحران سریع‌تر، منظم‌تر و
با اتلاف اطلاعات کمتری تصمیم‌گیری کند.
محرمانگی و کنترل داده
لاگ‌ها، پیکربندی‌ها، اطلاعات حساب‌ها و یافته‌های امنیتی می‌توانند
بسیار حساس باشند. نحوه دسترسی، انتقال، نگهداری و تحویل اطلاعات
باید پیش از شروع همکاری مشخص شود و در صورت نیاز، خدمات تحت
توافق‌نامه محرمانگی یا NDA انجام می‌شود.
دامنه خدمات متناسب با اندازه، حساسیت و زیرساخت هر مجموعه مشخص می‌شود.
پاسخ به پرسش‌های اولیه درباره امنیت و Incident Response
از انجام تغییرات گسترده و حذف فایل‌ها یا لاگ‌ها بدون هماهنگی
خودداری کنید. زمان مشاهده رخداد، سیستم‌های درگیر، تغییرات اخیر
و نشانه‌های موجود را ثبت کرده و موضوع را سریعاً به تیم مسئول
فناوری اطلاعات یا امنیت اطلاع دهید.
زمان واکنش به سطح فوریت، نوع قرارداد، ساعات پوشش و توافق‌نامه
سطح خدمات بستگی دارد. برای سازمان‌هایی که قرارداد آمادگی و
پاسخ به رخداد دارند، زمان Acknowledgement می‌تواند در SLA
به‌صورت مشخص تعریف شود.
امکان بازیابی به وضعیت نسخه‌های پشتیبان، میزان آسیب و نحوه
نگهداری اطلاعات بستگی دارد و پیش از بررسی فنی قابل‌تضمین نیست.
ابتدا منابع بازیابی ارزیابی و سپس امن‌ترین مسیر پیشنهاد می‌شود.
بله. بر اساس سیاست امنیتی و امکانات سازمان، بخش‌های موردنیاز
می‌توانند در محیط داخلی یا زیرساخت خصوصی انجام شوند. شیوه
دسترسی و تبادل اطلاعات پیش از شروع مشخص خواهد شد.
خیر. ارزیابی آمادگی، مانیتورینگ، تحلیل لاگ، سخت‌سازی،
برنامه‌ریزی بازیابی، آموزش و تدوین فرایند پاسخ به حادثه نیز
به‌عنوان خدمات پیشگیرانه ارائه می‌شوند.
هزینه به نوع حادثه، تعداد سامانه‌های درگیر، فوریت، سطح دسترسی،
مدت بررسی و نوع خروجی موردنیاز بستگی دارد. پس از ارزیابی اولیه،
دامنه خدمات و برآورد هزینه ارائه می‌شود.
آمادگی پیش از بحران، تصمیم‌گیری بهتر هنگام حادثه
اگر نشانه‌ای از نفوذ، آلودگی، اختلال یا افشای اطلاعات مشاهده کرده‌اید
یا می‌خواهید پیش از وقوع حادثه آمادگی سازمان خود را افزایش دهید،
دامنه نیاز و مسیر مناسب همکاری را با شما بررسی می‌کنیم.
