Die reageert op een schending van de netwerkbeveiliging - dummies

Hoe voorzichtig u ook bent en hoe veilig uw systemen ook zijn, er gebeuren slechte dingen. Elektronische componenten falen. Software kan bugs bevatten. Mensen maken fouten. En, soms maken mensen onheil met de bedoeling om schade aan te richten aan het netwerk. De natuur kan beïnvloeden of uw netwerk ook werkt of niet. Al deze situaties vereisen dat u snel en efficiënt op de noodsituatie reageert.

Bellen in het SWAT, um, CERT-team

De beste manier om voorbereid te zijn op een netwerkbeveiligingsnoodgeval, is een CERT op zijn plaats te hebben. CERT staat voor Computer Emergency Response Team (of CIRT, Computer Incident Response Team) - een team dat u hebt opgezet om noodgevallen binnen uw eigen organisatie af te handelen. Welke manier je het ook spellen, dit zijn de Ghostbusters van computernetwerken; ze vinden de slechte dingen en roeien het uit.

Het bedrijfsmodel van een Computer Emergency Response Team is reageren op de noodsituaties op dezelfde manier als brandweerlieden en politie. Ze reageren, identificeren de situatie, isoleren het gebied en gaan aan het werk. En omdat niemand weet hoe lang het zal duren om een ​​noodsituatie in toom te houden, werken ze vaak lange, zware uren onder enorme stress.

CERT's bestaan ​​uit hooggekwalificeerde mensen die variëren in hun vakgebied, maar die een crosstrainer hebben om alle mogelijke gevallen te dekken. Deze teamleden moeten

• Heb een diepgaand inzicht in netwerken, besturingssystemen en applicaties zodat ze kunnen herkennen wanneer iets niet klopt.
• Virussen en eradicatietechnieken kunnen identificeren.
• Ken hackingtechniek en systeemkwetsbaarheden
• Gebruik veel platformonafhankelijke netwerkhulpmiddelen. Sommige van deze tools zijn eigenlijk hacktools en andere worden gebruikt om systeeminbraken te ontdekken …
• Kunnen werken als een team en koel zijn onder druk.
• Kunnen communiceren met anderen die niet zo'n hoog niveau van begrip hebben als zij. Dit is belangrijk om statusrapporten te kunnen geven en om wijzigingen in de beveiliging aan te bevelen om verdere gebeurtenissen te voorkomen.

Omdat CERT-teamleden zo hooggeschoold zijn, kan een bedrijf het zich niet veroorloven om een ​​CERT-team aan te nemen om maandenlang te blijven zitten en niets te doen. De teamleden hebben meestal voltijdbanen die iets anders doen dan noodhulp. Zelden houden ze ooit meer dan leidinggevende of middenkaderfuncties. Wanneer ze echter reageren op een kritieke situatie, moeten ze de autoriteit en de autonomie hebben om beslissingen op directieniveau te nemen.De levensduur van uw bedrijf kan afhankelijk zijn van snelle beslissingen.

U moet een sectie hebben in uw document met beveiligingsbeleidsregels en procedures die de regelingen van uw bedrijf voor een CERT beschrijft, ongeacht of deze intern is of is uitbesteed. De rollen en verantwoordelijkheden moeten duidelijk worden vermeld, evenals wie het team tot actie moet roepen en wanneer ze moeten worden geroepen.

Responsibly respons

Je netwerk is de laatste tijd grappig geweest of je hebt vreemde dingen gezien waardoor je denkt dat een indringer zich in je netwerk bevindt. Het eerste agendapunt is Do not Panic! Bel uw CERT zo snel mogelijk in. De kans is groot dat de indringer al een tijdje binnen is, maar dit is de eerste keer dat je het merkt. Indringers zijn als kakkerlakkenplagen - ze gebeuren niet zomaar 's nachts. De CERT zullen hun tijd en werk systematisch nemen om van de overlast af te komen. En tenzij ze merken dat bestanden op uw servers in een alarmerend tempo worden vernietigd, zullen ze uw netwerk niet afsluiten.

U moet enkele basisstappen nemen voordat de CERT binnenkomt en begint te werken. Deze stappen kunnen enigszins variëren, afhankelijk van de situatie. In sommige gevallen kunt u bijvoorbeeld de CERT inschakelen voordat u bedrijfsleiders op de hoogte stelt, omdat het belangrijker is om het team eerst aan het werk te krijgen. Voer in ieder geval de volgende stappen uit en laat niets achter. Eerst en vooral echter - Systemen niet uitschakelen of opnieuw opstarten. Dit kan het herstelproces belemmeren.

1. Begin met het maken van aantekeningen.

Begin niet met het typen van commando's zoals het proberen de indringer te vinden. Laat de CERT dat doen. Het is belangrijker dat je op dit moment een nieuwe notebook krijgt en alles opschrijft wat je hebt opgemerkt en wat je hebt gedaan. Het is heel belangrijk dat u de tijd en datum van alles registreert. Deze notebook kan later in rechtszaken cruciaal bewijs worden.

2. Verwittig het hogere management.

Stuur geen e-mailberichten omdat deze de indringer kunnen overtuigen. Hopelijk hebt u van tevoren een belkaart voorbereid met de namen en telefoonnummers van degenen die het moeten weten. De meest effectieve manier om de melding af te handelen, is door twee mensen te bellen en ze vervolgens de rest van de lijst te laten bellen. Anders zou je uren aan de telefoon kunnen zitten en de situatie steeds weer aan tientallen mensen kunnen uitleggen. Tijd is kostbaar en moet worden besteed aan de noodtoestand - niet aan de hand.

3. Roep uw CERT op.

Doe dit rustig en zonder fanfare. Je wilt niet dat het hele bedrijfswerk tot stilstand komt omdat je een algemeen alarm hebt gebeld. Wanneer het CERT daar komt, maak dan een briefing en laat ze dan met rust om hun werk te doen.

4. Dwing een "need-to-know" -beleid af.

Vertel medewerkers niet dat er iets aan de hand is, tenzij ze het echt moeten weten. De indringer kan een medeplichtige van binnen hebben, of het kan een vals alarm zijn en geen inbraak. U wilt geen nutteloze roddels buiten het kantoor voor uw klanten, de pers of uw concurrenten.Je kunt altijd zeggen dat het bedrijf "netwerkproblemen" ervaart, omdat de meeste mensen die uitleg accepteren zonder verdere vragen.

5. Iemand in het bedrijf zou de persoon moeten zijn voor het geval het publiek zich bewust wordt van de situatie.

Als u een PR-afdeling heeft, is dat hun taak. Je wilt geen mediastorm bij de hand, dus alleen de aangewezen persoon of personen mogen met de pers en klanten praten. Soms is een incident geen incident, maar een verkeerde configuratie in het netwerk. Herinner de pers en het publiek eraan dat dingen niet altijd zijn zoals ze lijken.

6. Geef steun aan uw CERT.

Ze werken waarschijnlijk lange, zware uren zonder pauzes. Zorg ervoor dat ze maaltijden en drankjes naar hen sturen. (Dit kan meer betekenen dan alleen cokes en snoeprepen.) Als leden van het hulpverleningspersoneel nodig zijn, waarschuw ze dan en stel een ploegendienst in. Behandel het schema ook. Veel teamleden zullen terughoudend zijn met het opgeven van hun berichten, maar ze kunnen na een dag of twee gemakkelijk uitbranden. Als het team behoefte heeft aan meer apparatuur, zoals reserveschijven en netwerkapparatuur, moet u deze snel verkrijgen.

7. Neem contact op met uw juridische afdeling.

Laat ze de situatie weten. Ze kunnen beslissen of er wetten zijn overtreden. Als ze u adviseren contact op te nemen met de ordehandhaving, doe dat dan.

8. Voer briefings en vergaderingen uit na de opruiming.

Vertel iedereen wat er is gebeurd en waarom en wat u kunt / moet doen om te zorgen dat het niet opnieuw gebeurt. Richt geen vingers; leer van je fouten.

Vergis je niet dat dit voor velen een stressvolle aangelegenheid zal zijn en dat de gemoederen kunnen en zullen flirten. Val niet in de val om zo verwikkeld te raken in het moment dat je vergeet wat je hoort te doen.