Реагирование на инциденты по NIST

Реагирование на инциденты по NIST

Реагирование превращает хаотичную тревогу в управляемый процесс. План должен содержать роли, контакты, критерии эскалации, юридические требования и порядок доказательств. Его проверяют учениями до настоящего инцидента.

Жизненный цикл NIST

Подготовка включает инвентаризацию, защиту логов, playbook, резервные копии и обучение. Обнаружение и анализ — корреляция сигналов, подтверждение масштаба и приоритета. Сдерживание ограничивает распространение; eradication удаляет причину и persistence; recovery возвращает сервис под наблюдением. После инцидента выполняют lessons learned и меняют контроли.

SOC принимает и триажит события, SIEM собирает и коррелирует логи, EDR даёт телеметрию endpoint. SIEM не «понимает всё» сам: нужны нормальные источники, синхронизация времени, правила и настройка шума.

Форензика

Сохраняйте оригиналы, фиксируйте кто, когда и что изъял, применяйте хэш и цепочку хранения. Летучие данные (память, процессы, соединения) могут исчезнуть после выключения; действуйте по утверждённой процедуре и не разрушайте доказательства. Не открывайте подозрительный файл на рабочей машине.

sha256sum evidence.img
date -u

Это лишь фиксация хэша и времени, не полный forensic-процесс.

При ransomware сначала изолируйте поражённые сегменты и защищённые копии, затем определите точку входа и боковое распространение. При компрометации аккаунта отзовите токены, смените секреты, проверьте правила пересылки и привилегии. Уведомления клиентам и регуляторам согласуйте с ответственными лицами.

После восстановления спросите «почему контроль не сработал»: отсутствовал актив, патч, MFA, сегментация, мониторинг или обучение. Превратите ответ в задачу с владельцем и сроком, затем измерьте результат повторным тестом.

Коммуникация и готовность

Матрица эскалации отвечает, кто принимает решение об изоляции, кто сообщает руководству, кто работает с юристами и кто говорит с клиентами. Канал реагирования должен быть доступен, даже если корпоративная почта скомпрометирована.

SIEM хранит полезные события только при корректном времени, полноте источников и защите от удаления. Настройте health-check для агентов и алерты на исчезновение логов. Подозрительные события нельзя закрывать без краткого обоснования.

Lessons learned должны завершаться задачами: владелец, риск, срок, критерий проверки. Повторное tabletop или purple-team упражнение показывает, сработало ли изменение. Так реагирование становится циклом улучшения, а не разовой героикой.

Практическое задание

Закрепите тему на собственной тестовой схеме, не затрагивая рабочие системы. Сначала опишите активы и доверенные границы простыми словами, затем укажите владельца каждого решения. Для каждого риска запишите вероятность, последствия, существующий контроль и остаточный риск. Такой короткий реестр полезнее списка модных продуктов: он показывает, какую именно задачу решает мера и где остаётся пробел.

Проведите проверку в безопасной лаборатории и сохраните результат: время, команду или действие, ожидаемый результат и фактическое наблюдение. Если проверка не удалась, сначала проверьте разрешение, область теста и журналирование, а не усиливайте настройки вслепую. Любое исключение оформите с причиной, сроком и ответственным.

При разборе инцидента отделяйте факт от гипотезы. Факт подтверждается журналом, конфигурацией или воспроизводимым тестом; гипотеза требует дополнительной проверки. Это снижает риск неправильной атрибуции и помогает команде выбрать пропорциональную реакцию. После изменения контроля повторите тест и убедитесь, что доступность бизнеса не пострадала.

Полезный результат обучения — не запомнить термин, а уметь объяснить его на сценарии: какая угроза действует, какой актив затронут, какой контроль сработает первым, что обнаружит событие и как восстановиться. Именно такую цепочку проверяйте при подготовке к Security+.

Вопросы для самопроверки

Проверьте себя по сценарию. Какой актив защищается и какое свойство CIA важнее всего? Где проходит граница доверия? Как злоумышленник может получить первоначальный доступ, какое событие подтвердит гипотезу и кто принимает решение о сдерживании? Затем назовите как минимум один технический, один административный и один физический контроль. Для каждого укажите, является ли он превентивным, детективным или корректирующим, и какое доказательство эффективности можно получить.

Отдельно продумайте исключения. Что произойдёт, если основной сервис, каталог идентичностей или канал связи недоступен? Запишите ручную процедуру, резервный контакт и безопасный способ возврата к нормальной работе. Не забывайте о приватности: журналы должны содержать достаточно контекста для расследования, но не раскрывать пароли, токены и лишние персональные данные.

Хороший ответ Security+ связывает термин с решением и ограничением. MFA уменьшает риск украденного пароля, но не устраняет вредоносную конечную точку; резервная копия ускоряет восстановление, но не предотвращает утечку; IDS обнаруживает, но требует реакции. Такая причинно-следственная цепочка помогает выбирать правильный контроль в практическом вопросе. **Дисклеймер: материал учебный и не заменяет официальные exam objectives CompTIA.