Svarar på ett nätverkssäkerhetsbrott - dummies

Oavsett hur försiktig du är och oavsett hur säker dina system är, sker dåliga saker. Elektroniska komponenter misslyckas. Programvaran kan vara buggy. Folk gör misstag. Och, bara ibland, gör människor skada med avsikt att göra skada på nätverket. Naturen kan påverka huruvida ditt nätverk fungerar eller inte. Alla dessa situationer kräver att du snabbt och effektivt svarar nödsituationen.

Ring i SWAT, UM, CERT-teamet

Det bästa sättet att förbereda sig för en nätverkssäkerhet är att ha en CERT på plats. CERT står för datorberedskapsteamet (eller CIRT, Computer Incident Response Team) - ett team som du skapar för att hantera nödsituationer inom din egen organisation. Oavsett hur du stavar det är dessa Ghostbusters av datanätverk; de hittar de dåliga grejerna och rotar ut det.

Affärsmodellen för ett datorberedskapssamarbete är att svara på nödsituationerna på samma sätt som brandmän och polis gör. De svarar, identifierar situationen, isolerar området och går till jobbet. Och eftersom ingen någonsin vet hur länge det kommer att ta för att innehålla en nödsituation, arbetar de ofta långa, hårda timmar under enorm stress. CERTs består av högkvalificerade personer som varierar inom sina kompetensområden men är tvärutbildade för att täcka eventuella händelser. Dessa lagmedlemmar behöver

Fördjupad förståelse av nätverk, operativsystem och applikationer så att de kan känna igen när något är fel.

• Kunna identifiera virus och utrotningstekniker.
• Känna hackteknik och systemproblem
• Använd många plattformsverksverktyg. Några av dessa verktyg är faktiskt hackverktyg och andra används för att upptäcka systemintrång …
• Att kunna arbeta som ett lag och vara kallt under tryck.
• Kunna kommunicera med andra som inte har lika hög nivå av förståelse som de gör. Detta är viktigt för att kunna ge statusrapporter och rekommendera ändringar i säkerhet för att förhindra ytterligare händelser.
• Eftersom CERT-lagmedlemmar är så högkvalificerade, har ett företag inte råd att hyra ett CERT-team bara för att sitta i flera månader i slutändan och gör ingenting. Lagmedlemmarna brukar ha heltidsjobb att göra något annat än akut svar. Sällan håller de någonsin mer än tillsyns- eller medeledningsställning. Men när de svarar på en kritisk situation måste de ha befogenhet och självständighet att fatta beslut på ledande nivå.Livet i ditt företag kan bero på snabba beslut.

Du bör ha en del i ditt säkerhetspolicy och rutiner som beskriver ditt företags arrangemang för en certifikat, oavsett om det är internt eller outsourcet. Rollerna och ansvarsområdena bör tydligt anges liksom vem som ska ringa laget till handling och när de ska ringas.

Responsibly Responsible

Ditt nätverk har funnit roligt på senare tid, eller du har sett några konstiga saker som gör att du tror att en inkräktare finns i ditt nätverk. Den första punkten på agendan är

Do not Panic! Ring i din CERT så snart du kan. Chansen är att inkräktaren varit där inne för en tid, men det här är bara första gången du har märkt. Intruders är som roach infestations - de händer inte bara över natten. CERT tar sin tid och arbetar systematiskt för att bli av med olägenheterna. Och om de inte märker att filer på dina servrar förstörs i en alarmerande takt, stänger de inte ditt nätverk.

Du måste ta några grundläggande steg innan CERT kommer in och börjar fungera. Dessa steg kan variera något i ordning, beroende på situationen. Till exempel kan du i vissa fall ringa in CERT innan du meddelar företagsledare eftersom det är viktigare att få laget att arbeta först. Gör i alla fall alla följande steg och utelämna inte något. Först och främst, dock -

Stäng inte av eller starta om några system. Detta kan hämma återhämtningsprocessen.

1. Börja ta anteckningar.

Börja inte skriva kommandon som galen försöker hitta inkräktaren. Låt CERT göra det. Det är viktigare vid denna tidpunkt att du får en ny anteckningsbok och skriver ner allt du har märkt och vad du gjorde. Det är mycket viktigt att du spelar in tid och datum för allt. Den här anteckningsboken kan bli avgörande bevis i rättsliga förfaranden senare.

2. Meddela övre hanteringen.

Skicka inte e-postmeddelanden eftersom de kunde tipsa bort inkräktaren. Förhoppningsvis hade du förberett ett samtalskonto i förväg med namn och telefonnummer till dem som behöver veta. Det mest effektiva sättet att hantera meddelandet är att du ska ringa två personer och sedan få dem att ringa resten av listan. Annars kan du spendera timmar på telefonen och förklara situationen om och om igen till dussintals människor. Tiden är dyrbar och bör spenderas i nödsituationen - inte i handen.

3. Ring i din CERT.

Gör det här tyst och utan fanfare. Du vill inte att hela företagets arbete ska stanna till viloläge eftersom du har ringt ett allmänt larm. När CERT kommer dit, korta dem och lämna dem ensamma för att göra sina jobb.

4. Förverkliga en "need-to-know" -policy.

Berätta inte för anställda något är uppe om de verkligen behöver veta. Den inkräktare kan ha en inbördes accomplice, eller det kan vara ett falskt larm och inte ett intrång. Du vill inte ledig skvaller komma utanför kontoret till dina kunder, pressen eller dina konkurrenter.Du kan alltid säga att företaget upplever "nätverksproblem" eftersom de flesta kommer att acceptera den förklaringen utan ytterligare frågor.

5. Någon i företaget borde vara poängpersonen om allmänheten blir medveten om situationen.

Om du har en PR-avdelning är det deras jobb. Du vill inte ha en mediestorm till hands, så endast den utsedda personen eller personerna får prata med pressen och kunderna. Ibland är en incident inte en händelse alls utan en felkonfiguration i nätverket. Påminna pressen och allmänheten om att saker inte alltid är som de verkar.

6. Ge stöd till din CERT.

De arbetar förmodligen långa hårda timmar utan pauser. Se till att de får måltider och förfriskningar skickade till dem. (Det kan betyda mer än bara Cokes och candy bars.) Om lättnadsledamöter behövs, sätt dem på varning och sätt in ett skiftschema. Förbättra schemat också. Många lagmedlemmar är ovilliga att ge upp sina inlägg, men de kan lätt brinna ut efter en dag eller två. Om laget behöver mer utrustning, till exempel extra hårddiskar och nätverksenheter, få dem snabbt.

7. Kontakta din juridiska avdelning.

Låt dem veta situationen. De kan bestämma om några lagar har blivit brutna. Om de råder dig att kontakta brottsbekämpning, gör så.

8. Utför orienteringar och möten efter rengöringen.

Berätta för alla vad som hände och varför och vad du kan / har / kommer att göra för att se till att det inte händer igen. Peka inte på fingrarna; lär av dina misstag.

Gör inget misstag om att det här kommer att bli en stressig affär för många och det som kan och kommer att tända. Falla inte i fällan för att bli så upptagen när du glömmer vad du ska göra.