Che cos'è l'Incident Response?

Fasi della risposta agli incidenti

L'obiettivo della risposta agli incidenti è quello di portare un'organizzazione a sapere poco o nulla di una potenziale intrusione (a parte il fatto che esiste) a completare la correzione.

Il processo di raggiungimento di questo obiettivo si articola in sei fasi principali:

1. Preparazione: La preparazione è fondamentale per una risposta efficace agli incidenti e per ridurre al minimo i costi e l'impatto di un incidente di sicurezza informatica. Per prepararsi alla risposta agli incidenti, un'organizzazione dovrebbe creare un team di risposta agli incidenti e definire e testare un piano di risposta agli incidenti che delinei come deve essere gestita ogni fase del processo di risposta agli incidenti.
2. Rilevamento e triage: La risposta agli incidenti inizia con il triage dell'incidente per garantire che si tratti di un incidente di sicurezza informatica, la raccolta e la conservazione di tutte le prove disponibili prima delle azioni di contenimento e l'assegnazione della corretta categorizzazione e definizione delle priorità per garantire la formazione di un team con risorse adeguate.
3. Arginamento: Il team di sicurezza utilizza le informazioni raccolte dalla fase precedente e può utilizzare le informazioni relative alle tecniche di cyber attack per costruire un piano di contenimento. Il contenimento può comportare l'isolamento di uno o più sistemi, l'applicazione di regole firewall o firme IDS, l'aggiunta di hash ai prodotti di protezione degli endpoint, la disabilitazione degli account o l'isolamento di un'intera rete. L'obiettivo è quello di ridurre i danni causati dall'incidente e garantire che la rete o i sistemi non vengano ulteriormente compromessi.
4. Bonifica / Eradicazione: A questo punto del processo, il team di risposta agli incidenti ha eseguito un'indagine completa e ritiene di avere una comprensione completa di ciò che è accaduto. I soccorritori degli incidenti lavorano quindi per rimuovere tutte le tracce dell'infezione dai sistemi compromessi. Ciò può includere l'eliminazione del malware e la rimozione dei meccanismi di persistenza o la cancellazione completa e il ripristino dei computer interessati da backup puliti.
5. Tempo di recupero: Dopo l'eliminazione, il team di risposta agli incidenti può scansionare o monitorare i sistemi infetti per un certo periodo di tempo per assicurarsi che il malware sia stato completamente eliminato. Al termine di questa operazione, i computer vengono ripristinati al normale funzionamento revocando la quarantena e isolandoli dal resto della rete aziendale.
6. Lezioni apprese: Gli incidenti di sicurezza informatica si verificano perché qualcosa è andato storto ed è importante ricordare che la risposta agli incidenti non sempre si svolge in modo impeccabile. Dopo che l'incidente è stato risolto, i soccorritori e le altre parti interessate dovrebbero eseguire una retrospettiva per identificare le lacune di sicurezza e le carenze nel piano di risposta agli incidenti che potrebbero essere risolte per ridurre la probabilità di incidenti futuri e migliorare la risposta agli incidenti in futuro.

Processo e tecniche di risposta agli incidenti

Alcuni elementi chiave di una strategia di risposta agli incidenti includono:

• Riduzione degli incidenti: Garantire che ci siano controlli di sicurezza che riducano il numero di incidenti che un'organizzazione ha è l'obiettivo di qualsiasi team di risposta agli incidenti. Ci saranno sempre incidenti, motivo per cui i controlli di preparazione e test, insieme a una risposta pianificata, contribuiranno a ridurre l'impatto dell'incidente e il numero di incidenti informatici.
• Tecniche di indagine sugli incidenti: Più rapidamente un'organizzazione è in grado di determinare la causa e i dettagli di un incidente di sicurezza, più velocemente può essere messo in quarantena e risolto. La definizione dei processi per l'analisi degli incidenti di sicurezza consente di supportare una rapida correzione e garantire che un incidente non venga classificato in modo errato o trascurato.
• Playbook di risposta agli incidenti: Gli attacchi ransomware e gli attacchi DDoS sono minacce molto diverse e richiedono risposte uniche. Le organizzazioni dovrebbero disporre di playbook per gestire i principali tipi di incidenti di sicurezza, assicurandosi che i responsabili della risposta agli incidenti non siano confusi e cercando di capire cosa fare nel bel mezzo di un attacco informatico.
• Tecnologia e strumenti di risposta agli incidenti: Per svolgere attività di rilevamento e risposta agli incidenti, gli analisti della sicurezza avranno bisogno di accedere a determinati strumenti e tecnologie. Dopo aver definito questi processi e determinato le funzionalità chiave, l'organizzazione può acquisire e formare gli addetti alla risposta agli incidenti sugli strumenti necessari per supportare le attività di risposta agli incidenti aziendali.