The 6 Phases of an Incident Response Plan

事件回應：逐步過程

事件回應 (IR) 程序是一種結構化的方法，可以從頭到尾管理網絡事件。 它包括六個關鍵階段，每個階段在減少未來事件對業務營運的影響方面都具有自己的關鍵作用。

1. 準備。 制定 IR 計劃，識別利害關係人，並建立溝通渠道。
2. 評估。 收集資訊以了解事件的範圍、嚴重程度和影響。
3. 緩解。 隔離受影響的系統並阻止惡意流量來防止事件，以防止進一步損壞。
4. 回應。 採取糾正措施解決事件，包括根除惡意軟體和復原資料。
5. 恢復。 通過驗證系統功能並重新建立正常業務營運來恢復正常作業。
6. 檢閱。 分析和識別事件的根本原因，並相應地更新事件應變計劃。

讓我們更詳細地看看每個階段。

#1: 事故應變準備

有效的投資者關係計劃的第一階段是定義投資者關係計劃的範圍和目標，確定需要參與過程的利害關係人，並制定涵蓋投資者的所有階段的程序。

以下是準備事件回應的方法：

• 定義事件回應範圍：全面的事件回應計畫定義其應用程式的範圍、目標以及參與規劃和執行的關鍵利害關係人，包括管理層、IT 人員、法律顧問和溝通團隊。
• 成立事故應變小組：IR 團隊由主要的中小企組成，每個小企都有指定的角色和職責，每個小企在應對和管理事件方面都扮演關鍵角色。 這些個人共同努力解決事件，並根據需要在整個回應週期中的角色發展。
• 設定清晰的通訊渠道：IR 計劃概述事件期間內部和外部利益相關者的通訊渠道，例如電子郵件清單、訊息系統和電話線路，以確保有效的資訊共享和協調。
• 識別風險：定期進行風險評估，了解組織的安全狀況並識別潛在的脆弱性，然後根據風險的可能性和潛在影響對風險進行優先排序，並制定適當的安全措施。

#2: 初步識別和評估

在此階段，快速檢測和評估網絡安全事件，以確定問題的範圍，並為應變計劃的下一階段做準備至關重要。

以下是如何做到這一點：

• 認識 妥協的指標(IoC)：識別 IoC，例如異常登入嘗試或可疑網路流量，可以及早發現潛在威脅，從而實現及時回應。
• 異常偵測和事件事件監控：持續監控異常和安全事件有助於快速識別事件，從而迅速有效地回應，以最大程度地減少對組織的影響。
• 根據影響和風險排定事件的優先順序：優先順序使組織能夠通過首先處理高影響或高風險事件來有效地集中資源，將潛在損害降至最低，並確保最重要的問題得到及時解決。

通過執行這些步驟，您可以快速檢測和評估網絡安全事件，從而減少長時間停機的可能性。

#3: 控制與緩解

此階段對於最大程度地減少網路安全事件對組織的影響，防止進一步的損壞和損失至關重要。

這是這個階段所包含的內容。

• 短期和長期限制策略：立即行動，例如隔離受影響的系統、更改認證和限制使用者存取權限，有助於在短期內減少事件的傳播。 長期限制措施包括改善 IR 程序和培訓，實施和執行更新的安全政策，以及進行定期稽核和評估。
• 隔離和修復受損系統：隔離受損系統和網路可確保事件不會進一步傳播，從而保護組織內的其他資產。 對受損的系統進行徹底調查和修復有助於消除事件的根本原因，並防止未來重複發生事件。
• 部署 安全修補程式和更新：使用最新的安全性修補程式和更新定期更新軟體、應用程式和作業系統，有助於組織對已知脆弱性保持強大的防禦能力。

實施全面的控制和緩解措施，可以限制事故導致的傳播和損害，同時致力於完全恢復。

#4: 事件回應工作流程

集中化 IR 團隊在協調消除網絡攻擊影響的努力方面發揮至關重要作用。 該階段涉及幾個關鍵步驟：

• 通知和升級程序：已建立的程序概述了聯繫誰、如何報告事件以及預期響應時間。 此外，亦設有升級程序，以確保高優先事件得到及時關注。
• 與外部調查協調：事件應變團隊與執法機構或第三方法醫專家合作，找出根本原因，並確保全面有效的回應。 分析系統記錄和資料有助於了解事件的範圍和根本原因。
• 收集和保存證據：事故應變團隊收集和保存證據，記錄並存儲證據，以供將來參考或潛在的法律程序。

#5: 事件復原

在此階段，重點從控制和消除事件轉移到恢復功能並將停機時間降到最低。

以下是要做的事情：

• 還原受影響的系統和服務：這包括驗證所有受影響的系統和服務是否正常運作，並且已恢復到事件前的狀態。 這可能涉及重新映像工作站、復原資料庫或重新配置網路裝置。
• 驗證資料完整性：組織應驗證儲存在受影響系統上的資料的完整性，以確保資料在事件發生期間沒有損毀或入侵。
• 重建通訊渠道：一旦系統和服務恢復，組織應重新建立與利益相關者（包括客戶、合作夥伴和員工）的溝通渠道。

#6: 檢討及事件後活動

IR 計劃的最後階段包括檢討事件、評估程序的改進，以及記錄從事件中獲得的教訓。

• 事件審查：在事件發生後，進行徹底的死亡後分析，以確定事件的根本原因和影響，需要改善的領域，以及學習的經驗。
• 事件文件：作為事件後活動的一部分，IR 團隊準備一份事件報告，詳細了事件，包括事件中的關鍵學習，以提供未來的計劃和操作信息。
• 流程改善：更新 IR 計劃，以改善被識別為無效的現有流程，升級或更換不足以預防事件的技術，並根據吸取的經驗教訓開發新流程。