فرآیند پاسخگویی به حادثه یا Incident Response چیست؟

پاسخ به حادثه (IR) رویکردی است برای کشف و پاسخ به تهدیدات و نقض‌های امنیت سایبری. هدف IR شناسایی، بررسی و مهار حملات در یک سازمان است. یک حادثه را می‌توان به عنوان نقض قوانین، سیاست‌ها و هر فعالیت انحراف از معیارها و غیرقابل قبول عنوان کرد. هدف اصلی این رویکرد داشتن یک برنامه تدوین شده به جهت پاسخگویی به حوادث امنیتی است قبل از اینکه این حوادث سازمان را با مشکلات غیرقابل بازگشت و اساسی رو‌به‌رو کند. درس‌های آموخته‌شده از فعالیت‌های IR می‌تواند باعث ایجاد استراتژی‌های پیشگیری و کاهش ریسک‌های امنیتی شود و ارتقای وضعیت امنیتی کلی سازمان را بالا ببرد.

چرا پاسخگویی به حادثه مهم است؟

حوادث امنیت سایبری اجتناب ناپذیر است. داشتن یک برنامه واکنش قوی به حوادث می‌تواند تفاوت بین غرق شدن و شنا باشد. در سال‌های اخیر پیچیدگی و شدت روش‌های حمله افزایش چشمگیری داشته و هر روزه در حال افزایش است. داشتن یک فرآیند کامل‌، جامع و مستند در برابر تهدیدات و حملات یکی از مهمترین عناصر تیم مرکز عملیات امنیت (SOC)  است‌. فرآیند IR به پاسخگویی به سؤالات مهم در مورد یک حمله، مانند نحوه ورود مهاجم، اقداماتی که انجام داده است و اینکه آیا اطلاعات حساس به خطر افتاده است یا خیر کمک کننده است. پاسخ مطمئن به این سوالات نه تنها وضعیت امنیتی سازمان را بهبود می‌بخشد بلکه به ارزیابی مسئولیت‌های قانونی یا نظارتی بالقوه کمک می‌کند.

انواع حوادت امنیتی عبارتند از:

مدیریت بهینه‌ی پاسخ به حادثه عبارت است از:

· داشتن برنامه‌ای جامع:

در هر سازمان تیم پاسخگویی به حوادث باید یک برنامه جامع و مستند را به جهت رسیدگی و تهدیدات و حملات آماده کند. این برنامه باعث تفکیک، دسته بندی و سنجش شدت حملات می‌گردد، تعیین می‌کند چگونه باید حملات را متوقف و اجزای تشکیل دهنده و تاثیرگذار آن را از بین برد، ساز و کارهای بازیابی اطلاعات هدف قرار گرفته شده را تدوین می‌کند و با تجزیه و تحلیل حادثه نواقص و آسیب پذیری‌های موجود را رفع کرده تا از تکرار حوادث و رخدادهای آتی پیشگیری نماید.

· استفاده از افراد مناسب:

یکی از مهمترین عوامل در تیم پاسخگویی به حادثه استفاده از افراد متخصص و کارآمد، و ایجاد نقش های افراد حاضر در تیم است. (مدیر تیم، تحلیل گر امنیت، پژوهشگر تهدیدات، متخصص جرم شناسی و ....)

· ابزارهای مناسب:

استفاده از ابزار نقش بسیار مهمی در بررسی تهدیدات امنیتی دارد .کمبود نیروی انسانی متخصص و منابع ، باعث عدم شناسایی بسیاری از رخدادها امنیتی در سازمان ها شده است . ابزارها رخدادهای امنیتی را تجزیه و تحلیل کرده ، در مورد آن ها هشدار داده و میتواند به اصلاح آن ها کمک کند.

6 مرحله در فرآیند پاسخگویی به حادثه:

تیم CSIRT فرآیندهای پاسخگویی به حوادث امنیتی را اجرایی میکند ، این تیم اطلاعات و داده موجود در یک حادثه امنیتی را تجزیه و تحلیل و به آن ها پاسخ مناسبی خواهد داد.

مراحل پاسخگویی به حوادث در یک طرح شش مرحله ای توسط موسسه SANS خلاصه شده است . این موسسه یک حادثه امنیتی را به خطر افتادن یا نقص امنیت یک سازمان نه صرفا در صورت وقوع تعریف میکند .هر مرحله از این طرح شش مرحله ای باید به ترتیب دنبال شود زیرا هر مرحله بر بخش قبلی دلالت دارد.

گام اول:Preparation

فاز Preparation یا “آماده سازی” یکی از حیاتی ترین فازهای پروسه Incident Response است .هر سازمان می بایست برای مواجه شدن با هرگونه حمله و حادثه از پیش آماده باشد. این گام تعیین میکند که یک سازمان تا چه اندازه می‌تواند در صورت مواجه شدن با یک حادثه امنیتی واکنش نشان دهد. چندین عنصر کلیدی در گام آماده سازی اجرا میشود تا سازمان بتواند یک حادثه را مدیریت کند.

گام دوم:Identification

فاز Identification یا “شناسایی”، دومین فاز از پروسه پاسخگویی به حادثه است ، در فاز شناسایی هدف ما بررسی منابع سازمان و داشتن نظارت و Monitoring بر روی آنها میباشد تا رفتارهای مخرب و Threat های متنوع را کشف و شناسایی کنیم، در این فاز ما به صورت Real Time باید Threat ها را شناسایی و آنها را طبقه بندی و میزان شدت آنها را بررسی کنیم.

گام سوم:Containment

فاز Containment یا “مهار” مرحله ای نام دارد  که تیم پاسخدهی به رخداد متوجه میشود که با چه سطحی از حادثه مواجه شده است ، به عبارتی هنگامی که تیم IR یک حادثه را شناسایی کرد باید از هرگونه آسیب بیشتر را محدود کرده و از آن جلوگیری کند ، در این گام چندین اقدام مهم وجود دارد تا با انجام آنها به کاهش یک حادثه و جلوگیری از نابودی شواهد بپردازیم ، برای مثال : به صورت موقت و کوتاه مدت سیستم های آلوده به خطرات و حملات را از دیگر سیستم های آلوده نشده جدا سازی میکنیم تا با خیال راحت تری بتوانیم فرآيند های امنیتی و رفع مشکلات و اعمال Patch هارا به انجام برسانیم و بعد دوباره آن را وارد شبکه اصلی کنیم.

گام چهارم :Eradication

فاز Eradication یا “ریشه کن کردن” شامل از بین بردن فرآیندهایی می شود که منجر به وقوع حادثه های اخیر در کامپیوتر، سیستم یا شبکه شده است. در این مرحله باید ریشه اصلی حمله و حادثه را شناسایی کنیم و مشکلات و بد افزارهای موجود را حذف کنیم و اقدامات تدافعی متنوعی را برای جلوگیری از رخدادن دوباره این نوع حملات درنظر بگیریم .

گام پنجم :Recovery

گام Recovery یا بازیابی به سازمان‌ها کمک می‌کند تا با دقت سیستم‌های آسیب‌دیده را به محیط تولید برگردانند و اطمینان حاصل کنند که حادثه دیگری رخ نمی‌دهد. سیستم ها میبایست هنگام بازگشت به مرحله تولید آزمایش، نظارت و تأیید شوند تا دوباره توسط بدافزار آلوده یا در معرض خطر قرار نگیرند.

گام ششم :Lessons Learned

در این فاز باید گزارشات و مستندات کاملی از شرح حادثه و جزئیات آن تهیه شود و بررسی شود که برای جلوگیری از رخدادن دوباره حملات این چنینی باید چه فرآیندی را صورت داد که روند پاسخگویی به حوادث را بهبود ببخشد.

Incident Response (پاسخ به حوادث) نقش حیاتی در امنیت سازمان دارد، زیرا به سازمان‌ها کمک می‌کند تا به‌صورت سریع و مؤثر به تهدیدات و حوادث امنیتی واکنش نشان دهند و تأثیرات منفی آن‌ها را به حداقل برسانند. در زیر نقش‌های کلیدی Incident Response در امنیت سازمان را بررسی می‌کنیم:

· کاهش زمان و شدت تأثیر حوادث

· محافظت از داده‌های حساس

· بازیابی سریع سیستم‌ها و خدمات

· کاهش هزینه‌های مالی و عملیاتی

· بهبود امنیت سایبری و پیشگیری از حملات آینده

· پاسخگویی به مقررات و تعهدات قانونی

· حفاظت از اعتبار سازمان

· ارزیابی و مدیریت ریسک‌های امنیتی

· ایجاد فرهنگ امنیت در سازمان

نکته : زمان پاسخگویی یا تاخیر در واکنش به حادثه، نقشی حیاتی در تعیین میزان شدت و عواقب یک حادثه‌ی امنیتی دارد. هر چه شناسایی یک تهدید در شبکه‌ی یک سازمان یا شرکت بیشتر طول بکشد، آن تهدید می‌تواند آسیب بیشتری به سازمان وارد نماید و احتمال هزینه ‌بر بودن فرایند بازیابی آن نیز بیشتر می‌شود. متاسفانه تیم‌های امنیتی با چالش‌های بی‌شماری روبه‌رو هستند که واکنش سریع و موثر به حادثه را دشوار می‌کند.مهمترین عوامل تاثیرگذار در پاسخدهی به حوادث در زمان مناسب به شرح ذیل میباشد :

· حجم بسیار زیاد داده ها

· کمبود کارشناسان ماهر امنیت سایبری

· استفاده نکردن از ابزار های مناسب و تکنولوژی های به روز دنیای امنیت سایبری

· نداشتن دید و شناخت کافی از منابع درون سازمانی

پیشنهاد ما برای شناسایی به موقع و پاسخدهی به حوادث در کوتاهترین زمان ممکن استفاده از راهکار امنیت یکپارچه اطلاعات dSIEM است .

کاربردهای راهکار dSIEM را میتوان در سه حوزه بیان کرد :

· Investigative & Security Detective

این حوزه بر روی شناسایی و واکنش (در واقع پاسخ به حملات)نفوذ بدافزارها،دسترسی غیر مجاز به داده ها و اطلاعات و سایر مسائل امنیتی تمرکز دارد.

· Policy & Compliance Regulatory

تمرکز این قسمت بر روی قوانین و سیاست های مورد نیاز و همچنین احکام تعیین شده در سازمان می‌باشد.

· System & Network TShoot Operation -Normal Operation

این حوزه اغلب بر روی مدیریت log ها تمرکز دارد و با بررسی و یافتن مشکلات سیستم در صدد رفع مشکلات هستند.