Detection və incident response

Əvvəlki fəsillərdəki hər şey compromise ehtimalını azaldır. Heç biri bu ehtimalı sıfıra endirmir. Pis həftə ilə şirkəti məhv edən hadisə arasındakı fərq adətən attacker-in içəri girib-girməməsində deyil, kimsə fərq edənə qədər nə qədər qaldığında və nələrə çatdığındadır.

Bu fəsil fərq etmək və bundan sonra nə etmək haqqındadır.

Detection niyə vacibdir

Sənaye hesabatları ilkin compromise-dan detection-a qədər median vaxtı ardıcıl olaraq həftələr və ya aylarla ölçür. Bu pəncərədə attacker lateral movement edir, privilege-i escalate edir, əhəmiyyətli data-nı tapır və onu exfiltrate edir. Ransomware qrupları adətən nəyisə encrypt etməzdən əvvəl şəbəkənin içində günlərlə hazırlıq görür.

Detection bu pəncərəni daraldır. Saatlar içində tapılan attacker-in yalnız foothold-u var. Aylar sonra tapılan attacker-in hər şeyi var.

Nəyi toplamalı

Log etmədiyinizi detect edə bilməzsiniz. Baseline:

Authentication hadisələri: uğurlar, uğursuzluqlar, MFA prompt-ları, yeni device-dan login-lər, password reset-ləri.
Authorization uğursuzluqları: hər rədd edilmiş access bir siqnaldır.
Privileged hərəkətlər: role dəyişiklikləri, permission grant-ları, konfiqurasiya dəyişiklikləri, data export-ları.
Network: server-lərdən gözlənilməz destination-lara connection-lar; DNS query-ləri; VPN və remote access.
Endpoint-lər: process creation, persistence mexanizmləri, qeyri-adi child process-lər (ofis sənədinin shell işə salması).
Cloud control plane: cloud provider-inizə edilən hər API call, identity və mənbə ilə birlikdə.
Application: error-lar, rate-limit trigger-ləri, qeyri-adi həcmdə input validation uğursuzluqları.

Log-lar attacker-in çata və ya dəyişə bilmədiyi mərkəzi store-a gedir, yavaş intrusion-u araşdırmağa kifayət edəcək qədər uzun retention ilə (bir il geniş yayılmışdır). Saatlar sinxronlaşdırılır; araşdırmalar uyğunsuz timestamp-lər üzündən dağılır.

Log-ları detection-lara çevirmək

Raw log-lar noise-dur. Detection-lar insanın diqqətinə layiq hadisələri üzə çıxaran rule-lar və ya model-lərdir.

Known-bad signature-lər. Threat intelligence-dən gələn indicator-lar: zərərli IP-lər, file hash-ləri, domain adları. Ucuz, sürətli və yalnız əvvəllər görülmüş olanı tutur.

Behavioural rule-lar. Konkret tool-dan asılı olmayaraq şübhəli olan pattern-lər: istifadəçinin bir saat ərzində iki ölkədən authenticate olması; service account-un interaktiv login etməsi; iş saatlarından kənar database export-u; server-də yeni scheduled task; yeni destination-a böyük həcmli outbound transfer.

Anomaly detection. Hər istifadəçi, hər host, hər service üzrə statistik baseline-lar, kənarlaşmalarda alert ilə. Güclü, noisy, tuning tələb edir.

MITRE ATT&CK kimi framework-lər attacker texnikalarını kataloqlaşdırır və onları data source-larına map edir, bu da "hazırda hansı texnikaları görə bilirik?" soruşmağa və boşluqları məqsədyönlü şəkildə bağlamağa imkan verir.

Alert keyfiyyəti

Heç kimin cavab vermədiyi alert alert-in olmamasından pisdir; o, komandanı kanalı görməzdən gəlməyə öyrədir. Hər detection üçün:

Fire olanda analyst-in hansı hərəkəti edəcəyini müəyyən edin.
True-positive rate-ini ölçün; əsasən noise olan rule-ları tune edin və ya ləğv edin.
Avtomatik enrich edin: bu istifadəçi kimdir, bu host nədir, bu IP əvvəllər görünübmü.
Severity-yə görə route edin. Hər şey səhər saat 3-də page tələb etmir.

Detection-ları kodu test etdiyiniz kimi test edin: məlum attack pattern-lərini replay edin və alert-in fire olduğunu təsdiqləyin. Attacker-lərin və defender-lərin birlikdə işlədiyi purple-team məşqləri blind spot-ları tapmağın ən səmərəli yoludur.

Incident response

Alert həqiqi çıxanda komandanın artıq mövcud olan plana ehtiyacı var. Standart mərhələlər:

Preparation

Hər hansı incident-dən əvvəl görülür:

Role-ları olan yazılı plan: incident commander, investigator-lar, communications, hüquqi əlaqələndirici.
Korporativ e-poçt compromise olunanda işləyən əlaqə siyahıları.
Log-lara, forensic tooling-ə access və sistemləri isolate etmək imkanı, əvvəlcədən test edilmiş.
Xarici responder-lər, hüquqşünaslar və lazım olduqda hüquq-mühafizə orqanları ilə əlaqələr.
İldə ən azı iki dəfə tabletop məşqlər.

Identification

Incident-in həqiqi olduğunu təsdiqləyin, nəyin məlum olduğunu müəyyən edin və severity təyin edin. Dərhal timeline başladın; hər tapıntı timestamp və mənbə alır. Attacker-i xəbərdar etməkdən çəkinin: scope-u başa düşməzdən əvvəl compromise olunmuş password-ü reset etməyin, əks halda görüldüklərini anlayacaqlar.

Containment

Evidence-i məhv etmədən qanaxmanı dayandırın. Qısamüddətli: təsirə məruz qalan host-ları isolate edin, attacker-in infrastructure-unu bloklayın, compromise olunmuş account-ları deaktiv edin. Uzunmüddətli: təmizləmək əvəzinə rebuild edin, çünki təmizlənmiş sistem təmiz olduğuna ümid etdiyiniz sistemdir.

Tez contain etmək, yoxsa attacker-in tam əhatəsini öyrənmək üçün daha uzun müşahidə etmək barədə açıq qərar verin. Ransomware üçün demək olar ki, həmişə sürətli containment düzgündür; casusluq üçün müşahidə düzgün ola bilər.

Eradication

Attacker-in access-ini tamamilə silin: hər backdoor, hər persistence mexanizmi, hər oğurlanmış credential rotate olunur. Natamam eradication ikinci incident-in ən çox rast gəlinən səbəbidir.

Recovery

Sistemləri known-good mənbələrdən restore edin, monitoring-i gücləndirərək. Yenidən qoşmazdan əvvəl integrity-ni verify edin. Qanunun və öhdəliklərinizin tələb etdiyi kimi təsirə məruz qalan istifadəçilər və regulator-larla əlaqə saxlayın.

Lessons learned

İki həftə ərzində blameless review: nə baş verdi, timeline necə idi, nə işlədi, nə işləmədi və hansı konkret dəyişikliklər ediləcək. Nəticə owner-ləri və tarixləri olan action-lar siyahısıdır. Məqsəd kimin səhv etdiyini tapmaq deyil; sistemdə nəyin bu səhvin əhəmiyyət kəsb etməsinə imkan verdiyini tapmaqdır.

Kommunikasiya

Incident-lər handling qədər kommunikasiya ilə də qiymətləndirilir. Daxildə: cədvəl üzrə yenilənən vahid həqiqət mənbəyi. Xaricdə: dürüst, vaxtında və hüquq şöbəsi tərəfindən review olunmuş. Breach notification qanunları discovery anından hesablanan, çox vaxt 72 saatlıq deadline-lar müəyyən edir. Sizə aidini lazım olmazdan əvvəl bilin.

Resilience

Bəzi incident-lər hər şeyə baxmayaraq uğur qazanacaq. Resilience onların içindən keçib işləmək və onlardan recover olmaq qabiliyyətidir:

Backup-lar offline və ya immutable olmalı, onlardan həqiqətən restore edərək test edilməli və restore vaxtı ölçülməlidir.
Segmentation, bir compromise olunmuş zonanın bütün şəbəkəyə çevrilməməsi üçün.
Redundancy kritik service-lər üçün, müstəqil credential-larla.
Degraded mode-lar, sistemlər dayananda biznesin əl ilə işləyə bilməsi üçün.

Ransomware-dən recovery vaxtı demək olar ki, tamamilə backup-ların salamat və restore edilə bilən olub-olmaması ilə müəyyən olunur. Bu tək control əksər detection investisiyalarından daha dəyərlidir.

Tapşırıqlar

Yuxarıdakı yeddi log kateqoriyasının hər biri üçün cavab verin: bunu toplayırıqmı, hara gedir və nə qədər saxlanılır?
"Service account interaktiv login edir" üçün behavioural detection yazın. Hansı data source-a ehtiyacı var?
Otuz dəqiqəlik tabletop məşq keçirin: developer laptop-unun unlocked session ilə oğurlandığını bildirir. Mərhələləri gəzin. Kimə zəng edəcəyinizi bilmədiyiniz hər nöqtəni qeyd edin.