Hændelsesrespons håndterer et sikkerhedsbrud fra detektion til genopretning. Processen følger en ramme: forberedelse, identifikation, inddæmning, udryddelse, genopretning og erfaringer. Hver fase har sine egne udfordringer. Forberedelse opbygger teamet, værktøjerne og handlingsplanerne. Identifikation bekræfter, at en hændelse er reel og ikke falsk alarm. Inddæmning stopper spredningen. Udryddelse fjerner angriberens adgang. Genopretning genopretter normal drift. Erfaringer forhindrer den næste.

Hastighed er vigtig i hvert trin. Jo længere en angriber opholder sig indenfor, desto mere skade forårsager de. Den gennemsnitlige opholdstid, afstanden mellem kompromittering og opdagelse, er faldet gennem årene, men måles stadig i uger for mange organisationer. Ransomware-hold bevæger sig hurtigere. De exfiltrerer data og krypterer systemer inden for få dage. En responsplan, der tager en uge at aktivere, er ubrugelig i forhold til den tidslinje. De bedste incident response teams øver sig. De kører bordøvelser, simulerer brud og øver kommunikation. De ved, hvem der ringer til juridiske myndigheder, hvem der taler med pressen, og hvem der forhandler med angriberen. Når den virkelige hændelse sker, finder de ikke ud af det for første gang. De udfører en plan, de har kørt før.

Faser af håndtering af hændelser

• Forberedelse — team, værktøjer og håndbøger
• Identifikation — bekræft og afdæk hændelsen
• Inddæmning – stop spredningen
• Udryddelse — fjern angriberens adgang
• Gendannelse — gendannelsesoperationer
• Lærdomme – forbedr til næste gang

Hændelser er en holdsport. Det tekniske arbejde er kun halvdelen af ​​det. Kommunikation og koordinering afgør resultatet.