Реагирование на инциденты занимается устранением последствий нарушения безопасности от обнаружения до восстановления. Процесс следует определенной схеме: подготовка, идентификация, локализация, устранение, восстановление и извлечение уроков. Каждый этап имеет свои сложности. Подготовка формирует команду, инструменты и инструкции. Идентификация подтверждает, что инцидент реален, а не является ложной тревогой. Локализация останавливает распространение. Устранение блокирует доступ злоумышленника. Восстановление возвращает нормальную работу системы. Извлечение уроков предотвращает повторение инцидента.

Скорость имеет значение на каждом этапе. Чем дольше злоумышленник находится внутри системы, тем больше ущерба он наносит. Среднее время пребывания в системе, то есть разрыв между взломом и обнаружением, за последние годы сократилось, но для многих организаций по-прежнему измеряется неделями. Группы, занимающиеся программами-вымогателями, действуют быстрее. Они похищают данные и шифруют системы за считанные дни. План реагирования, активация которого занимает неделю, бесполезен в условиях таких сроков. Лучшие группы реагирования на инциденты тренируются. Они проводят настольные учения, имитируют взломы и отрабатывают коммуникацию. Они знают, кто звонит в юридический отдел, кто общается с прессой и кто ведет переговоры со злоумышленником. Когда происходит реальный инцидент, они не сталкиваются с ним впервые. Они выполняют план, который уже применяли ранее.

Этапы реагирования на инциденты

• Подготовка — команда, инструменты и стратегии
• Идентификация — подтверждение и определение масштабов инцидента.
• Сдерживание — остановить распространение
• Устранение — лишение злоумышленника доступа.
• Восстановление — возобновление работы
• Уроки усвоены — нужно совершенствоваться в следующий раз.

Реагирование на инциденты — это командная работа. Техническая часть — это только половина дела. Результат зависит от коммуникации и координации.