یک تیم IR مسئول پاسخگویی واکنش به حوادث امنیت سایبری (Incident Response) است. حوادثی مانند نقض اطلاعات، حملات سایبری، خرابی سیستم و…
تیم‌های واکنش به رویداد از نقش‌های مختلفی تشکیل شده‌اند. معمولاً شامل رهبر تیم، هماهنگ کننده ارتباطات، مامور تحقیق است. همچنین این تیم شامل تحلیلگران، پژوهشگران و نمایندگان قانونی نیز می‌شود.
سه نوع اصلی از تیم‌های واکنش به حادثه وجود دارد:
- تیم پاسخگویی به حوادث امنیت رایانه (CSIRT)
- تیم واکنش اضطراری رایانه ای (CERT)
- مرکز عملیات امنیت (SOC)
لاگ‌مدیا در این مقاله به تفاوت هر تیم، مواردی را که هنگام ایجاد یک تیم واکنش به حادثه باید در نظر گرفت و بهترین شیوه‌ها برای انتخاب نقش‌ها و ابزارها توضیح می‌دهد.
تیم IR یا واکنش به حوادث چیست؟
تیم واکنش به حادثه (Incident Response) که واحد واکنش به حادثه نیز نامیده می‌شود، گروهی است که مسئول برنامه‌ریزی و پاسخگویی به حوادث فناوری اطلاعات، از جمله حملات سایبری، خرابی‌های سیستمی و نقض داده‌ها است. این تیم‌ها همچنین می‌توانند مسئول توسعه طرح‌های واکنش به حادثه، جستجو و رفع آسیب‌پذیری‌های سیستم، اجرای سیاست‌های امنیتی و ارزیابی بهترین شیوه‌های امنیتی باشند.
تیم IR ممکن است با نام‌های متعددی شناخته شوند که اغلب به جای یکدیگر استفاده می‌شوند. به‌طور کلی، این تیم‌ها وظایف مشابهی را دارند. اگرچه تفاوت‌هایی نیز دارند. برخی از شکل‌هایی که تیم‌های واکنش به حادثه می‌توانند داشته باشند عبارتند از:
- تیم پاسخگویی به حوادث امنیت رایانه‌ای (CSIRT): تیمی متشکل از متخصصان که مسئول پیشگیری، شناسایی و پاسخ به رویدادها یا حوادث امنیت سایبری واکنش به حادثه هستند.
- تیم پاسخگویی اضطراری رایانه‌ای (CERT): می‌تواند مانند CSIRT کار کند اما با تمرکز بر مشارکت با دولت، مجری قانون، دانشگاه و صنایع. این تیم‌ها توسعه اطلاعات تهدید و بهترین شیوه‌ها را بر اساس پاسخ‌های امنیتی در اولویت قرار می‌دهند. این یک علامت تجاری است که توسط دانشگاه کارنگی ملون کنترل می‌شود.
- مرکز عملیات امنیتی (SOC): به‌طور کلی شامل CSIRT یا CERT است اما دامنه وسیع‌تری از امنیت سایبری را پوشش می‌دهد. SOCها علاوه بر نظارت و دفاع از سیستم‌ها، پیکربندی کنترل‌ها و نظارت بر عملیات عمومی، مسئول هدایت واکنش به حوادث نیز هستند.
تشکیل یک تیم موثر واکنش به حوادث
برای ایجاد یک تیم واکنش به حوادث، باید با افرادی با مجموعه مهارت‌های مناسب شروع کنید. موثرترین تیم‌ها شامل طیف گسترده‌ای از متخصصان برای کمک به مدیریت تمام جنبه‌های یک حادثه و ارائه طیف گسترده‌ای از تخصص می‌باشد. نقش‌های تیم واکنش به حوادث اغلب شامل موارد زیر است:
- رهبر تیم IR: مسئول هماهنگی فعالیت‌های تیم و گزارش دادن به مدیریت سطوح بالا.
- ارتباطات: مسئول مدیریت ارتباطات در سراسر تیم و سازمان است. این اعضا همچنین مسئول اطمینان از اینکه ذینفعان، مشتریان و مقامات دولتی به درستی از حوادث مطلع شده‌اند، هستند.
- پژوهشگر اصلی: مسئول انجام تحقیقات اولیه رویدادها، هدایت تلاش‌های دیگر تحلیلگران و ارائه ارزیابی عمیق حوادث امنیت سایبری.
- تحلیلگران و محققان: مسئول حمایت از پژوهشگر اصلی و ارائه اطلاعات تهدید و زمینه‌های بروز یک حادثه هستند. این اعضا اغلب مسئول انجام فرآیند واکنش به حادثه نیز هستند.
- نمایندگی قانونی: مسئول ارائه راهنمایی‌های قانونی از نظر انطباق، تعامل با مجریان قانون و استانداردهای شفافیت برای شواهد فارنزیک است.
مطالب مرتبط: فارنزیک (Forensic) چیست؟
هنگام ایجاد و مدیریت تیم خود، می‌توانید از یک الگوی IR استفاده کنید. این الگوها طرح‌های کامل واکنش حادثه نیستند، اما می‌توانند به‌عنوان نقطه شروع خوبی باشند.
نکاتی برای اعضای تیم Incident Response
هنگامی که تیم IR شما تشکیل شد، آنها آماده شروع آماده‌سازی و رسیدگی به حوادث فناوری اطلاعات هستند. متأسفانه، حتی با آماده سازی گسترده، بازهم واکنش به حادثه می‌تواند طاقت فرسا باشد، به‌خصوص برای تیم‌های نابالغ. برای کمک به توسعه مهارت‌های تیم خود، می‌توانید با آموزش آنها برای اجرای شیوه‌های زیر شروع کنید.
تکمیل کردن ابزارها با آگاهی
در حالی که فناوری کمک بزرگی برای تشخیص حوادث است، نمی‌تواند همه رویدادهای مشکوک را شناسایی کند و زمانی مؤثرتر عمل خواهد کرد که با دانش تیم‌های امنیت سایبری تقویت شود. به‌طور خاص، تیم‌ها ممکن است در تحقیق بهتر عمل کنند:
- ناهنجاری‌های ترافیکی: مانند افزایش یا کاهش ناگهانی ترافیک، ترافیک ناشی از آدرس‌های متناقض یا ترافیک غیرمنتظره. این علائم می‌تواند نشان دهنده سوء استفاده از اعتبار، حملات شناسایی یا مشکلات اتصال باشد.
- دسترسی مشکوک: از جمله تلاش برای یا دسترسی موفقیت‌آمیز به فایل‌های محدود شده یا فضاهای سیستم. به‌عنوان مثال، شما ممکن است ابَرکاربرانی با مجوز دسترسی به اجزای خاص داشته باشید، اما معمولاً دلیلی برای این کار نباشد. اگر این کاربران به‌طور ناگهانی شروع به دسترسی به مناطق حساس کنند، ممکن است نشان دهنده یک حادثه باشد.
- مصرف بیش از حد: از جمله کاهش ناگهانی عملکرد، افزایش تقاضای منابع، یا ارسال بیش از حد داده‌ها. این نشانه‌ها می‌تواند نشان‌دهنده تکثیر و رشد بدافزار، استخراج داده‌ها یا سوء استفاده از منابع، مانند استخراج رمزارز باشد.
در ارزیابی این مسائل، تیم‌ها ممکن است ابزارهایی مانند راه حل‌های تحلیل رفتاری کاربر و نهاد (UEBA) یا User behavior analytics را مفید بیابند. این راه حل به معنی تجزیه تحلیل رفتار کاربر و رخداد است. این ابزارها می‌توانند خطوط پایه «رفتار قابل قبول» را ایجاد کرده یا به آنها تغذیه شود و در صورت وقوع یک رویداد انحرافی به تیم‌ها هشدار دهند. سپس تیم‌ها می‌توانند از اطلاعات ارائه شده توسط این ابزارها برای ارزیابی رویداد استفاده کنند. آنها همچنین می‌توانند با استفاده از نتایج برای اصلاح عملکرد، پاسخ‌های ابزار آینده را بهبود بخشنداز یک رویکرد متمرکز استفاده کنید.
