Svarer på et nettverkssikkerhetsbrudd - dummies

Uansett hvor forsiktig du er og uansett hvor sikker systemene dine er, skjer det dårlige ting. Elektroniske komponenter mislykkes. Programvare kan bli funnet å være buggy. Folk gjør feil. Og bare noen ganger gjør folk vondt med sikte på å gjøre skade på nettverket. Naturen kan påvirke om nettverket ditt fungerer eller ikke. Alle disse situasjonene krever at du raskt og effektivt svarer på nødsituasjonen.

Ring i SWAT, UM, CERT-teamet

Den beste måten å være forberedt på for nettverkssikkerhet, er å ha en CERT på plass. CERT står for Computer Emergency Response Team (eller CIRT, Computer Incident Response Team) - et team du har satt opp til å håndtere nødsituasjoner i din egen organisasjon. Uansett hvordan du staver det, er disse Ghostbusters av datanettverk; de finner de dårlige grepene og roter den ut.

Forretningsmodellen til et PC-nødresponsteam er å svare på krisesituasjonen på samme måte som brannmenn og politiet gjør. De svarer, identifiserer situasjonen, isolerer området og går på jobb. Og fordi ingen noensinne vet hvor lang tid det tar å inneholde en nødssituasjon, jobber de ofte lange, harde timer under enormt stress.

CERTs består av høyt kvalifiserte personer som varierer innenfor deres kompetanseområder, men er trent opplært for å dekke eventuelle hendelser. Disse gruppemedlemmene må

• Har en grundig forståelse av nettverk, operativsystemer og applikasjoner slik at de kan gjenkjenne når noe er galt.
• Kunne identifisere virus og utryddelsesteknikker.
• Kjenn hackteknikk og systemproblemer
• Bruk mange nettverksverktøy på tvers av plattformer. Noen av disse verktøyene er faktisk hackingsverktøy, og andre er vant til å oppdage systeminntrenging …
• Kunne jobbe som et lag og være kult under press.
• Kunne kommunisere med andre som ikke har så høy grad av forståelse som de gjør. Dette er viktig for å kunne gi statusrapporter og å anbefale endringer i sikkerheten for å forhindre ytterligere hendelser.

Fordi CERT-teammedlemmer er så dyktige, har et selskap ikke råd til å ansette et CERT-team bare for å sitte i flere måneder til slutt, og gjør ingenting. Teammedlemmene har vanligvis heltidsjobber som gjør noe annet enn nødsituasjon. Sjelden har de noen gang mer enn tilsyns- eller mellomledelsesstillinger. Men når de reagerer på en kritisk situasjon, må de ha myndighet og selvstyre til å ta beslutninger på executive level.Livet i din virksomhet kan avhenge av hurtige beslutninger.

Du bør ha en del i sikkerhetspolicy og prosedyredokument som forteller firmaets ordninger for en CERT, uansett om det er internt eller outsourcet. Rollene og ansvarsområdene bør klart fremgå, samt hvem som skal ringe laget til handling og når de skal kalles.

Responsibly Responsible

Nettverket ditt har fungert morsomt i det siste, eller du har sett noen merkelige ting som får deg til å tro at en inntrenger er i nettverket ditt. Det første elementet på dagsordenen er Ikke panikk! Ring i din CERT så snart du kan. Sjansen er at inntrengeren har vært der inne for en stund, men dette er bare første gang du har lagt merke til. Inntrengere er som roach infestations - de skjer ikke bare over natten. CERT vil ta seg tid og jobbe systematisk for å kvitte seg med ulempen. Og med mindre de oppdager at filer på serverne dine blir ødelagt med en alarmerende hastighet, slår de ikke av nettverket ditt.

Du må ta noen grunnleggende trinn før CERT kommer inn og begynner å fungere. Disse trinnene kan variere litt i rekkefølge, avhengig av situasjonen. For eksempel, i noen tilfeller kan du ringe inn CERT før du melder selskapets ledere fordi det er viktigere å få teamet til å fungere først. I alle fall gjør du alle de følgende trinnene og ikke utelate noe. Først og fremst, men - Ikke slå av eller starte noen systemer på nytt. Dette kan hindre gjenopprettingsprosessen.

en. Begynn å ta notater.

Ikke start å skrive kommandoer som gal å prøve å finne inntrengeren. La CERT gjøre det. Det er viktigere på dette tidspunktet at du får en ny notatbok og skriver ned alt du har lagt merke til og hva du gjorde. Det er veldig viktig at du registrerer tid og dato for alt. Denne notatboken kan bli viktig bevis i rettssaker senere.

2. Varsle øvre ledelse.

Ikke send e-postmeldinger som de kunne tippe inntrengeren. Forhåpentligvis hadde du utarbeidet et kall-ark på forhånd med navnene og telefonnumrene til de som trenger å vite. Den mest effektive måten å håndtere varselet på er å ringe to personer, og få dem til å ringe resten av listen. Ellers kan du tilbringe timer på telefonen som forklarer situasjonen om og om igjen til dusinvis av mennesker. Tiden er verdifull og bør brukes til nødstilfeller - ikke på hånden.

3. Ring i din CERT.

Gjør dette stille og uten fanfare. Du vil ikke at hele selskapets arbeid skal stå stille fordi du har kalt en generell alarm. Når CERT kommer dit, kort dem og la dem være alene for å gjøre jobben sin.

4. Oppnå en "need-to-know" -politikk.

Fortell ikke ansatte noe er oppe med mindre de virkelig trenger å vite. Inntrengeren kan ha en intern medskyldig, eller det kan være en falsk alarm og ikke et innbrudd. Du vil ikke ha uvirksom sladder som kommer utenfor kontoret til kundene, pressen eller konkurrentene dine.Du kan alltid si at selskapet opplever "nettverksproblemer" som de fleste vil akseptere denne forklaringen uten ytterligere spørsmål.

5. Noen i selskapet bør være poengpersonen dersom publikum blir oppmerksom på situasjonen.

Hvis du har en PR-avdeling, er det deres jobb. Du vil ikke ha en mediestorm på hånden, så bare den utsatte personen eller personer har lov til å snakke med pressen og kundene. Noen ganger er en hendelse ikke en hendelse i det hele tatt, men en feilkonfigurasjon i nettverket. Påminn pressen og publikum om at ting ikke alltid er som de virker.

6. Gi støtte til CERT.

De jobber sannsynligvis på lange, harde timer uten pauser. Pass på at de får måltider og forfriskninger sendt inn i dem. (Dette kan bety mer enn bare Cokes og candy bars.) Hvis hjelpemedlemmer er nødvendig, legg dem på vakt og sett opp en skiftplan. Forfølge tidsplanen også. Mange lagmedlemmer vil være motvillige til å gi opp sine innlegg, men de kan lett brenne ut etter en dag eller to. Hvis teamet har behov for mer utstyr, for eksempel reservedeler og nettverksenheter, får du dem raskt.

7. Kontakt din juridiske avdeling.

Gi dem beskjed om situasjonen. De kan bestemme om noen lov har blitt brutt. Hvis de anbefaler deg å kontakte lovhåndhevelse, gjør du det.

8. Utfør orienteringer og møter etter opprydding.

Fortell alle hva som skjedde og hvorfor og hva du kan / har / vil gjøre for å sikre at det ikke skjer igjen. Ikke pek på fingrene; lære av dine feil.

Gjør ingen feil om at dette vil være en stressende affære for mange, og at temperatursystemet kan og vil blusse. Ikke fall inn i fellen for å bli så opptatt i det øyeblikket du glemmer hva du skal gjøre.