כאשר עולה חשד לחדירה, כופרה, דלף מידע, השתלטות על חשבון או פעילות חריגה, צריך להבין מהר מה קורה, לצמצם את החשיפה ולשמור על היכולת לחקור ולהחזיר את הפעילות בצורה מבוקרת. Trio מסייעת לרכז את התמונה ולנהל את שלבי התגובה בהתאם לסוג האירוע ולהיקף השירות שנקבע.
איסוף אינדיקציות והבנת המערכות והחשבונות המעורבים
צמצום היכולת של האיום להתפשט תוך שמירה על מידע רלוונטי
בניית ציר זמן, בחינת מקור החשיפה וטיפול בגורמים שנפגעו
חזרה מבוקרת לפעילות ותוכנית המשך לסגירת הפערים
ההחלטות שמתקבלות בשעות הראשונות יכולות להשפיע על היקף הנזק, זמינות המערכות, איכות החקירה והיכולת לחזור לעבודה.
תגובה נכונה לא מתחילה בכיבוי אוטומטי של כל המערכות. צריך לאסוף מידע, להבין מה מושפע, לצמצם את החשיפה ולשמור ככל האפשר על נתונים שיכולים לעזור להבין מה קרה. במקביל צריך לקחת בחשבון את ההשפעה על הפעילות העסקית ואת סדר העדיפויות של הארגון.
קבצים הוצפנו, הופיעה דרישת כופר, זוהתה מתקפת DDoS או מערכת קריטית הושבתה באופן חשוד.
יש חשד להשתלטות על חשבון, כניסות חריגות או שינויי MFA והרשאות שלא בוצעו על ידי המשתמש.
קיים חשד לדלף, גישה לא מורשית או העתקה ושיתוף חריגים של מידע.
זוהתה פעילות חריגה ברשת, בענן, בתחנות קצה או בתשתיות הארגון.
פישינג או BEC הצליחו והובילו למסירת פרטים, הפעלת קובץ או שימוש בתיבה ארגונית.
המטרה היא לא לבצע את הפעולה הכי מהירה בכל מחיר, אלא לקבל החלטות שמצמצמות את הנזק בלי לפגוע שלא לצורך בחקירה ובהמשכיות העסקית.
הפעולות משתנות לפי סוג האירוע, המערכות שנפגעו והיקף השירות. המטרה היא לבנות רצף עבודה שמחבר בין מצב טכני, החלטות עסקיות ותוכנית חזרה לפעילות.
איסוף אינדיקציות ראשוניות, זיהוי מערכות, חשבונות ונכסים מעורבים והגדרת מה דורש פעולה מיידית.
צמצום היכולת של האיום להתפשט, תוך ניסיון לשמור על הפעילות העסקית ועל מידע רלוונטי להמשך הבדיקה.
ריכוז לוגים, אינדיקציות, פעולות והחלטות מרכזיות כדי לבנות תמונה עקבית של האירוע ככל שהמידע זמין.
בחינת מקור החשיפה, הפעולות שבוצעו והקשרים בין משתמשים, מערכות ותשתיות כדי להבין את התפתחות האירוע.
בחינה וטיפול בהרשאות, חשבונות או אמצעי גישה שנפגעו, בהתאם לממצאים ולסביבת הארגון.
הקשחה, ניקוי, החלפה או שחזור של רכיבים לפי הצורך, תוך תיאום עם צוותי ה־IT והספקים הרלוונטיים.
החזרת שירותים ומערכות בצורה מדורגת ומבוקרת ובדיקה שהסיכון הפעיל צומצם לפני חזרה מלאה לשגרה.
תיעוד הממצאים, הפקת לקחים ובניית פעולות המשך מתועדפות בתחומי הרשאות, ניטור, הקשחה, גיבוי ונהלים.
אירועים שונים דורשים פעולות שונות, אבל תהליך מסודר עוזר לשמור על סדר החלטות גם כשאין עדיין תמונה מלאה.
היעד הוא להחזיר לארגון שליטה: להבין את האירוע, לצמצם את הנזק, להחזיר שירותים ולצאת עם תוכנית ברורה לסגירת הפערים.
מגדירים מה ידוע, אילו מערכות ומשתמשים מעורבים ומה דורש החלטה או פעולה מיידית.
מצמצמים את החשיפה ואת יכולת ההתפשטות תוך שמירה ככל האפשר על מידע, ראיות והמשכיות עסקית.
בונים ציר זמן, בוחנים את מקור החשיפה ומטפלים ברכיבים, חשבונות או הרשאות שנפגעו בהתאם לממצאים.
מחזירים מערכות בצורה מבוקרת, מרכזים את הממצאים ומגדירים פעולות המשך כדי לצמצם את הסיכון להישנות.
Trio Cyber 360 מספק שכבת ניטור וזיהוי מתמשכת. תהליך Incident Response נכנס לתמונה כאשר יש אירוע או חשד משמעותי שדורש הערכת מצב, הכלה, חקירה, טיפול ושחזור. אלה שירותים משלימים, אבל הם עונים על צרכים שונים.
ריכוז האירועים, ההחלטות והפעולות המרכזיות כדי להבין מה קרה ומתי.
תמונה של המערכות, המשתמשים והתהליכים שהושפעו ומה ידוע על דרך החדירה והפעילות.
פעולות המשך מתועדפות בתחומי הרשאות, הקשחה, ניטור, נהלים, גיבוי ובקרות לפי הממצאים.
הגדרה מראש מי פותח אירוע, מי מקבל החלטות ואילו אנשי IT, הנהלה, ספקים וגורמים נוספים צריכים להיות מעורבים.
מקורות מידע זמינים שמאפשרים להבין מה קרה בלי להתחיל לחפש את הנתונים רק לאחר שהאירוע כבר התפתח.
היכרות עם סדר השחזור והמערכות הקריטיות, כדי שתהליך החזרה לפעילות יהיה מבוסס על יכולת שנבדקה מראש.
ניהול אירוע דורש לראות את התמונה הרחבה ולא להתייחס רק למחשב או להתראה שבהם התחיל החשד.
ההיכרות של Trio עם סביבות IT, ענן, זהויות, Endpoint, גיבוי ושירותי סייבר מאפשרת לחבר בין הממצאים הטכניים לבין הצורך להחזיר את הארגון לפעילות ולבנות את צעדי ההמשך.
לא כל מערכת אפשר לנתק מיד. בוחנים את הסיכון לצד ההשפעה על הפעילות ומגדירים סדר פעולות מתאים.
האירוע נבחן דרך רשת, ענן, משתמשים, הרשאות, תחנות קצה ושירותים עסקיים ולא כרכיב בודד.
מרכזים את המידע והפעולות כדי שהארגון יוכל להבין את האירוע ולנהל את צעדי ההמשך בצורה מסודרת.
פי הממצאים ניתן לחבר ל־Trio Cyber 360, CISO, סקר סיכונים, IAM או המשכיות עסקית כאשר הם באמת נדרשים.
כל מצב שבו יש חשד לפגיעה בסודיות, בשלמות או בזמינות של מערכות ומידע עשוי להצדיק בדיקה: כופרה, גישה לא מורשית, השתלטות על חשבון, דלף מידע, פעילות חריגה ברשת, פישינג שהצליח או השבתה חשודה של שירותים.
SOC הוא שירות מתמשך שמטרתו לייצר נראות, לנטר ולזהות פעילות חשודה. Incident Response הוא תהליך שנפתח כאשר יש אירוע או חשד משמעותי ודורש הערכת מצב, הכלה, חקירה, טיפול ושחזור.
לתעד מה זוהה, לערב את בעלי התפקידים הרלוונטיים ולהימנע מפעולות בלתי הפיכות לפני שמבינים את ההשפעה. הפעולות המדויקות תלויות בסוג האירוע ובסביבה ולכן נכון לפעול לפי נוהל מסודר או עם גורם מקצועי.
לא תמיד. לעיתים בידוד מהרשת עדיף על כיבוי, משום שכיבוי עלול לפגוע במידע זמני שיכול לסייע בבדיקה. ההחלטה צריכה להתקבל לפי סוג האירוע והסיכון להמשך התפשטות.
לא. היקף החקירה נקבע לפי סוג האירוע, רמת החשיפה והמידע שצריך לברר. כאשר נדרשת מומחיות פורנזית ייעודית, נכון להגדיר מראש כיצד היא משתלבת בתהליך ומי הגורם שמספק אותה.
חובות הדיווח משתנות לפי סוג הארגון, המידע והדין שחל עליו. את ההחלטה המשפטית והדיווח הפורמלי יש לנהל עם הגורם המשפטי או הרגולטורי המתאים, לצד התיעוד הטכני של האירוע.
מבצעים תחקיר, בוחנים מה אפשר את האירוע ואילו בקרות דורשות שינוי. משם ניתן לבנות תוכנית חיזוק בתחומי הקשחה, נהלים, ניטור, הרשאות, גיבוי ושירותים נוספים בהתאם לממצאים.
ספרו לנו בקצרה מה זוהה, מתי התחיל ומה כרגע מושפע. נוכל להבין את נקודת הפתיחה ואת סוג המענה שנדרש בהתאם למצב ולהיקף השירות.
076-5993076 · הרוקמים 25, חולון
אנו משתמשים בעוגיות לצורך תפעול האתר, ניתוח נתונים ושיפור חוויית המשתמש. בלחיצה על כפתור האישור או בהמשך הגלישה באתר, הנך מסכים/ה לשימוש בעוגיות בהתאם למדיניות הפרטיות. מדיניות הפרטיות.
