компьютерные инцидентытакжедолжен определить,как он будетвзаимодей- ствовать с третьими сторонами, партнерами и клиентами.

Например,если произошел инцидент и в ходе расследования было установ- лено, что произошла утечка персональных данных клиента, то как компания сообщит об этом средствам массовой информации? В процессе реагирования наинцидентыобщениесоСМИдолжнобытьсогласованосполитикойбезопас­ ностикомпанииприраскрытииданных.Юридическийотделтожедолженбыть вовлечен до выхода пресс-релиза, чтобы гарантировать, что с заявлением не будетникаких юридических проблем.Процедуры по привлечению правоохра- нительных органовтакже должны быть задокументированы в процессе реаги- рования на компьютерные инциденты. При документировании принимайте во внимание физическое местоположение, т. е. где произошел инцидент, где находится сервер (при необходимости) и его состояние. Собрав эту информа- цию, вам будетлегче определить юрисдикцию и избежать конфликтов.

Команда реагирования на компьютерные инциденты

Теперь, когда у вас есть основные области, нужно собрать команду реагиро- вания. Формат команды будет варьироваться в зависимости от размера ком- пании, бюджета и цели. У крупной компании может возникнуть желание ис- пользовать распределенную модель, где есть несколько групп реагирования, у каждой из которой имеются определенные атрибуты и обязанности. Эта мо- дель может быть очень полезна для организаций, имеющих географическую разбросанность, поскольку вычислительные ресурсы расположены в несколь- ких областях. Другие компании могут захотеть централизовать всю команду реагированиянаинцидентыводномобъекте.Этакомандабудетобрабатывать инциденты независимо от местоположения.

После выбора модели, которая будет использоваться, компания начнет на- бор сотрудников для работы в команде.

Процессреагированиянакомпьютерныеинцидентытребуетналичияперсо- нала стехнически широкими знаниями,атакже глубокими знаниями вдругих областях.Задача состоит в том,чтобы найти людей с глубинными и обширны- ми познаниями в этой области, а это иногда приводит к выводу о необходи- мости найма сотрудников извне для выполнения некоторых должностей или даже передачи части команды реагирования другой компании.

Бюджет команды реагирования также должен покрывать непрерывное улучшение посредством обучения, приобретения надлежащего инструмента- рия (программного обеспечения) и оборудования. По мере появления новых угроз специалисты в области безопасности, имеющие дело с реагированием на компьютерные­ инциденты, должны быть обучены и готовы к тому, чтобы отреагироватьдолжнымобразом.Многиекомпанииневсостоянииподдержи- вать свои кадры в актуальном состоянии,что вовсе не хорошо.При аутсорсин- ге процесса реагирования на компьютерные инциденты убедитесь, что ком-

ется очень быстро, система обнаружения должна быть в состоянии динамиче- скиполучатьбольшеинформациионовыхугрозахиновомповедении,атакже запускать оповещение при обнаружении подозрительных действий.

Рис.2.3

Хотя многие атаки будут автоматически определяться системой обнаруже- ния, конечный пользователь играет важную роль в выявлении и сообщении о проблеме в случае подозрительной активности.

По этой причине конечный пользователь также должен знать о различ- ных типах атак и понимать, как вручную создавать запрос об инциденте для устранения такого поведения. Это то, что должно быть частью тренинга по безопасности.

Даже если пользователи усердно следят за подозрительной активностью и есть датчики, настроенные на отправку предупреждений при обнаружении попытки компрометации, наиболее сложной частью процесса реагирования по-прежнемуостаетсяточностьопределениятого,чтодействительноявляется инцидентом в области безопасности.

Часто нужно вручную собирать информацию из разных источников, чтобы увидеть, действительно ли полученное вами предупреждение отражает по- пытку эксплуатировать уязвимость в системе.

Помните,что сбор данных должен осуществляться в соответствии с полити- кой компании.В тех случаях,когда вам необходимо представитьданные в суд, нужно гарантировать целостность данных.

На рис. 2.4 показан пример, в котором необходимо объединить и сопоста- витьнесколькожурналов,чтобыопределитьокончательнуюмиссиюзлоумыш­ ленника.