Componentes do Plano de Resposta a Incidentes

Componentes do Plano de Resposta a Incidentes

A política de resposta a incidentes deve fazer referência a um plano de resposta a incidentes que todos os funcionários seguirão, dependendo de seu papel no processo. O plano pode conter vários procedimentos e padrões relacionados à resposta a incidentes. É uma representação viva da política de resposta a incidentes de uma organização.

A visão, estratégia e missão da organização devem moldar o processo de resposta a incidentes. Os procedimentos para implementar o plano devem definir os processos técnicos, técnicas, listas de verificação e outras ferramentas que as equipes usarão ao responder a um incidente.

Para se preparar para incidentes, aqui estão os componentes comumente encontrados em um plano de resposta a incidentes:

Preparação

• Desenvolver uma política aprovada pela gestão.
• Identificar dados e sistemas críticos, pontos únicos de falha.
• Treinar os funcionários em resposta a incidentes.
• Implementar uma equipe de resposta a incidentes. (coberto em tópico subsequente)
• Praticar a identificação de incidentes. (Primeira Resposta)
• Identificar papéis e responsabilidades.
• Planejar a coordenação da comunicação entre as partes interessadas.

Detecção e Análise

• Monitorar todos os possíveis vetores de ataque.
• Analisar o incidente usando dados conhecidos e inteligência de ameaças.
• Priorizar a resposta ao incidente.
• Padronizar a documentação de incidentes.

Contenção

• Recolher evidências.
• Escolher uma estratégia de contenção apropriada.
• Identificar o atacante.
• Isolar o ataque.

Atividade Pós-Incidente

• Identificar evidências que podem precisar ser retidas.
• Documentar lições aprendidas.
• Retrospectiva
• Preparação
• Detecção e Análise
• Contenção, Erradicação e Recuperação
• Atividade pós-incidente

NIST Computer Security Incident Handling Lifecycle. NIST SP 800-61 Rev. 2

Terminologia de Incidentes

Enquanto profissionais de segurança se esforçam para proteger sistemas contra ataques maliciosos ou descuidos humanos, inevitavelmente, apesar desses esforços, coisas dão errado. Por essa razão, profissionais de segurança também desempenham o papel de primeiros socorristas. O entendimento da resposta a incidentes começa com o conhecimento dos termos usados para descrever vários ciberataques.

Violação A perda de controle, comprometimento, divulgação não autorizada, aquisição não autorizada ou qualquer ocorrência similar em que: uma pessoa diferente de um usuário autorizado acessa ou potencialmente acessa informações de identificação pessoal; ou um usuário autorizado acessa informações de identificação pessoal para outro propósito que não o autorizado. NIST SP 800-53 Rev. 5

Evento Qualquer ocorrência observável em uma rede ou sistema. NIST SP 800-61 Rev 2

Exploração Um ataque particular. É chamado assim porque esses ataques exploram vulnerabilidades do sistema.

Incidente Um evento que realmente ou potencialmente compromete a confidencialidade, integridade ou disponibilidade de um sistema de informação ou da informação que o sistema processa, armazena ou transmite.

Intrusão Um evento de segurança, ou combinação de eventos, que constitui um incidente de segurança deliberado em que um intruso obtém, ou tenta obter, acesso a um sistema ou recurso do sistema sem autorização. IETF RFC 4949 Ver 2

Ameaça Qualquer circunstância ou evento com potencial de impactar adversamente as operações organizacionais (incluindo missão, funções, imagem ou reputação), ativos organizacionais, indivíduos, outras organizações ou a nação por meio de um sistema de informação através de acesso não autorizado, destruição, divulgação, modificação de informação e/ou negação de serviço. NIST SP 800-30 Rev 1  

Vulnerabilidade Fraqueza em um sistema de informação, procedimentos de segurança do sistema, controles internos ou implementação que possam ser explorados por uma fonte de ameaça. NIST SP 800-30 Rev 1  

Dia Zero Uma vulnerabilidade de sistema previamente desconhecida com potencial de exploração sem risco de detecção ou prevenção porque, em geral, não se encaixa em padrões, assinaturas ou métodos reconhecidos.  

Como é a resposta a incidentes em cibersegurança? Nenhuma chamada para o 911 foi relatada sobre um incidente. Nenhuma ambulância ou caminhão de bombeiros está vindo para o resgate. Cabe aos profissionais de cibersegurança detectar e responder aos incidentes.

• Incident - An event that actually or potentially jeopardizes the confidentiality, integrity or availability of an information system or the information the system processes, stores or transmits. 
• Incident Handling or Incident Response (IR) - The process of detecting and analyzing incidents to limit the incident's effect.
• Incident Response Plan (IRP) - The documentation of a predetermined set of instructions or procedures to detect, respond to and limit consequences of a malicious cyberattack against an organization’s information systems(s). Source: NIST SP 800-34 Rev 1
• Intrusion - A security event, or combination of security events, that constitutes a security incident in which an intruder gains, or attempts to gain, access to a system or system resource without authorization. Source: IETF RFC 4949 Ver 2 
• Security Operations Center - A centralized organizational function fulfilled by an information security team that monitors, detects and analyzes events on the network or system to prevent and resolve issues before they result in business disruptions.
• Vulnerability - Weakness in an information system, system security procedures, internal controls or implementation that could be exploited or triggered by a threat source. Source: NIST SP 800-128. 
• Zero Day - A previously unknown system vulnerability with the potential of exploitation without risk of detection or prevention because it does not, in general, fit recognized patterns, signatures or methods.  

Question 1 1 / 1 point

You are working in your organization's security office. You receive a call from a user who has tried to log in to the network several times with the correct credentials, with no success. This is an example of a(n)_______. (D2, L2.1.1)

Question options:

• A) Emergency
• B) Event (x)
• C) Policy (e)
• D) Disaster

Hide question 1 feedback

Incorrect. A policy is senior management's perspective on an organization-wide topic.
Correct. The user has reported that something measurable has occurred; at this point, we are not sure what it might be (if it is a normal occurrence, or something that poses adverse impact), so the best description is "event."  

Question 2 1 / 1 point

You are working in your organization's security office. You receive a call from a user who has tried to log in to the network several times with the correct credentials, with no success. After a brief investigation, you determine that the user's account has been compromised. This is an example of a(n)_______. (D2, L2.1.1)

Question options:

• A) Risk management
• B) Incident detection (x)
• C) Malware
• D) Disaster

Hide question 2 feedback

Correct. The user's report and the subsequent identification of the problem constitute incident detection. 

Question 3 1 / 1 point

An external entity has tried to gain access to your organization's IT environment without proper authorization. This is an example of a(n) _________. (D2, L2.1.1)

Question options:

• A) Exploit
• B) Intrusion (x)
• C) Event
• D) Malware

Hide question 3 feedback

Correct. An intrusion is an attempt, successful or otherwise, to gain unauthorized access.

Question 4 1 / 1 point

When responding to a security incident, your team determines that the vulnerability that was exploited was not widely known to the security community, and that there are no currently known definitions/listings in common vulnerability databases or collections. This vulnerability and exploit might be called ______. (D2, L 2.1.1)

Question options:

• A) Malware
• B) Critical
• C) Fractal
• D) Zero-day (x)

Hide question 4 feedback

Correct. A zero-day exploit is an attack using a vulnerability that is not widely known in the industry at the time of discovery. 

Question 5 0 / 1 point

True or False? The IT department is responsible for creating the organization's business continuity plan. (D2, L2.2.1) 

Question options:

• True
• False (x)

Hide question 5 feedback

Incorrect. Members from across the organization, not just IT, should participate in creating the BCP to ensure that all systems, processes and operations are accounted for in the plan.

Question 6 1 / 1 point

The Business Continuity effort for an organization is a way to ensure critical ______ functions are maintained during a disaster, emergency, or interruption to the production environment. (D2, L 2.2.1) 

Question options:

• A) Business (x)
• B) Technical
• C) IT
• D) Financial

Hide question 6 feedback

Correct. The Business Continuity effort is designed to ensure critical business functions continue during periods of potential interruption.

Question 7 1 / 1 point

Which of the following is very likely to be used in a disaster recovery (DR) effort? (D2, L 2.3.1)

Question options:

• A) Guard dogs
• B) Data backups (x)
• C) Contract personnel
• D) Anti-malware solutions

Hide question 7 feedback

Correct. Restoring from backups is often very useful during a DR effort. 

Question 8 0 / 1 point

Which of the following is often associated with DR planning? (D2, L 2.3.1)

Question options:

• A) Checklists (x)
• B) Firewalls
• C) Motion detectors (e)
• D) Non-repudiation

Hide question 8 feedback

Incorrect. While motion detectors are useful as physical security controls, they are not typically an aspect of DR efforts. 
Correct. Both BC and DR activities typically include checklists for the people participating in the effort. 

Question 9 0 / 1 point

Which of these activities is often associated with DR efforts? (D2, L2.3.1)

Question options:

• A) Employees returning to the primary production location
• B) Running anti-malware solutions
• C) Scanning the IT environment for vulnerabilities (e)
• D) Zero-day exploits (e)

Hide question 9 feedback

Incorrect. Zero-day exploits are a security threat, but not typically associated with DR efforts.
Incorrect. Vulnerability scans are a regular part of IT security practices, but not typically associated with DR efforts. 

Question 10 1 / 1 point

Which of these components is very likely to be instrumental to any disaster recovery (DR) effort? (D2, L2.3.1)

Question options:

• A) Routers
• B) Laptops
• C) Firewalls
• D) Backups (x)

Hide question 10 feedback

Correct. Backups are often crucial in DR efforts, so that the normal production environment can be restored.