सूचना सुरक्षा घटनाओं के साथ काम करें

शुभ दिन, प्रिय हब्रहाब्र!

मैं सूचना सुरक्षा प्रथाओं से लेख प्रकाशित करना जारी रखता हूं।
इस बार हम सुरक्षा संबंधी घटनाओं जैसे महत्वपूर्ण घटक पर ध्यान केंद्रित करेंगे। सूचना सुरक्षा व्यवस्था की स्थापना (दस्तावेजों को स्वीकार कर लिया गया है, तकनीकी भाग को स्थापित और कॉन्फ़िगर किया गया है, पहले प्रशिक्षण आयोजित किए गए हैं) के बाद घटनाओं के साथ काम शेर के हिस्से को ले जाएगा।

हादसा रिपोर्टिंग

सबसे पहले सबसे पहले, आपको घटना के बारे में जानकारी प्राप्त करने की आवश्यकता है। इस बिंदु को सुरक्षा नीति बनाने और कर्मचारियों के लिए सूचना सुरक्षा में शैक्षिक कार्यक्रम पर प्रस्तुतियाँ बनाने के स्तर पर भी विचार करने की आवश्यकता है।
जानकारी के मुख्य स्रोत:

1. हेल्पडेस्क।
एक नियम के रूप में (और यह एक अच्छी परंपरा है), किसी भी समस्या, उपकरण के संचालन में खराबी या खराबी को आपकी आईटी सेवा की सहायता डेस्क पर कॉल या लिखा जाता है। इसलिए, अग्रिम में हेल्पडेस्क व्यवसाय प्रक्रिया में "एकीकृत" करना आवश्यक है और उन प्रकार की घटनाओं को इंगित करता है जिनके साथ आवेदन को सूचना सुरक्षा विभाग में स्थानांतरित किया जाएगा।

2. उपयोगकर्ताओं से सीधे संदेश।
कर्मचारियों के लिए सूचना सुरक्षा पर प्रशिक्षण में बताए अनुसार संपर्क का एक बिंदु व्यवस्थित करें। फिलहाल, संगठनों में आईएस विभाग आमतौर पर बहुत बड़े नहीं होते हैं, अक्सर 1-2 लोगों से। इसलिए, घटनाओं को प्राप्त करने के लिए जिम्मेदार व्यक्ति को नियुक्त करना मुश्किल नहीं होगा, आपको आईएस हेल्पडेस्क की जरूरतों के लिए ईमेल पते को उजागर करने से भी परेशान नहीं होना पड़ेगा।

3. सुरक्षा अधिकारियों द्वारा खोजी गई घटनाएं।
यहां सब कुछ सरल है, और इस तरह के रिसेप्शन चैनल को व्यवस्थित करने के लिए किसी भी बॉडी मूवमेंट की आवश्यकता नहीं है।

4. लॉग और सिस्टम अलर्ट।
एंटी-वायरस, आईडीएस, डीएलपी और अन्य सुरक्षा प्रणालियों के कंसोल में अलर्ट कॉन्फ़िगर करें। एग्रीगेटर का उपयोग करना अधिक सुविधाजनक है जो आपके संगठन में स्थापित कार्यक्रमों और प्रणालियों के लॉग से भी डेटा एकत्र करता है। बाहरी नेटवर्क और संवेदनशील जानकारी के भंडारण के स्थानों के संपर्क के बिंदुओं पर विशेष ध्यान दिया जाना चाहिए।

घटना वर्गीकरण

यद्यपि सुरक्षा घटनाएं विविध और विविध हैं, उन्हें कई श्रेणियों में अलग करना काफी आसान है, जो आंकड़ों को आसान बनाते हैं।

1. गोपनीय या आंतरिक जानकारी का प्रकटीकरण, या इस तरह के प्रकटीकरण का खतरा।
ऐसा करने के लिए, आपके पास कम से कम, गोपनीय जानकारी की एक अप-टू-डेट सूची, इलेक्ट्रॉनिक और पेपर मीडिया के लिए एक कार्य प्रणाली होनी चाहिए। एक अच्छा उदाहरण दस्तावेज़ टेम्पलेट है, संगठन के आंतरिक पोर्टल पर या आंतरिक फ़ाइल भंडारण में स्थित लगभग सभी अवसरों के लिए, डिफ़ॉल्ट रूप से उनके पास "केवल आंतरिक उपयोग के लिए" मुहर लगी है।
मैं प्रकटीकरण के खतरे के बारे में थोड़ा स्पष्ट करूंगा, पिछली पोस्ट में मैंने उस स्थिति का वर्णन किया था जब स्टैम्प वाला दस्तावेज़ "केवल आंतरिक उपयोग के लिए" किसी अन्य संगठन से सटे कॉमन हॉल में पोस्ट किया गया था। शायद प्रकटीकरण खुद नहीं था (यह कार्य दिवस की समाप्ति के बाद पोस्ट किया गया था, और यह बहुत जल्दी देखा गया था), लेकिन प्रकटीकरण की धमकी का तथ्य चेहरे पर है!

2. अनधिकृत पहुंच।
ऐसा करने के लिए, आपके पास संरक्षित संसाधनों की एक सूची होनी चाहिए। वह है, जहां संगठन की कोई भी संवेदनशील जानकारी, उसके ग्राहक या ठेकेदार स्थित हैं। इसके अलावा, इस श्रेणी में न केवल कंप्यूटर नेटवर्क में प्रवेश करना वांछनीय है, बल्कि परिसर में अनधिकृत पहुंच भी है।

3. अधिकार की अधिकता।
सिद्धांत रूप में, आप इस आइटम को पिछले एक के साथ जोड़ सकते हैं, लेकिन इसे उजागर करना बेहतर है, मैं समझाऊंगा कि क्यों। अनधिकृत पहुंच का मतलब उन व्यक्तियों तक पहुंच है, जिनके पास संगठन के संसाधनों या परिसरों तक कोई कानूनी पहुंच नहीं है। यह एक बाहरी घुसपैठिया है जिसकी आपके सिस्टम में कानूनी प्रविष्टि नहीं है। प्राधिकार के अतिरिक्त को संगठन के किसी भी संसाधन और परिसर के अनधिकृत उपयोग के रूप में समझा जाता है।

4. वायरल का हमला।
इस मामले में, निम्नलिखित को समझना आवश्यक है: कर्मचारी के कंप्यूटर का एक भी संक्रमण परीक्षण में प्रवेश नहीं करना चाहिए, क्योंकि यह एक त्रुटि या कुख्यात मानव कारक के लिए जिम्मेदार ठहराया जा सकता है। यदि संगठन के कंप्यूटरों का एक महत्वपूर्ण प्रतिशत संक्रमित है (यहां आप पहले से ही मशीनों की कुल संख्या, उनके वितरण, विभाजन, आदि से शुरू कर सकते हैं), तो आपको संक्रमण के कारणों, कारणों आदि के लिए आवश्यक खोजों के साथ एक पूर्ण सुरक्षा घटना को तैनात करने की आवश्यकता है।

5. खातों का समझौता।
इस आइटम में 3 के साथ कुछ सामान्य है। वास्तव में, एक घटना 3 से 5 श्रेणी की होती है, अगर घटना की जांच के दौरान यह पता चलता है कि उपयोगकर्ता उस पल में शारीरिक रूप से और वास्तव में अपनी साख का उपयोग नहीं कर सकता है।

हादसा वर्गीकरण

इस बिंदु के साथ घटनाओं से निपटने के 2 तरीके हैं: सरल और जटिल।
एक सरल तरीका: अपनी आईटी सेवा की सेवा के स्तर पर एक समझौता करें और इसे अपनी आवश्यकताओं के अनुरूप बनाएं।
मुश्किल तरीका: जोखिम विश्लेषण के आधार पर, घटनाओं और / या परिसंपत्तियों के समूहों की पहचान करें जिनके संबंध में घटना के कारणों का समाधान या उन्मूलन तत्काल होना चाहिए।
सरल तरीका छोटे संगठनों में अच्छी तरह से काम करता है, जहां बहुत अधिक वर्गीकृत जानकारी नहीं है और कर्मचारियों की एक बड़ी संख्या नहीं है। लेकिन यह समझना सार्थक है कि एसएलए में आईटी सेवा अपने जोखिम और घटनाओं के आंकड़ों से आती है। यह संभव है कि एक प्रिंटर जिसने सीईओ के डेस्क पर पेपर जाम कर दिया है, उसकी प्राथमिकता बहुत अधिक होगी, इस स्थिति में कि कॉर्पोरेट डेटाबेस के व्यवस्थापक के लिए पासवर्ड से समझौता करना आपके लिए अधिक महत्वपूर्ण है।

घटना साक्ष्य संग्रह

एक विशेष अनुप्रयुक्त विज्ञान है - फोरेंसिक, जो कंप्यूटर अपराधों के क्षेत्र में फोरेंसिक मुद्दों से संबंधित है। और एक अद्भुत किताब है फेडोटोव एन.एन. "फोरेंसिक - कंप्यूटर फोरेंसिक।" मैं अब फोरेंसिक के विस्तृत पहलुओं का वर्णन नहीं करूंगा, बस सबूतों के संरक्षण और प्रावधान में 2 मुख्य बिंदुओं को उजागर करें, जिसका पालन करना होगा।

• कागज दस्तावेजों के लिए: मूल को उस व्यक्ति के रिकॉर्ड के साथ सुरक्षित रूप से संग्रहीत किया जाता है जिसने दस्तावेज़ की खोज की थी, जहां दस्तावेज़ पाया गया था, जब दस्तावेज़ की खोज की गई थी और जिसने खोज को देखा था। किसी भी जांच से यह सुनिश्चित होना चाहिए कि मूल गलत नहीं थे।
• कंप्यूटर भंडारण मीडिया के बारे में जानकारी के लिए: किसी भी हटाने योग्य मीडिया की दर्पण छवियों, हार्ड ड्राइव पर जानकारी या स्मृति में पहुंच सुनिश्चित करने के लिए लिया जाना चाहिए। प्रतिलिपि प्रक्रिया के दौरान सभी क्रियाओं का रिकॉर्ड बनाए रखा जाना चाहिए, और प्रक्रिया को सत्यापित किया जाना चाहिए। मूल मीडिया और प्रोटोकॉल (यदि यह संभव नहीं है, तो कम से कम एक दर्पण छवि या प्रतिलिपि) को संरक्षित और अक्षुण्ण रखा जाना चाहिए

घटना को खत्म करने के बाद

तो, घटना समाप्त हो गई है, परिणाम समाप्त हो गए हैं, एक आंतरिक जांच आयोजित की जाती है।
लेकिन इस पर काम पूरा नहीं होना चाहिए।
घटना के बाद क्या करना है:

• जोखिम की पुनरावृत्ति जिसके परिणामस्वरूप एक घटना हुई
• किसी घटना की पुनरावृत्ति होने की स्थिति में पहचाने गए जोखिमों को कम करने के लिए सुरक्षात्मक उपायों की सूची तैयार करना
• आवश्यक नीतियों, नियमों, आईएस नियमों को अद्यतन करना
• सूचना सुरक्षा के बारे में जागरूकता बढ़ाने के लिए आईटी कर्मचारियों सहित संगठन के कर्मचारियों के लिए प्रशिक्षण आयोजित करना

यही है, सुरक्षा खतरे के कार्यान्वयन को प्रभावित करने वाली भेद्यता को कम करने या बेअसर करने के लिए सभी संभावित कार्रवाई करना आवश्यक है और, परिणामस्वरूप, एक घटना की घटना।

कुछ टिप्स

1. एक घटना लॉग रखें जहां आप पहचान का समय रिकॉर्ड कर सकते हैं, घटना का पता लगाने वाले कर्मचारी का डेटा, घटना की श्रेणी, शामिल संपत्ति, घटना को हल करने के लिए योजनाबद्ध और वास्तविक समय, साथ ही घटना और इसके परिणामों को खत्म करने के लिए किए गए कार्य।
2. अपने कार्यों को रिकॉर्ड करें। यह मुख्य रूप से अपने लिए आवश्यक है, घटना को सुलझाने की प्रक्रिया का अनुकूलन करने के लिए।
3. घटना के कर्मचारियों को सूचित करें ताकि पहले वे आपकी जांच में हस्तक्षेप न करें, और दूसरी बात, आप जांच के दौरान प्रभावित परिसंपत्तियों के उपयोग को बाहर करते हैं।