נהלי הסגר מערכות
הסגר מהיר ויעיל של מערכות שנפרצו הוא קריטי למניעת התפשטות התקפות, הגנה על נתונים ושימור ראיות במהלך תגובה לאירועים.
מושג ומטרה
הסגר כרוך בבידוד מערכות נגועות מהרשת כדי למנוע מתוכנה זדונית להתפשט למארחים אחרים. הוא עשוי לכלול השבתת ממשק רשת, העברה ל-VLAN מבודד או חסימת תעבורה באמצעות חומת אש.
המטרה היא להכיל את האירוע, למזער נזק ולתת זמן לניתוח פורנזי ולתיקון מבלי לסכן נכסים אחרים.
מתי לבודד
זיהוי תוכנה זדונית: מארחים עם זיהויי תוכנה זדונית שאומתו על ידי אנטי-וירוס, EDR או ניתוח ידני.
פעילות חשודה: מערכות המציגות התנהגות חריגה כגון תעבורת רשת בלתי רגילה, שינויי קבצים בלתי מורשים או תהליכים מוזרים.
אישורי גישה שנפרצו: שרתים שאליהם ניגשו עם אישורי גישה גנובים או שעשו בהם שימוש חוזר.
התקפות פעילות: מארחים תחת התקפה פעילה, כגון תוכנת כופר תוך כדי הצפנה או כאלה המשמשים בהתקפות מניעת שירות.
שיטות הסגר
ניתוק מהרשת: השבתת ממשק הרשת (כבל או Wi-Fi) כדי לבודד את המארח לחלוטין.
פילוח VLAN: העברת המערכת ל-VLAN מבודד עם גישה מוגבלת למשאבים אחרים.
חומת אש: חסימת כל התעבורה הנכנסת והיוצאת של המערכת באמצעות כללי חומת אש.
EDR/XDR: פתרונות Endpoint Detection and Response (EDR) ו-Extended Detection and Response (XDR) יכולים להפוך הסגר לאוטומטי בהתבסס על זיהויים.
נהלים
1. זיהוי: זיהוי המערכת שיש לבודד על בסיס התראות אבטחה או ניתוח אירועים.
2. הודעה: יידוע צוות התגובה לאירועים ובעל המערכת על ההסגר.
3. בידוד: בידוד המערכת באמצעות אחת מהשיטות שתוארו לעיל.
4. שימור: שימור ראיות לניתוח פורנזי (תמונות דיסק, יומנים, זיכרון).
5. ניתוח: חקירת שורש הבעיה של האירוע וקביעת היקף הפריצה.
6. תיקון: הסרת תוכנה זדונית, תיקון פגיעויות ושחזור המערכת למצב מאובטח.
7. ניטור: ניטור המערכת לאחר השחזור כדי להבטיח שאין הדבקה חוזרת.
כלים
חומות אש: לחסימת תעבורת רשת.
מתגים: לפילוח VLAN.
EDR/XDR: לזיהוי ותגובה אוטומטיים.
כלי פורנזיקה: לניתוח מערכות שנפרצו.
שיקולים
השפעה תפעולית: הערכת השפעת ההסגר על העסק ומתן עדיפות למערכות קריטיות.
תקשורת: תקשור ברור של מצב ההסגר לבעלי העניין הרלוונטיים.
תיעוד: תיעוד כל שלבי תהליך ההסגר.
אוטומציה: הפיכת תהליך ההסגר לאוטומטי בכל עת שניתן כדי לקצר את זמן התגובה.
בדיקות וסימולציות
בדיקות חדירה: סימולציית התקפות לבדיקת יעילות נהלי ההסגר.
Tabletop Exercises: ביצוע תרגילי סימולציה לאימון צוותי תגובה לאירועים.
אתגרים נפוצים
חיוביים שגויים: בידוד מערכות באופן שגוי עקב חיוביים שגויים.
מערכות לא מנוהלות: קושי בבידוד מערכות לא מנוהלות או שאינן ברשימת המלאי.
BYOD: אתגרים בבידוד מכשירי Bring Your Own Device (BYOD) מבלי לפגוע בפרטיות.
המלצות סופיות
היכולת לבודד במהירות מערכות שנפרצו עשויה לעשות את ההבדל בין אירוע מוכל לבין פריצה קטסטרופלית. נהלים מתועדים, כלים מוכנים וצוותים מאומנים מאפשרים הסגר יעיל תחת לחץ של משבר.