Reagiert auf eine Netzwerksicherheitsstörung - Dummies

Egal wie vorsichtig Sie sind und egal wie sicher Ihre Systeme sind, es passieren schlimme Dinge. Elektronische Komponenten versagen. Software kann als fehlerhaft befunden werden. Menschen machen Fehler. Und manchmal machen Leute Unheil in der Absicht, dem Netzwerk Schaden zuzufügen. Die Natur kann beeinflussen, ob Ihr Netzwerk funktioniert oder nicht. In all diesen Situationen müssen Sie schnell und effizient auf den vorliegenden Notfall reagieren.

Anruf im SWAT, um, CERT-Team

Der beste Weg, um auf einen Netzwerksicherheits-Notfall vorbereitet zu sein, ist ein CERT. CERT steht für Computer Emergency Response Team (oder CIRT, Computer Incident Response Team) - ein Team, das Sie für Notfälle in Ihrer eigenen Organisation einrichten. Wie auch immer Sie es buchstabieren, das sind die Ghostbusters von Computernetzwerken; Sie finden das schlechte Zeug und stoßen es aus.

Das Geschäftsmodell eines Computer-Notfallteams ist, auf Notfälle zu reagieren , ähnlich wie es Feuerwehrleute und Polizei tun. Sie reagieren, identifizieren die Situation, isolieren das Gebiet und gehen zur Arbeit. Und weil niemand weiß, wie lange es dauern wird, um eine Notsituation einzudämmen, arbeiten sie häufig lange, harte Stunden unter enormem Stress.

CERTs bestehen aus hochqualifizierten Personen, die in ihren Fachgebieten unterschiedlich sind, aber für alle Eventualitäten über das Training hinaus geschult werden. Diese Teammitglieder müssen

• Verfügen Sie über ein umfassendes Verständnis von Netzwerken, Betriebssystemen und Anwendungen, damit diese erkennen können, wenn etwas schief läuft.
• Sie können Viren und Eradikationstechniken identifizieren.
• Hacking-Technik und Systemschwachstellen kennen
• Verwenden Sie viele plattformübergreifende Netzwerk-Tools. Einige dieser Tools sind tatsächlich Hacking-Tools und andere werden verwendet, um System-Eindringlinge zu entdecken …
• Sei in der Lage, als Team zu arbeiten und unter Druck cool zu sein.
• Sei in der Lage, mit anderen zu kommunizieren, die nicht so viel Verständnis haben wie sie. Dies ist wichtig, um Statusberichte geben und Änderungen in der Sicherheit empfehlen zu können, um weitere Vorkommnisse zu verhindern.

Weil CERT-Teammitglieder so hochqualifiziert sind, kann es sich ein Unternehmen nicht leisten, ein CERT-Team zu engagieren, nur um monatelang herumzusitzen und nichts zu tun. Die Teammitglieder haben normalerweise Vollzeitjobs, die etwas anderes als eine Notfallreaktion sind. Selten halten sie mehr als nur aufsichtsrechtliche oder mittlere Führungspositionen. Wenn sie jedoch auf eine kritische Situation reagieren, müssen sie die Autorität und Autonomie haben, Entscheidungen auf Führungsebene zu treffen.Das Leben Ihres Unternehmens kann von schnellen Entscheidungen abhängen.

Sie sollten in Ihrem Sicherheitsrichtlinien- und Verfahrensdokument einen Abschnitt haben, in dem die Vorkehrungen Ihres Unternehmens für ein CERT aufgeführt sind, unabhängig davon, ob es sich um ein internes oder ein externes CERT handelt. Die Rollen und Verantwortlichkeiten sollten klar angegeben werden, und wer sollte das Team zur Handlung rufen und wann sie aufgerufen werden sollten.

Verantwortungsbewusst handeln

Ihr Netzwerk hat sich in letzter Zeit lustig verhalten oder Sie haben einige seltsame Dinge gesehen, die Sie glauben machen, dass ein Eindringling in Ihrem Netzwerk ist. Der erste Punkt auf der Tagesordnung ist Keine Panik! Rufen Sie so bald wie möglich Ihr CERT an. Wahrscheinlich ist der Eindringling schon einige Zeit drin, aber das ist das erste Mal, dass Sie es bemerkt haben. Eindringlinge sind wie Plötzenbefall - sie passieren nicht nur über Nacht. Das CERT wird sich Zeit nehmen und systematisch arbeiten, um die Belästigung loszuwerden. Und wenn sie nicht bemerken, dass Dateien auf Ihren Servern mit einer alarmierenden Geschwindigkeit zerstört werden, werden sie Ihr Netzwerk nicht herunterfahren.

Bevor das CERT kommt und anfängt zu arbeiten, müssen einige grundlegende Schritte unternommen werden. Diese Schritte können je nach Situation geringfügig in der Reihenfolge variieren. Zum Beispiel können Sie in einigen Fällen das CERT anrufen, bevor Sie Führungskräfte des Unternehmens benachrichtigen, da es wichtiger ist, das Team zuerst arbeiten zu lassen. In jedem Fall machen Sie alle folgenden Schritte und lassen Sie nichts aus. Zuallererst jedoch - Schalten Sie keine Systeme aus oder starten Sie sie nicht neu. Dies könnte den Wiederherstellungsprozess behindern.

1. Fang an, Notizen zu machen.

Schreiben Sie keine Befehle wie verrückt, um den Eindringling zu finden. Lassen Sie das CERT das tun. An diesem Punkt ist es wichtiger, dass Sie ein neues Notizbuch bekommen und alles notieren, was Sie bemerkt haben und was Sie getan haben. Es ist sehr wichtig, dass Sie die Uhrzeit und das Datum von allem aufzeichnen. Dieses Notizbuch kann später in Gerichtsverfahren zum entscheidenden Beweis werden.

2. Benachrichtigen Sie das obere Management.

Senden Sie keine E-Mail-Nachrichten, da diese den Eindringling abschrecken könnten. Hoffentlich haben Sie vorab ein Call-Sheet mit den Namen und Telefonnummern derjenigen vorbereitet, die es wissen müssen. Die effektivste Art der Bearbeitung der Benachrichtigung besteht darin, dass Sie zwei Personen anrufen und sie dann den Rest der Liste anrufen lassen. Andernfalls könnten Sie Stunden am Telefon verbringen, um die Situation immer wieder Dutzenden von Menschen zu erklären. Zeit ist kostbar und sollte für den Notfall ausgegeben werden - nicht für die Handhaltung.

3. Rufen Sie Ihr CERT an.

Tun Sie das ruhig und ohne Tamtam. Sie wollen nicht, dass die gesamte Arbeit des Unternehmens zum Erliegen kommt, weil Sie einen Generalalarm ausgelöst haben. Wenn das CERT dort ankommt, unterrichten Sie es und lassen Sie es dann allein, um seine Arbeit zu erledigen.

4. Setzen Sie eine "Need-to-Know" -Richtlinie durch.

Teilen Sie Ihren Angestellten nicht mit, dass etwas in Ordnung ist, es sei denn, sie müssen es wirklich wissen. Der Eindringling kann einen inneren Komplizen haben, oder es könnte ein falscher Alarm und kein Eindringen sein. Sie wollen nicht, dass Klatsch über das Büro an Ihre Kunden, die Presse oder Ihre Konkurrenten geht.Man kann immer sagen, dass das Unternehmen "Netzwerkprobleme" hat, da die meisten Leute diese Erklärung ohne weitere Fragen akzeptieren werden.

5. Jemand in der Firma sollte die Hauptperson sein, falls die Öffentlichkeit auf die Situation aufmerksam wird.

Wenn Sie eine PR-Abteilung haben, ist das ihre Aufgabe. Sie möchten keinen Mediensturm zur Hand haben, so dass nur die ernannten Personen oder Personen mit der Presse und den Kunden sprechen dürfen. Manchmal ist ein Vorfall kein Vorfall, sondern eine Fehlkonfiguration im Netzwerk. Erinnern Sie die Presse und die Öffentlichkeit daran, dass die Dinge nicht immer so sind, wie sie scheinen.

6. Unterstützen Sie Ihr CERT.

Sie arbeiten wahrscheinlich lange, harte Stunden ohne Pausen. Stellen Sie sicher, dass sie Mahlzeiten und Erfrischungen erhalten. (Dies kann mehr als nur Cokes und Schokoriegel bedeuten.) Wenn Mitglieder des Hilfsteams benötigt werden, schalten Sie sie in Alarmbereitschaft und richten Sie einen Schichtplan ein. Erzwingen Sie auch den Zeitplan. Viele Teammitglieder werden ihre Posten nur ungern aufgeben, aber sie können nach ein oder zwei Tagen leicht ausbrennen. Wenn das Team mehr Ausrüstung benötigt, wie etwa Ersatzlaufwerke und Netzwerkgeräte, sollten Sie diese schnell abrufen.

7. Wenden Sie sich an Ihre Rechtsabteilung.

Lass sie die Situation wissen. Sie können entscheiden, ob irgendwelche Gesetze gebrochen wurden. Wenn sie Ihnen raten, sich an die Strafverfolgungsbehörden zu wenden, tun Sie dies.

8. Führen Sie Briefings und Besprechungen nach der Säuberung durch.

Erzählen Sie allen, was passiert ist und warum und was Sie tun können / haben werden, um sicherzustellen, dass es nicht noch einmal passiert. Zeige nicht mit den Fingern; Lerne aus deinen Fehlern.

Machen Sie sich keinen Fehler, dass dies für viele eine stressige Angelegenheit wird und dass die Gemüter flackern können und werden. Fallen Sie nicht in die Falle, sich in dem Moment zu verfangen, in dem Sie vergessen, was Sie tun sollen.