Kibernetinės higienos veiksmų planas padeda pasirinkti, ką taisyti pirmiausia, kai saugumo spragų daug, o žmonių ir laiko mažai. Jis turi susieti grėsmę, konkretų darbą ir patikrinamą rezultatą. Visų priemonių pažymėjimas viename kontroliniame sąraše dar neparodo, kuri iš jų iš tikrųjų sumažins svarbiausią riziką.
Šis metodas pritaiko ANSSI kibernetinės higienos vadovo praktinę kryptį organizacijos darbų sekai. Tai techninė metodika, o ne automatinis Lietuvos sektorinių pareigų įvykdymas. Teisinę saugumo pareigą vertinkite pagal BDAR 32 straipsnį ir kitus konkrečiai organizacijai taikomus reikalavimus.
Pradėkite nuo svarbiausių veiklos kelių
Pasirinkite kelis procesus, kurių sutrikimas ar duomenų atskleidimas turėtų didžiausią poveikį. Kiekvienam parodykite naudojamas sistemas, administravimo prieigą ir pagrindinius tiekėjus. Informacinių sistemų žemėlapis leidžia išvengti situacijos, kai daug darbo atliekama mažai svarbiai sistemai, o bendras tapatybės teikėjas lieka nepatikrintas.
Įtraukite žmonių duomenų poveikį. Personalo bylos atskleidimas, pacientų sistemos neprieinamumas ir viešos informacinės svetainės sutrikimas nėra tapatūs scenarijai. Priemonių prioritetas turi parodyti, kokį konkretų poveikį jis mažina. Vien prietaisų ar paskyrų skaičius nebūtinai parodo darbo svarbą.
Užrašykite pradines spragas kaip patikrinamus faktus
Vietoje „silpnas autentifikavimas“ įrašykite, kurioms paskyroms nėra papildomo veiksnio, kokiu keliu jos prisijungia ir kokias teises turi. Vietoje „blogos kopijos“ užrašykite, kad pasirinkta kopija nebuvo atkurta arba nežinomas jos rakto savininkas. Konkrečiam faktui lengviau paskirti sprendimą ir patikrinti užbaigimą.
Nepažymėkite nežinomos būsenos kaip atitikties ar neatitikties be pagrindo. Ji gali būti atskiras darbo tipas: patikrinti tiekėjo atkūrimo galimybę, inventorizuoti vietines paskyras ar nustatyti internetui atviras paslaugas. Toks patikrinimas gali būti pirmesnis už techninį keitimą, nes padeda pasirinkti teisingą apimtį.
Darbų prioritetų matrica
| Klausimas | Ką vertinti? | Sprendimo reikšmė |
|---|---|---|
| Poveikis | Kokius žmones ir procesus paveiktų scenarijus? | Nustato darbo svarbą |
| Pasiekiamumas | Ar grėsmė gali pasiekti pažeidžiamą kelią? | Padeda pasirinkti skubumą |
| Priklausomybės | Kokių darbų reikia prieš šią priemonę? | Nustato įgyvendinimo seką |
| Įgyvendinimas | Kiek reikia žmonių, laiko ir pakeitimų? | Parodo realų pajėgumą |
| Patikrinamumas | Kokį įrodymą gausime? | Leidžia priimti rezultatą |
| Likusi rizika | Kas išliks net atlikus darbą? | Apsaugo nuo per plačios išvados |
Nereikia apsimesti, kad matrica tiksliai apskaičiuoja visą riziką. Skaičiai gali padėti palyginti darbus, tačiau šalia turi likti argumentai. Viena labai svarbi privilegijuota paskyra neturėtų prarasti prioriteto todėl, kad jos sutvarkymas apima mažą naudotojų skaičių.
Pirmoji darbų grupė: uždaryti aiškius prieigos trūkumus
Peržiūrėkite nebereikalingas paskyras, nepagrįstas administratoriaus teises ir nereikalingą išorinį administravimo pasiekiamumą. Paskirkite savininką, kuris patvirtins, kad prieiga nebereikalinga. Techninis vykdytojas neturėtų vien pagal paskutinio prisijungimo datą panaikinti svarbios retai naudojamos avarinės paskyros.
Autentifikavimo politika padeda nustatyti skirtingų paskyrų profilius ir atkūrimo eigą. Diegdami papildomą veiksnį patikrinkite alternatyvius prisijungimo kelius ir pagalbos tarnybos procesą. Darbas baigtas tik tada, kai taisyklė veikia realiose paskyrose, o išimtys aiškiai apribotos.
Šios priemonės gali būti greitai įgyvendinamos, tačiau jų poveikį vis tiek reikia įvertinti. Prieš uždarydami administravimo kelią įsitikinkite, kad išlieka saugus leidžiamas kelias ir atkūrimo galimybė. Skubumas nėra priežastis palikti komandą be galimybės valdyti būtinas sistemas.
Antroji grupė: pataisos ir bazinė konfigūracija
Pataisų planui reikalingas patikimas inventorius, sistemos savininkas ir patikros procesas. Vertinkite ne tik pažeidžiamumo klasę, bet ir realų naudojimą bei pasiekiamumą. Taisymas internetui atviroje sistemoje gali būti skubesnis negu tokia pati pataisa izoliuotame, ribotos paskirties įrenginyje.
Windows ir Linux konfigūracijos planas padeda apibrėžti bazę, pakeitimų bandymą ir išimtis. Rinkitės palaikomą aktualų etaloną ir įrašykite jo versiją. Diegimą pradėkite nuo valdomos imties, kurioje galima patikrinti tiek saugos nustatymą, tiek būtinų paslaugų veikimą.
Nesuderinamumą registruokite konkrečiai. Jei sena programa neleidžia išjungti tam tikro protokolo, aprašykite ribotą laikiną sprendimą ir atnaujinimo planą. Bendras visos organizacijos apsaugos išjungimas dėl vienos programos paslepia tikrąją rizikos apimtį ir apsunkina vėlesnį grįžimą.
Trečioji grupė: atkurti duomenis ir pastebėti incidentą
Atsarginės kopijos tikslas yra leisti atkurti reikalingus duomenis. Todėl priėmimo kriterijus turi būti atkūrimo rezultatas, o ne vien sėkmingas kopijos kūrimo pranešimas. Patikrinkite raktus, prieigos teises, priklausomybes ir tai, kas patvirtina atkurtos informacijos tinkamumą.
IT atkūrimo pratybų planas leidžia dokumentuoti faktinį laiką ir nepavykusius žingsnius. Su proceso savininku suderinkite, kokios kopijos apimties reikia ir kokia laikina darbo eiga galėtų padėti iki atkūrimo. Vien techninis serverio paleidimas neįrodo, kad procesas gali saugiai tęstis.
Lygiagrečiai pasirinkite kelis svarbiausius aptikimo scenarijus. Saugumo žurnalų politikoje nurodykite šaltinį, reikalingus laukus, perspėjimo gavėją ir reagavimo veiksmą. Jei nėra žmogaus, kuris peržiūrės įspėjimą, naujo kaupimo įrankio diegimas dar nesukuria veikiančios stebėsenos.
Hipotetinis mažos organizacijos darbų planas
Tarkime, įmonė turi bendrą debesijos aplinką, kelias senas tiekėjo paskyras ir kopijas, kurių atkūrimas nebandytas. Pirmiausia komanda patvirtina paskyrų savininkus, panaikina nebereikalingą prieigą ir sutvarko privilegijuotą autentifikavimą. Tuo pačiu suplanuoja ribotą kopijos atkūrimo bandymą.
Kitame etape patikrinamos svarbios darbo stotys ir taikoma saugos bazė. Aptiktas vienos programos nesuderinamumas įtraukiamas į atskirą išimtį, o kitos sistemos dėl jo nestabdomos. Vėliau pasirenkami keli žurnalų scenarijai ir išbandomas perspėjimo perdavimas konkrečiam atsakingam žmogui.
Ši seka yra iliustracija, ne universalus kalendorius. Kitoje organizacijoje realiai išnaudojama interneto sistemos spraga gali būti pirmasis darbas. Prioritetų matrica leidžia pakeisti seką remiantis faktu ir paaiškinti vadovybei, kodėl vienas suplanuotas darbas laikinai perkeltas.
Mokymai turi atitikti pasirinktą riziką
Darbuotojų informavimą susiekite su įgyvendinamomis priemonėmis. Keičiant autentifikavimą paaiškinkite veiksnio registravimą ir praradimą. Tvarkant duomenų bendrinimą parodykite, kaip patikrinti gavėją ir nuorodos apimtį. Bendras metinis pristatymas gali būti naudingas, bet jis nepakeičia konkretaus pasikeitusio veiksmo instrukcijos.
Praktines situacijas parinkite taip, kad būtų galima išmatuoti supratimą. Darbuotojas turėtų žinoti, kur pranešti apie netikėtą prisijungimo patvirtinimą ar neteisingą gavėją. Mokymo tikslas nėra viešai sugėdinti suklydusį žmogų. Tinkamas kanalas ir aiški reakcija padeda anksčiau pastebėti problemą.
Darbo priėmimas ir atsakomybės
Kiekvienam darbui skirkite vykdytoją ir rezultatą tvirtinantį savininką. Pavyzdžiui, administratorius nustato prieigos ribas, o proceso savininkas patvirtina, kad darbuotojas gali atlikti būtiną užduotį. Saugumo specialistas įvertina likusią spragą. Mažoje komandoje funkcijos gali persidengti, bet sprendimai turi būti atsekami.
Priėmimo įrodymas turi atitikti darbą: paskyros panaikinimo patikra, atkurtas kontrolinis duomenų rinkinys, faktinių nustatymų išrašas ar gautas kontrolinis perspėjimas. Bendras susitikimo protokolas „aptarta ir atlikta“ gali neparodyti techninio rezultato. Išsaugokite tiek įrodymų, kiek reikia sprendimui pagrįsti.
Kaip parodyti pažangą vadovybei
Ataskaitoje susiekite padarytus darbus su sumažintais scenarijais. Vietoje vien įdiegtų programų skaičiaus parodykite, kad nebereikalingos tiekėjo paskyros panaikintos, kritinio proceso kopija atkurta ar administravimo veiksmai pasiekia stebėseną. Kartu nurodykite, kas dar nepatikrinta ir kokią riziką tai palieka.
Skirkite užbaigtą darbą nuo dalinio diegimo. Jei taisyklė pritaikyta tik daliai įrenginių, pateikite likusios apimties sąrašą. Vidutinis atitikties procentas gali paslėpti vieną svarbų neapsaugotą serverį. Vadovybei reikia suprasti ne tik bendrą skaičių, bet ir reikšmingas likusias išimtis.
Kada peržiūrėti darbų seką
Naujas incidentas, tiekėjo pakeitimas, pažeidžiamumo informacija ar naujas kritinis procesas gali pakeisti prioritetus. Numatyta periodinė peržiūra naudinga, bet ji neturi tapti priežastimi laukti, kai atsiranda reikšmingas faktas. Užrašykite pakeitimo priežastį ir kokius kitus darbus jis paveikia.
Išlaikykite ribotą realiai vykdomų darbų skaičių. Pernelyg ilgas vienu metu pradėtų užduočių sąrašas apsunkina priėmimą ir palieka daug pusiau veikiančių priemonių. Naujas darbas turėtų turėti aiškų savininką, priklausomybes ir numatytą patikros rezultatą. Taip higienos planas tampa valdoma rizikos mažinimo seka.
Ryšys su teisės ir sutartiniais reikalavimais
Techninis vadovas gali padėti pasirinkti priemonę, tačiau organizacija turi atskirai nustatyti jai taikomas pareigas. Jei esate kibernetinio saugumo subjektas, finansų rinkos dalyvis ar vykdote specifinę sutartį, į darbų lentelę įrašykite konkretų reikalavimą ir jo terminą. Bendras higienos planas nepakeičia tokios taikymo analizės.
Kartu venkite dubliuoti vieną darbą keliose atskirose lentelėse be bendro savininko. Vienas gerai patikrintas atkūrimo procesas gali padėti įrodyti skirtingų reikalavimų vykdymą, jei jo apimtis tinkama. Prie darbo nurodykite susijusius reikalavimus, o išvadas apribokite tuo, kas iš tikrųjų patikrinta.
Priemonių veiksmingumą tikrinkite ir po užbaigimo, pasirinkdami svarbiausią ankstesnio darbo scenarijų. Pavyzdžiui, naujo tiekėjo paskyra turi pereiti tą pačią jau sutvarkytą prieigos eigą. Vienkartinis senų paskyrų išvalymas neapsaugo nuo naujo kaupimosi, jeigu suteikimo ir panaikinimo procesas liko nepakitęs.