Fyrstu viðbrögð í atvikum
Mikilvægt er að bregðast rétt við öryggisatvikum til að lágmarka skaða og tryggja endurheimt kerfa. Fyrsta skrefið er að virkja viðbragðsáætlanir og meta áhrif atviksins. Næst þarf að einangra sýkt kerfi til að hindra frekari útbreiðslu. Eftir það er lögð áhersla á hreinsun og enduruppsetningu kerfa, auk þess að fylgjast náið með virkni þeirra eftir endurheimt. Að lokum er mikilvægt að læra af atvikinu til að koma í veg fyrir að það endurtaki sig í framtíðinni.
Yfirsýn
- Virkið viðbragðsáætlanir og viðeigandi starfsfólk
- Ef þið hafið enga sem sinna atvikameðhöndlun þá er hægt að hafa samband við þriðja aðila, sjá hér
- Hver eru smitáhrifin?
- Hefur þetta áhrif á aðeins einn eða marga notendur?
- Hefur notandinn meiri réttindi en hefðbundinn notandi eða er þetta kerfisstjóraaðgangur?
- Er um að ræða eitt eða mörg kerfi?
- Hvert er megin markmið atviksins?
- Fjárkúgun, er verið að krefjast lausnargjalds eftir að brotist hefur verið inn í kerfi og t.d. þau dulkóðuð eða því hótað að leka gögnum?
- Skemmdarverk, er tilgangurinn aðeins til þess að eyðileggja búnað, gögn eða raska þjónustu?
- Þjófnaður, er tilgangurinn að komast yfir gögn eða er verið að stunda njósnir?
- Hver er innbrotsleiðin?
- Er hægt að komast að því hvernig árásaraðilinn komst inn í kerfi í fljótu bragði? Ef ekki, þá er hægt að skoða það síðar í ferlinu
Einangrun
- Mikilvægt er að takmarka skaða með því að t.d. afvirkja sýkta notendaaðganga, taka niður kerfi ef hægt er, rjúfa netsamband eða takmarka netumferð.
- Afritun, greining á orsök atvika byggir á upplýsingum úr kerfum áður en þau eru endurheimt. Ef kostur gefst takið skyndimynd (e. snapshot) af sýktum búnaði eða útstöðvum og varðveitið önnur gögn. Sé ætlunin að leggja fram kæru getur verið nauðsynlegt að varðveita gögn með formlegum hætti
- Látið þjónustuaðila ykkar vita að atvik hafi komið upp þannig að hægt sé að hækka öryggisstig kerfa og virkja viðbragðsáætlanir ef við á
Hreinsun
- Skanna eftir spillikóða
- Hreinsa kerfi og enduruppsetja þau aftur frá grunni eða afritum
- Huga þarf að afritum og ganga úr skugga að þeim hafi ekki verið spillt eða spillikóða komið fyrir í þeim
- Leita eftir óeðlilegri umferð og aðgerðum í kerfum eins og spillivísum svo sem IP tölum tengdum atvikinu og skrám sem tilheyra spillikóðanum t.d. út frá tætigildum (e. hash value)
- Á þessu stigi þarf að reyna að komast að því hvernig árásaraðilinn komst inn í kerfið ef það er ekki komið í ljós. Þetta er nauðsynlegt svo sagan endurtaki sig ekki þegar kerfið hefur verið gert aðgengilegt aftur
- Loka öllum þekktum öryggisholum með uppfærslum eða breyttum stillingum
- Uppfæra kerfi og hugbúnað
Endurheimt
- Prufa og staðfesta að kerfi séu hrein og virki eins og áætlað er
- Koma kerfum aftur upp og gera aðgengileg á skipulagðan hátt
- Fylgjast náið með kerfum eftir að þeim hefur verið komið aftur upp og halda þeirri vöktun áfram í einhvern tíma
Lærdómur
- Rannsaka nánar hvað varð til þess að þetta atvik átti sér stað
- Læra af því sem gerðist og betrumbæta núverandi kerfi og ferla til að koma í veg fyrir að sama atvik geti átt sér stað aftur
- Deilið reynslu og upplýsingum um atvik eins og hægt er meðal jafningja. Það gefur öðrum tækifæri til viðbragðs og getur einnig verið ykkur gagnlegt
- CERT-IS getur verið tengiliður til að deila upplýsingum með öðrum án þess að þær séu tengdar við ykkur
Alvarleikamat
Mikilvægt er að við innleiðingu mats á alvarleika í viðbúnaðaráætlanir séu viðmið um áhrif og umfang aðlöguð með tilliti til reksturs viðkomandi aðila. Þannig sé hlutfall miðað við fjölda viðskiptavini, notenda, rekstrarstöðva eða annað sem við á í hverjum rekstri, en einnig séu viðmiðunarhlutföll stillt til ef nauðsyn krefur. Rökstuðningur fyrir slíkum breytingum ætti að liggja fyrir í áætlun. CERT-IS leggur til eftirfarandi viðmið varðandi mat á alvarleika atviks.
Áhrif á þjónustuveitingu
Atvik eða áhætta sem ógnar nauðsynlegri þjónustu, eins og truflanir, þjónusturof eða öryggis- og virkni vandamál í kerfum, skulu metin út frá umfangi og áhrifum. Þjónusturof er ávallt tilkynningarskylt, á meðan aðrar ógnir eru metnar eftir því hversu umfangsmiklar eða alvarlegar þær eru.
Samkvæmt reglugerð nr. 866/2020 (25. gr. 3. mgr. lið d) skal einnig tilkynna um fyrirsjáanlegar truflanir, svo sem vegna viðhalds, ef þær hafa áhrif á þjónustu annarra mikilvægra innviða.
Áhrif á aðra innviði og starfsemi
Atvik geta haft raunveruleg eða möguleg áhrif á aðra mikilvæga innviði, efnahagslega eða samfélagslega starfsemi, eða stafræna þjónustu. CERT-IS mælir með að tilkynnt sé um atvik sem geta ógnað öðrum rekstraraðilum eða innviðum þjóðfélagsins, jafnvel þótt þau hafi ekki bein áhrif á þann sem tilkynnir.
Lengd atviks
Ef atvik varir lengur en 2 klukkustundir skal færa það upp um flokk. Það þýðir að „Tilkynning heimil“ verður „Tilkynning æskileg,“ og „Tilkynning æskileg“ verður „Tilkynning skylda“
Útbreiðsla atviks
Þegar útbreiðsla atviks er metin, bæði hvað varðar landfræðileg áhrif og fjölda notenda, er miðað við þrjá flokka: lítil (<20%), meðal (20-50%), og veruleg (>50%) útbreiðsla. Mörk þessara flokka má aðlaga að rekstrinum, eftir atvikum. Notendur geta verið viðskiptavinir, starfsmenn eða rekstrarstöðvar, eftir því hvað á við. Atvik sem hafa eða geta haft áhrif yfir landamæri eru ávallt tilkynningarskyld.
