Инцидент ИБ
Простыми словами
Это не любое срабатывание средства защиты. Инцидент означает, что есть основания включить процесс реагирования: разобраться в фактах, ограничить последствия и восстановить безопасную работу.
Как применяется
При разборе фиксируют основания, затронутые активы, масштаб и ответственных. Сохранение доказательств согласуют со срочностью сдерживания: нельзя оставлять продолжающуюся опасную атаку только ради идеального сбора. Юридическую квалификацию и обязанности уведомления определяют отдельно по применимым требованиям.
Пример применения
Выявлен вход с похищенной учётной записью и выгрузка документов. Команда прекращает опасные сеансы, сохраняет журналы, проверяет связанные действия и объём доступа. После смены учётных данных устраняет путь компрометации и наблюдает за восстановленной средой, а не закрывает случай сразу после блокировки.
Не путать с
- Событие безопасностиНаблюдаемый факт; инцидент определяется по контексту и критериям нарушения.
- АлертСигнал о возможной проблеме, который может не подтвердиться.
- Технический сбойНе обязательно инцидент ИБ, но может им стать по последствиям и критериям безопасности.
Как это работает
- Оценить сигналПроверяют факты, затронутые данные и критерии начала реагирования.
- Ограничить последствияСдерживают опасные действия с учётом критичности процесса и доступных доказательств.
- Устранить причиныИсследуют масштаб, убирают присутствие атакующего и закрывают использованный путь.
- Восстановить и разобратьПодтверждают безопасную работу и вносят изменения, предотвращающие повтор.
Продолжить изучение
Связанные термины
Частые вопросы
Бывает: критерии могут включать реальную угрозу нарушения и нарушения правил безопасности.
Каждый алерт регистрировать как подтверждённый?Нет. Сохраняют различие между сигналом, проверкой и установленным инцидентом.
Кому обязательно сообщать?Это зависит от системы, данных и применимых требований. Универсальный список адресатов для всех случаев некорректен.