Исследователи Solar 4RAYS представили занимательные результаты исследования, выделив основные «боли» реагирования, а главное отразив, как они влияют на расследование инцидента.

Расследование инцидентов - это критически важный подпроцесс управления инцидентами ИБ, направленный на выявление первичного вектора компрометации, минимизацию ущерба и предотвращение подобных инцидентов в будущем.

Эффективность такого расследования во многом зависит от трех ключевых факторов: компетентности команды реагирования, наличия инструментов для анализа и сбора данных, а также согласованности процессов ИБ организации-заказчика в целом.

Последний фактор оказывает существенное влияние на ход расследования, включая точность, полноту и достоверность итоговых результатов расследования.

В частности, отсутствие налаженных ИБ-процессов может привести к изменению ключевых артефактов, затруднить идентификацию источника проникновения и снизить вероятность обнаружения новых IOCs.

В ходе своих расследований Solar 4RAYS неоднократно сталкивалась с такими «препятствиями». Проанализировав их, исследователи решили изложить все проблемы, возникающие в том или ином ИБ-процессе, которые негативно влияют на расследование инцидента.

Классические модели расследования делят процесс реагирования на шесть стадий: подготовку, обнаружение, сдерживание, ликвидацию, восстановление и извлечение уроков.

В реальности взаимодействие между этапами может быть не линейным, поэтому в отчете Солары проанализировали проблемы на трех условных этапах расследования: до расследования инцидента, в процессе и по завершении.

Причем проанализированные проблемы по отдельности не всегда препятствуют расследованию, но в совокупности способны помешать ему или исказить итоговые результаты.

В современных условиях высокого уровня киберугроз системный подход к процессам информационной безопасности является не рекомендацией, а суровой необходимостью.

Каждая организация, независимо от масштаба и отрасли, обязана иметь четкий план действий на случай инцидента. Помимо плана, должны быть налажены процессы управления активами, обучения сотрудников азам ИБ, мониторинга.

Особое внимание следует уделить принципу сохранения цифровых следов, связанных с инцидентом. Они являются ключевыми доказательствами вредоносной активности. Их изменение или утрата могут затруднить процесс исследования и препятствовать точности результатов.

Все это существенно снизит риск инцидента, а в случае его происшествия выстроенные процессы помогут в кратчайшее время провести качественное расследование.

В общем, все «боли» и их негативные последствия - в отчете.