Рекомендации по работе с карточкой инцидента ИБ

Общий порядок действий при обнаружении инцидента ИБ выглядит следующим образом.

Рисунок 1. Порядок действий при обнаружении инцидента ИБ

При обнаружении инцидента ИБ необходимо зарегистрировать его, создав карточку инцидента с первоначальной информацией об инциденте в соответствии со стандартами, принятыми в вашей организации. По мере реагирования и расследования инцидента карточка дополняется новой информацией.

Полностью заполненная карточка инцидента ИБ может выглядеть следующим образом:

После регистрации инцидента необходимо внести в карточку информацию, которой вы располагаете на текущий момент. Такой информацией может быть:

• время возникновения инцидента;
• продолжительность инцидента;
• источник вредоносного воздействия;
• атакованные ресурсы;
• средство обнаружения;
• описание инцидента;
• тактики и техники MITRE ATT&CK.

После заполнения указанных полей необходимо провести анализ имеющейся в карточке информации. На основании проведенного анализа необходимо присвоить инциденту уровень опасности и выбрать подходящий плейбук реагирования.

Помимо общей информации об инциденте, в карточку должна быть внесена информация, получаемая в процессе реагирования и расследования. К такой информации относятся:

• связь с недопустимым событием;
• скомпрометированные данные;
• связь с другими инцидентами;
• меры по реагированию на инцидент;
• время реагирования на инцидент.

После того как реагирование на инцидент будет закончено, необходимо провести расследование причин возникновения инцидента. По результатам такого расследования должны быть выработаны меры повышения защищенности, исключающие появление аналогичных инцидентов в будущем. Такие меры включаются в карточку инцидента. После этого карточка инцидента закрывается, а информация из нее может быть использована для последующего анализа и расследования аналогичных инцидентов или для усиления системы защиты информации.