Управление подозрениями и инцидентами on Alertix

Общие сведения

Mon, 01 Jan 0001 00:00:00 +0000

Платформа обладает необходимым функционалом для учета и управления жизненным циклом подозрений и инцидентов ИБ. Зарегистрированное подозрение или инцидент называется воркспейсом. Работа с воркспейсами в Платформе производится последовательно. Жизненный цикл воркспейса состоит из следующих стадий, соответствующих статусам:

Созданное (зарегистрированное) подозрение на инцидент ИБ;
Назначенное подозрение на инцидент ИБ;
Квалифицированное (прошедшее первичную проверку на предмет ложноположительного срабатывания) подозрение на инцидент ИБ. Результатом разбора является подтверждение инцидента ИБ, атаки или отнесение подозрения к ложноположительному срабатыванию (фолс);
Расследованный инцидент ИБ;
Решенный инцидент ИБ;
Закрытый инцидент ИБ.

Уровни риска воркспейсов

Mon, 01 Jan 0001 00:00:00 +0000

Воркспейсы для осуществления приоритизации их обработки имеют количественный показатель Риск, преобразуемый в качественное значение метрики Степень опасности.

Показатель опасности является целым числом и может принимать значения от 0 до 100.

Для воркспейсов, созданных в результате работы правил автоматизированного выявления, показатель рассчитывается автоматически по формуле:

Риск = severity х reliability х priority, где множителями являются значения соответствующих параметров, назначенные экспертным образом для каждого правила автоматизированного выявления:

severity – степень потенциальной опасности от 1 до 5; количественная экспертная оценка величины возможного ущерба (1 – незначительный ущерб, 5 – значительный ущерб);
reliability – степень достоверности от 1 до 5; количественная экспертная оценка частоты ложноположительных срабатываний при работе правила (1 – частые ложноположительные срабатывания, 5 – редкие);
priority – степень важности ресурса, который атакован, от 1 до 5; экспертная оценка необходимой срочности контрдействий (1 – низкий приоритет, 5 – необходимы срочные контрдействия).

Список воркспейсов

Mon, 01 Jan 0001 00:00:00 +0000

Воркспейсы могут быть созданы:

автоматически в результате работы правил автоматизированного выявления; подробнее в разделе Общие сведения о правилах;
вручную аналитиком в результате ручного анализа событий или по итогам обращения работников организации.

Выполнение задач управления воркспейсами осуществляется в интерфейсе администрирования Платформы. Для доступа к интерфейсу администратора в адресной строке браузера введите ссылку входа в интерфейс. Появится приглашение с предложением ввести имя пользователя и пароль.

Рисунок 1.

Используйте для входа учетную запись с назначенной ролью «Аналитик». Если у вас отсутствует учетная запись с необходимой ролью, обратитесь к администратору Платформы для предоставления учетной записи с ролью «Аналитик». После успешного прохождения процедур идентификации и аутентификации откроется интерфейс администрирования платформы, содержащий главное меню и функциональные области, соответствующие выбранному элементу меню.

Создание воркспейсов

Mon, 01 Jan 0001 00:00:00 +0000

Для ручного создания воркспейса нажмите кнопку «Добавить» на странице списка подозрений и инцидентов.

Рисунок 1.

Введите значения параметров:

Название – название произошедшего события, доступное на странице списка воркспейсов и используемое для поиска;
Причина – выберите один из вариантов: «обращение пользователя» или «ручной анализ», осуществленный аналитиком;
Описание – любая информация, которую необходимо быстро зафиксировать. Поле является служебным, его значение используется исключительно аналитиками для сохранения примечаний, нюансов, необходимых действий и другой информации, которую аналитики хотят передать друг другу или сохранить для дальнейшей работы. В режиме Preview можно использовать инструменты редактирования текста либо переключиться в режим Editor.

Объединение подозрений и инцидентов

Mon, 01 Jan 0001 00:00:00 +0000

Воркспейсы могут иметь следующие виды зависимостей:

Последствие – инцидент ИБ или подозрение, являющиеся последствием другого инцидента. Например, «Повышение уровня привилегий» и «Успешный подбор пароля» могут являться последствиями инцидента «Попытка подбора пароля». Количество последствий не ограничено;
Оригинатор – родительский воркспейс, на текущий момент расследования, признанный первым известным шагом в цепочке развития атаки. Количество оригинаторов не ограничено, несмотря на это рекомендуется не использовать сложные зависимости для исключения нежелательных результатов при удалении воркспейсов, являющихся оригинаторами или последствиями для нескольких оригинаторов.

Работа с карточкой воркспейса

Mon, 01 Jan 0001 00:00:00 +0000

Для перехода в режим работы с карточкой воркспейса нажмите кнопку .

Общий вид карточки воркспейса содержит область жизненного цикла и идентификационные сведения как показано на рисунке ниже:

1 – название воркспейса;
2 – область отображения временных метрик обработки воркспейса и управления статусом воркспейса; первое значение показывает интервал между назначением предыдущего и следующего статуса воркспейса; значение в скобках показывает время с момента назначения статуса «Зарегистрирован» до момента назначения того или иного статуса; подробнее в разделе Жизненный цикл воркспейсов;
3 – вкладки, предназначенные для отображения и редактирования детальных сведений карточки воркспейса.

Жизненный цикл воркспейсов

Mon, 01 Jan 0001 00:00:00 +0000

Область отображения и управления статусом воркспейса является интерактивным информационным инструментом.

Рисунок 1.

Область отображает пройденные стадии жизненного цикла. При создании подозрения ему автоматически присваивается статус Создан с датой и временем регистрации подозрения.

Статус Назначен используется для обеспечения возможности работы с воркспейсом несколькими аналитиками одновременно при закрепленной ответственности за соблюдение согласованных временных интервалов обработки подозрения и инцидентов ИБ за конкретным аналитиком.

Для явного закрепления воркспейса за аналитиком (установления статуса Назначен) выполните следующие действия: нажмите на интерактивный элемент в области отображения и управления статусом в карточке воркспейса. В открывшемся окне выберите учетную запись аналитика и нажмите кнопку «Сохранить». В следующем информационном окне появится сообщение о подтверждении операции «Аналитик успешно добавлен».

Создание роли

Mon, 01 Jan 0001 00:00:00 +0000

По умолчанию только пользователи с ролью «Администратор ИБ» могут закрывать воркспейсы.

Чтобы у пользователей без роли «Администратор ИБ» была возможность закрывать воркспейс, необходимо создать и назначить соответствующую роль.

Перейдите в Обслуживание > Роли и пользователи > Роли и нажмите кнопку «Создать роль». Укажите название роли и в поле «Область видимости» выберите роль «Аналитик». Установите переключатель Разрешение на закрытие и удаление инцидентов в положение «Вкл.» и нажмите «Создать роль».

Зависимости воркспейсов

Mon, 01 Jan 0001 00:00:00 +0000

Возможные типы зависимостей воркспейсов описаны в разделе Объединение подозрений и инцидентов.

Вкладка «Зависимости» карточки воркспейса служит для отображения сведений о воркспейсах, назначенных Оригинаторами или Последствиями. В соответствующих списках выводятся идентификаторы (GUID) связанных воркспейсов:

блок «Оригинаторы» - список guid атак или инцидентов, следствием которых является данный инцидент;
блок «Последствия» - список guid инцидентов, для которых этот инцидент стал причиной.

В процессе анализа фактов должно быть установлено, что является причиной инцидента. Если причиной является успешная атака, например, пользователь открыл письмо, содержащее вредоносное вложение, следует связать инцидент с уже зарегистрированной атакой или открыть процесс регистрации и анализа новой атаки.

Задействованные объекты

Mon, 01 Jan 0001 00:00:00 +0000

На вкладке «Задействованные объекты» необходимо определить область воздействия инцидента, затронут им один ресурс или несколько, добавить записи в индикаторы компрометации.

Для добавления списка ресурсов, затронутых инцидентом, в блоке «Область атаки/инцидента» нажмите на кнопку «Добавить». В открывшемся списке ресурсов в поисковой строке введите запрос и нажмите кнопку «Поиск». В списке отобразятся объекты, соответствующие заданному фильтру.

Выделите ресурс и нажмите «Добавить». Если нужный ресурс отсутствует в БД инвентаризации, его можно создать из этого окна, выбрав операцию «Создать». Процесс добавления сведений об ИТ-активах описан в руководстве администратора Платформы.

Скрипты

Mon, 01 Jan 0001 00:00:00 +0000

Во вкладке отображены те скрипты, которые ранее были связаны с ресурсами или правилами, задействованных в текущем воркспейсе.

Помимо автоматического добавления скриптов в воркспейс также автоматически добавляются параметры запуска скрипта.

Для запуска скрипта нажмите кнопку . Перед запуском Система предложит отредактировать предложенные параметры запуска. Отредактируйте параметры при необходимости и нажмите кнопку «Запустить». Запись о запуска скрипта появится в разделе «История операций». Статус выполнения скрипта изменится на «Выполнен» или «Ошибка». Статус «Не запускался» отображается в случае, если скрипт не запускался.

Источники и описание атаки

Mon, 01 Jan 0001 00:00:00 +0000

В процессе сбора технических деталей (обогащение воркспейса) аналитику необходимо осуществлять заполнение сведений на вкладке «Атака» в карточке воркспейса.

Вкладка «Атака» состоит из следующих областей – «Общая информация», «Источник атаки», «Список зарегистрированных ботнетов» и «Список payloads использованных в атаке».

Область «Общая информация» содержит сведения о дате и времени начала и окончания атаки, типе и способе обнаружения атаки, а также о необходимости наблюдения.

Рисунок 1.

Переход в режим редактирования осуществляется нажатием на кнопку «Редактировать».

Решения по воркспейсам

Mon, 01 Jan 0001 00:00:00 +0000

Вкладка «Решение» карточки воркспейса служит для записи всех действий, необходимых для устранения последствий атаки (инцидента) или предотвращения ее в будущем.

Для добавления решений нажмите на кнопку «Редактировать». В открывшемся окне введите список мер в произвольной форме, включите отправку уведомлений нужным способом. Затем сохраните изменения нажатием на кнопку «Сохранить».

Рисунок 1.

История действий с воркспейсом

Mon, 01 Jan 0001 00:00:00 +0000

Служебная вкладка карточки воркспейса «История операций» содержит историю действий с воркспейсом в табличном виде.

Рисунок 1.

Изменения, вносимые аналитиком, журналируются с фиксацией учетной записи аналитика, выполняющего изменения.

Изменение уровня риска

Mon, 01 Jan 0001 00:00:00 +0000

На вкладке «Базовая информация» карточки воркспейса располагается поле редактирования показателей опасности.

Для всех подозрений, созданных вручную аналитиками, значение уровня риска по умолчанию устанавливается равным 6 (нет опасности, 2 x 2 x 2). Для типа «Подозрение» и «Атака» это значение можно изменить путем изменения значений параметров «Достоверность», «Серьезность», «Приоритет» в редакторе базовой информации (см. раздел Изменение и добавление базовых сведений). Для подозрений, созданных на основе правил автоматизированного выявления, значение показателя рассчитывается. Подробнее об алгоритме присвоения качественной оценки степени опасности и принципах оценки уровня риска в разделе Уровни риска воркспейсов.

Сбор сведений для отправки в НКЦКИ

Mon, 01 Jan 0001 00:00:00 +0000

Процесс обработки воркспейса, подлежащего отправке в НКЦКИ, включает дополнительные действия, которые должны выполняться сразу после подтверждения воркспейса (назначения статуса «Квалифицирован»). Состав этих действий:

Сбор сведений, необходимых для регистрации воркспейса в ЛК ГосСОПКА;
Согласование или отклонение отправки воркспейса в НКЦКИ;
Отправка уведомления об инциденте/атаке/уязвимости в НКЦКИ (регистрация в ЛК ГосСОПКА).

Все действия должны быть выполнены в срок, устанавливаемый рекомендациями и приказами, регулирующими выявление и реагирование на инциденты объектов КИИ.

Воркспейсы, подлежащие отправке, включают две дополнительные стадии жизненного цикла – статусы Готов к отправке и Отправлен в НКЦКИ, которые отображаются в области статуса карточки воркспейса, если он отмечен как воркспейс объекта КИИ. Документ уведомления генерируется из данных, имеющихся в воркспейсе, поэтому рекомендуется сначала полностью закончить расследование.

Удаление воркспейсов

Mon, 01 Jan 0001 00:00:00 +0000

Для удаления открытого воркспейса нажмите в строке воркспейса кнопку на странице «Анализ», затем подтвердите действие, нажав «Удалить».

Воркспейс будет удален, а также упоминания воркспейса из списка оригинаторов-последствий, для которых он таковым указан.

Если необходимо избежать удаления воркспейсов, назначенных последствиями, необходимо перед удалением открытого воркспейса удалить соответствующие зависимости. Подробнее об этом в п. Зависимости воркспейсов.

Для удаления нескольких воркспейсов:

Отметьте нужные записи в списке воркспейсов.
Нажмите кнопку «Массовые операции».
В окне «Управление списком воркспейсов» нажмите «Удалить».

Переход к текущему воркспейсу из профиля пользователя

Mon, 01 Jan 0001 00:00:00 +0000

Если проводится какое-то расследование по инциденту (воркспейс выбран как «текущий»), пользователь может перейти к этому воркспейсу из своего профиля. Для этого необходимо нажать на ссылку своего профиля, затем в открывшемся подменю выберите «Перейти к текущему воркспейсу» (Рисунок 1).

Если рабочий воркспейс не определен (не выбран как «текущий»), ссылка в профиле пользователя не отображается.

Рисунок 1.