Управление подозрениями и инцидентами on Alertix

Общие сведения

Mon, 01 Jan 0001 00:00:00 +0000

Платформа обладает необходимым функционалом для учета и управления жизненным циклом подозрений и инцидентов ИБ. Зарегистрированное подозрение или инцидент называется воркспейсом. Работа с воркспейсами в Платформе производится последовательно. Жизненный цикл воркспейса состоит из следующих стадий, соответствующих статусам:

Созданное (зарегистрированное) подозрение на инцидент ИБ;
Назначенное подозрение на инцидент ИБ;
Квалифицированное (прошедшее первичную проверку на предмет ложноположительного срабатывания) подозрение на инцидент ИБ. Результатом разбора является подтверждение инцидента ИБ, атаки или отнесение подозрения к ложноположительному срабатыванию (фолс);
Расследованный инцидент ИБ;
Решенный инцидент ИБ;
Закрытый инцидент ИБ.

Уровни риска воркспейсов

Mon, 01 Jan 0001 00:00:00 +0000

Воркспейсы для осуществления приоритизации их обработки имеют количественный показатель Риск, преобразуемый в качественное значение метрики Степень опасности.

Показатель опасности является целым числом и может принимать значения от 0 до 100.

Для воркспейсов, созданных в результате работы правил автоматизированного выявления, показатель рассчитывается автоматически по формуле:

Риск = severity х reliability х priority, где множителями являются значения соответствующих параметров, назначенные экспертным образом для каждого правила автоматизированного выявления:

severity – степень потенциальной опасности от 1 до 5; количественная экспертная оценка величины возможного ущерба (1 – незначительный ущерб, 5 – значительный ущерб);
reliability – степень достоверности от 1 до 5; количественная экспертная оценка частоты ложноположительных срабатываний при работе правила (1 – частые ложноположительные срабатывания, 5 – редкие);
priority – степень важности ресурса, который атакован, от 1 до 5; экспертная оценка необходимой срочности контрдействий (1 – низкий приоритет, 5 – необходимы срочные контрдействия).

Список воркспейсов

Mon, 01 Jan 0001 00:00:00 +0000

Воркспейсы могут быть созданы:

автоматически в результате работы правил автоматизированного выявления; подробнее в разделе Общие сведения о правилах;
вручную аналитиком в результате ручного анализа событий или по итогам обращения работников организации.

Выполнение задач управления воркспейсами осуществляется под учетной записью с ролью "Аналитик".

Выберите раздел "Анализ" главного меню интерфейса.

Страница содержит перечень всех зарегистрированных воркспейсов. По умолчанию настроен временной диапазон отображения воркспейсов за последние 7 дней.

Общий вид списка представлен на рисунке ниже.

Создание воркспейсов

Mon, 01 Jan 0001 00:00:00 +0000

Для ручного создания воркспейса нажмите кнопку "Добавить" на странице списка подозрений и инцидентов.

Рисунок 1.

Введите значения параметров:

Название – название произошедшего события, доступное на странице списка воркспейсов и используемое для поиска;
Причина – выберите один из вариантов: "обращение пользователя" или "ручной анализ", осуществленный аналитиком;
Описание – любая информация, которую необходимо быстро зафиксировать. Поле является служебным, его значение используется исключительно аналитиками для сохранения примечаний, нюансов, необходимых действий и другой информации, которую аналитики хотят передать друг другу или сохранить для дальнейшей работы. В режиме Preview можно использовать инструменты редактирования текста либо переключиться в режим Editor.

Объединение подозрений и инцидентов

Mon, 01 Jan 0001 00:00:00 +0000

Воркспейсы могут иметь следующие виды зависимостей:

Последствие – инцидент ИБ или подозрение, являющиеся последствием другого инцидента. Например, "Повышение уровня привилегий" и "Успешный подбор пароля" могут являться последствиями инцидента "Попытка подбора пароля". Количество последствий не ограничено;
Оригинатор – родительский воркспейс, на текущий момент расследования, признанный первым известным шагом в цепочке развития атаки. Количество оригинаторов не ограничено, несмотря на это рекомендуется не использовать сложные зависимости для исключения нежелательных результатов при удалении воркспейсов, являющихся оригинаторами или последствиями для нескольких оригинаторов.

Работа с карточкой воркспейса

Mon, 01 Jan 0001 00:00:00 +0000

Для перехода в режим работы с карточкой воркспейса нажмите кнопку .

Общий вид карточки воркспейса содержит область жизненного цикла и идентификационные сведения как показано на рисунке ниже:

1 – название воркспейса;
2 – область отображения временных метрик обработки воркспейса и управления статусом воркспейса; первое значение показывает интервал между назначением предыдущего и следующего статуса воркспейса; значение в скобках показывает время с момента назначения статуса "Зарегистрирован" до момента назначения того или иного статуса; подробнее в разделе Жизненный цикл воркспейсов;
3 – вкладки, предназначенные для отображения и редактирования детальных сведений карточки воркспейса.

Жизненный цикл воркспейсов

Mon, 01 Jan 0001 00:00:00 +0000

Область отображения и управления статусом воркспейса является интерактивным информационным инструментом.

Рисунок 1.

Область отображает пройденные стадии жизненного цикла. При создании подозрения ему автоматически присваивается статус Создан с датой и временем регистрации подозрения.

Статус Назначен используется для обеспечения возможности работы с воркспейсом несколькими аналитиками одновременно при закрепленной ответственности за соблюдение согласованных временных интервалов обработки подозрения и инцидентов ИБ за конкретным аналитиком.

Для явного закрепления воркспейса за аналитиком (установления статуса Назначен) выполните следующие действия: нажмите на интерактивный элемент в области отображения и управления статусом в карточке воркспейса. В открывшемся окне выберите учетную запись аналитика и нажмите кнопку "Сохранить". В следующем информационном окне появится сообщение о подтверждении операции "Аналитик успешно добавлен".

Зависимости воркспейсов

Mon, 01 Jan 0001 00:00:00 +0000

Возможные типы зависимостей воркспейсов описаны в разделе Объединение подозрений и инцидентов.

Вкладка "Зависимости" карточки воркспейса служит для отображения сведений о воркспейсах, назначенных Оригинаторами или Последствиями. В соответствующих списках выводятся идентификаторы (GUID) связанных воркспейсов:

блок "Оригинаторы" - список guid атак или инцидентов, следствием которых является данный инцидент;
блок "Последствия" - список guid инцидентов, для которых этот инцидент стал причиной.

В процессе анализа фактов должно быть установлено, что является причиной инцидента. Если причиной является успешная атака, например, пользователь открыл письмо, содержащее вредоносное вложение, следует связать инцидент с уже зарегистрированной атакой или открыть процесс регистрации и анализа новой атаки.

Задействованные объекты

Mon, 01 Jan 0001 00:00:00 +0000

На вкладке "Задействованные объекты" необходимо определить область воздействия инцидента, затронут им один ресурс или несколько, добавить записи в индикаторы компрометации.

Для добавления списка ресурсов, затронутых инцидентом, в блоке "Область атаки/инцидента" нажмите на кнопку "Добавить". В открывшемся списке ресурсов в поисковой строке введите запрос и нажмите кнопку "Поиск". В списке отобразятся объекты, соответствующие заданному фильтру.

Выделите ресурс и нажмите "Добавить". Если нужный ресурс отсутствует в БД инвентаризации, его можно создать из этого окна, выбрав операцию "Создать". Процесс добавления сведений об ИТ-активах описан в руководстве администратора Платформы.

Скрипты

Mon, 01 Jan 0001 00:00:00 +0000

Во вкладке отображены те скрипты, которые ранее были связаны с ресурсами или правилами, задействованных в текущем воркспейсе.

Помимо автоматического добавления скриптов в воркспейс также автоматически добавляются параметры запуска скрипта.

Для запуска скрипта нажмите кнопку . Перед запуском Система предложит отредактировать предложенные параметры запуска. Отредактируйте параметры при необходимости и нажмите кнопку "Запустить". Запись о запуска скрипта появится в разделе "История операций". Статус выполнения скрипта изменится на "Выполнен" или "Ошибка". Статус "Не запускался" отображается в случае, если скрипт не запускался.

Источники и описание атаки

Mon, 01 Jan 0001 00:00:00 +0000

В процессе сбора технических деталей (обогащение воркспейса) аналитику необходимо осуществлять заполнение сведений на вкладке "Атака" в карточке воркспейса.

Вкладка "Атака" состоит из следующих областей – "Общая информация", "Источник атаки", "Список зарегистрированных ботнетов" и "Список payloads использованных в атаке".

Область "Общая информация" содержит сведения о дате и времени начала и окончания атаки, типе и способе обнаружения атаки, а также о необходимости наблюдения.

Рисунок 1.

Переход в режим редактирования осуществляется нажатием на кнопку "Редактировать".

Решения по воркспейсам

Mon, 01 Jan 0001 00:00:00 +0000

Вкладка "Решение" карточки воркспейса служит для записи всех действий, необходимых для устранения последствий атаки (инцидента) или предотвращения ее в будущем.

Для добавления решений нажмите на кнопку "Редактировать". В открывшемся окне введите список мер в произвольной форме, включите отправку уведомлений нужным способом. Затем сохраните изменения нажатием на кнопку "Сохранить".

Рисунок 1.

История действий с воркспейсом

Mon, 01 Jan 0001 00:00:00 +0000

Служебная вкладка карточки воркспейса "История операций" содержит историю действий с воркспейсом в табличном виде.

Рисунок 1.

Изменения, вносимые аналитиком, журналируются с фиксацией учетной записи аналитика, выполняющего изменения.

Изменение уровня риска

Mon, 01 Jan 0001 00:00:00 +0000

На вкладке "Базовая информация" карточки воркспейса располагается поле редактирования показателей опасности.

Для всех подозрений, созданных вручную аналитиками, значение уровня риска по умолчанию устанавливается равным 6 (нет опасности, 2 x 2 x 2). Для типа "Подозрение" и "Атака" это значение можно изменить путем изменения значений параметров "Достоверность", "Серьезность", "Приоритет" в редакторе базовой информации (см. раздел Изменение и добавление базовых сведений). Для подозрений, созданных на основе правил автоматизированного выявления, значение показателя рассчитывается. Подробнее об алгоритме присвоения качественной оценки степени опасности и принципах оценки уровня риска в разделе Уровни риска воркспейсов.

Сбор сведений для отправки в НКЦКИ

Mon, 01 Jan 0001 00:00:00 +0000

Процесс обработки воркспейса, подлежащего отправке в НКЦКИ, включает дополнительные действия, которые должны выполняться сразу после подтверждения воркспейса (назначения статуса "Квалифицирован"). Состав этих действий:

Сбор сведений, необходимых для регистрации воркспейса в ЛК ГосСОПКА;
Согласование или отклонение отправки воркспейса в НКЦКИ;
Отправка уведомления об инциденте/атаке/уязвимости в НКЦКИ (регистрация в ЛК ГосСОПКА).

Все действия должны быть выполнены в срок, устанавливаемый рекомендациями и приказами, регулирующими выявление и реагирование на инциденты объектов КИИ.

Воркспейсы, подлежащие отправке, включают две дополнительные стадии жизненного цикла – статусы Готов к отправке и Отправлен в НКЦКИ, которые отображаются в области статуса карточки воркспейса, если он отмечен как воркспейс объекта КИИ. Документ уведомления генерируется из данных, имеющихся в воркспейсе, поэтому рекомендуется сначала полностью закончить расследование.

Удаление воркспейсов

Mon, 01 Jan 0001 00:00:00 +0000

Для удаления открытого воркспейса нажмите в строке воркспейса кнопку на странице "Анализ", затем подтвердите действие, нажав "Удалить".

Воркспейс будет удален, а также упоминания воркспейса из списка оригинаторов-последствий, для которых он таковым указан.

Если необходимо избежать удаления воркспейсов, назначенных последствиями, необходимо перед удалением открытого воркспейса удалить соответствующие зависимости. Подробнее об этом в п. Зависимости воркспейсов.

Для удаления нескольких воркспейсов:

Отметьте нужные записи в списке воркспейсов.
Нажмите кнопку "Массовые операции".
В окне "Управление списком воркспейсов" нажмите "Удалить".

Переход к текущему воркспейсу из профиля пользователя

Mon, 01 Jan 0001 00:00:00 +0000

Если проводится какое-то расследование по инциденту (воркспейс выбран как "текущий"), пользователь может перейти к этому воркспейсу из своего профиля. Для этого необходимо нажать на ссылку своего профиля, затем в открывшемся подменю выберите "Перейти к текущему воркспейсу" (Рисунок 1).

Если рабочий воркспейс не определен (не выбран как "текущий"), ссылка в профиле пользователя не отображается.

Рисунок 1.