Répondant à une violation de sécurité réseau - mannequins

Peu importe votre prudence et la sécurité de vos systèmes, de mauvaises choses se produisent. Les composants électroniques échouent. Le logiciel peut être trouvé pour être buggé. Les gens font des fautes. Et, parfois, les gens font des méfaits avec l'intention de nuire au réseau. La nature peut affecter si votre réseau fonctionne ou non. Toutes ces situations exigent que vous répondiez à l'urgence à portée de main rapidement et efficacement.

Appelez l'équipe SWAT, um, CERT

La meilleure façon de vous préparer à une urgence de sécurité réseau est d'avoir un CERT en place. CERT signifie Équipe d'intervention en cas d'urgence informatique (ou CIRT, Équipe d'intervention en cas d'incident informatique) - une équipe que vous avez créée pour gérer les urgences au sein de votre organisation. De quelque manière que vous l'épelez, ce sont les Ghostbusters des réseaux informatiques; ils trouvent les mauvaises choses et les extirpent.

Le modèle opérationnel d'une équipe d'intervention en cas d'urgence informatique est de répondre aux urgences de la même manière que les pompiers et la police. Ils répondent, identifient la situation, isolent la zone et vont travailler. Et parce que personne ne sait jamais combien de temps il faudra pour contenir une situation d'urgence, ils travaillent souvent pendant de longues heures, sous un stress énorme.

Les CERT sont constitués de personnes hautement qualifiées, dont les domaines d'expertise varient, mais qui sont formées de manière polyvalente pour couvrir toute éventualité. Ces membres de l'équipe doivent

• Ayez une connaissance approfondie de la gestion de réseau, des systèmes d'exploitation et des applications afin de pouvoir reconnaître quand quelque chose ne va pas.
• Etre capable d'identifier les virus et les techniques d'éradication.
• Connaître la technique de piratage et les vulnérabilités du système
• Utilisez de nombreux outils réseau multiplateformes. Certains de ces outils sont en fait des outils de piratage et d'autres sont utilisés pour découvrir des intrusions dans le système …
• Etre capable de travailler en équipe et être cool sous pression.
• Etre capable de communiquer avec d'autres personnes qui n'ont pas un niveau de compréhension aussi élevé qu'eux. Ceci est important pour être en mesure de donner des rapports d'état et de recommander des changements dans la sécurité pour empêcher d'autres occurrences.

Parce que les membres de l'équipe CERT sont si hautement qualifiés, une entreprise ne peut pas se permettre d'embaucher une équipe CERT juste pour rester assise pendant des mois sans rien faire. Les membres de l'équipe ont généralement des emplois à temps plein en dehors de l'intervention d'urgence. Ils occupent rarement plus que des postes de supervision ou de gestion intermédiaire. Cependant, lorsqu'ils répondent à une situation critique, ils doivent avoir l'autorité et l'autonomie nécessaires pour prendre des décisions de niveau exécutif.La vie de votre entreprise peut dépendre de décisions rapides.

Vous devriez avoir une section dans votre document sur les politiques et les procédures de sécurité qui décrit les arrangements de votre entreprise pour un CERT, que ce soit en interne ou sous-traité. Les rôles et les responsabilités devraient être clairement énoncés ainsi que les personnes qui devraient appeler l'équipe à l'action et quand elles devraient être appelées.

Répondre de manière responsable

Votre réseau a été comique ces derniers temps ou vous avez vu des choses étranges qui vous font croire qu'un intrus se trouve dans votre réseau. Le premier point à l'ordre du jour est Ne paniquez pas! Appelez votre CERT dès que possible. Les chances sont que l'intrus a été là depuis un certain temps, mais c'est juste la première fois que vous avez remarqué. Les intrus sont comme des infestations de cafards - ils ne se produisent pas du jour au lendemain. Le CERT prendra son temps et travaillera systématiquement pour se débarrasser de la nuisance. Et à moins qu'ils ne remarquent que les fichiers de vos serveurs sont détruits à un rythme alarmant, ils ne fermeront pas votre réseau.

Vous devez effectuer quelques étapes de base avant que le CERT n'arrive et commence à fonctionner. Ces étapes peuvent varier légèrement dans l'ordre, selon la situation. Par exemple, dans certains cas, vous pouvez appeler le CERT avant d'en informer les cadres de l'entreprise, car il est plus important que l'équipe travaille en premier. Dans tous les cas, faites toutes les étapes suivantes et n'omettez rien. Tout d'abord, cependant - Ne pas éteindre ou redémarrer les systèmes. Cela pourrait entraver le processus de récupération.

1. Commencez à prendre des notes.

Ne commencez pas à taper des commandes comme des fous en essayant de trouver l'intrus. Laissez le CERT faire cela. Il est plus important à ce stade que vous obteniez un nouveau cahier et notiez tout ce que vous avez remarqué et ce que vous avez fait. Il est très important que vous enregistriez l'heure et la date de tout. Ce cahier peut devenir une preuve cruciale dans les procédures judiciaires plus tard.

2. Avertissez la haute direction.

N'envoyez pas de messages électroniques car ils pourraient donner un pourboire à l'intrus. J'espère que vous avez préparé une feuille d'appel à l'avance avec les noms et numéros de téléphone de ceux qui ont besoin de savoir. Le moyen le plus efficace de gérer la notification est que vous appeliez deux personnes et que vous les invoquiez ensuite dans le reste de la liste. Sinon, vous pourriez passer des heures au téléphone à expliquer la situation à des dizaines de personnes. Le temps est précieux et devrait être consacré à l'urgence - pas à la main.

3. Appelez dans votre CERT.

Faites cela tranquillement et sans fanfare. Vous ne voulez pas que le travail de toute l'entreprise s'arrête parce que vous avez appelé une alarme générale. Quand le CERT arrive, informez-les et laissez-les tranquilles pour faire leur travail.

4. Appliquer une politique de «besoin de savoir».

Ne dites pas aux employés que quelque chose se passe à moins qu'ils aient vraiment besoin de savoir. L'intrus peut avoir un complice interne, ou il peut s'agir d'une fausse alerte et non d'une intrusion. Vous ne voulez pas que les potins fainéants sortent du bureau pour vos clients, la presse ou vos concurrents.Vous pouvez toujours dire que l'entreprise connaît des «problèmes de réseau», car la plupart des gens accepteront cette explication sans autres questions.

5. Quelqu'un dans l'entreprise devrait être le point de contact au cas où le public prend conscience de la situation.

Si vous avez un département de relations publiques, c'est leur travail. Vous ne voulez pas d'une tempête médiatique, donc seulement la ou les personnes nommées sont autorisées à parler à la presse et aux clients. Parfois, un incident n'est pas un incident mais une mauvaise configuration dans le réseau. Rappelez à la presse et au public que les choses ne sont pas toujours ce qu'elles semblent être.

6. Soutenez votre CERT.

Ils travaillent probablement de longues heures sans interruption. Assurez-vous qu'ils reçoivent des repas et des rafraîchissements. (Cela peut signifier plus que des cokes et des friandises.) Si des membres de l'équipe de secours sont nécessaires, mettez-les en alerte et établissez un horaire de travail. Appliquer le calendrier, aussi. De nombreux membres de l'équipe seront réticents à abandonner leurs postes, mais ils peuvent facilement s'éteindre après un jour ou deux. Si l'équipe a besoin de plus d'équipement, tels que des lecteurs de disque de rechange et des périphériques réseau, obtenez-les rapidement.

7. Contactez votre service juridique.

Faites-leur connaître la situation. Ils peuvent décider si des lois ont été enfreintes. S'ils vous conseillent de contacter les forces de l'ordre, faites-le.

8. Mener des réunions d'information et des réunions après le nettoyage.

Dites à tout le monde ce qui s'est passé et pourquoi et ce que vous pouvez / avez / allez faire pour vous assurer que cela ne se reproduise plus. Ne pointez pas les doigts; apprends de tes erreurs.

Ne vous méprenez pas sur le fait que ce sera une affaire stressante pour beaucoup et que les colères peuvent et vont flamber. Ne tombez pas dans le piège d'être si pris au moment où vous oubliez ce que vous êtes censé faire.