Análise de incidentes de segurança

Uma investigação estruturada de incidentes de segurança, das identidades à deteção, com um relatório de diagnóstico.

Executar: Análise de incidentes de segurança

Identidades e acessos, postos de trabalho e servidores, segurança de rede, dados e correio eletrónico, deteção e resposta. Para cada área envolvida, indica os seus dados técnicos, os problemas observados e os testes falhados ou bem-sucedidos, e depois ordena os problemas por urgência. O entregável relaciona as evidências, confronta cada causa provável com os seus testes (um teste falhado reforça-a, um teste bem-sucedido afasta-a) e, começando pelo seu problema mais urgente, dá o caminho de investigação, a análise da causa raiz, a melhor correção imediata e a ação corretiva a decidir.

Conteúdo

1. Correlação das evidências
2. Priorização dos problemas
3. Hipóteses de causa raiz
4. Caminho de investigação ideal
5. Resolução problema a problema
6. Informação de diagnóstico em falta

O que indica

Áreas envolvidas — As áreas afetadas pelo incidente.
Contas e credenciais — Contas afetadas, conta privilegiada envolvida, MFA ativada, e depois os problemas observados e os testes realizados.
Acesso privilegiado — Sistemas afetados, alterações de privilégios observadas, ferramenta PAM implementada, e depois os problemas observados e os testes realizados.
5 opções — Um componente não listado acima: o seu nome, função, fornecedor e configuração, e depois os problemas observados e os testes realizados.
Componente adicional (identidades e acessos), Componente adicional (postos de trabalho e servidores), Componente adicional (segurança de rede), Componente adicional (dados e correio eletrónico), Componente adicional (deteção e resposta)
Malware / ransomware — Hosts afetados, EDR / antivírus, nome da deteção, e depois os problemas observados e os testes realizados.

Análise de incidentes de segurança

Uma investigação estruturada de incidentes de segurança, das identidades à deteção, com um relatório de diagnóstico.

Executar: Análise de incidentes de segurança

Conteúdo

1. Correlação das evidências
2. Priorização dos problemas
3. Hipóteses de causa raiz
4. Caminho de investigação ideal
5. Resolução problema a problema
6. Informação de diagnóstico em falta

O que indica

Áreas envolvidas — As áreas afetadas pelo incidente.
Contas e credenciais — Contas afetadas, conta privilegiada envolvida, MFA ativada, e depois os problemas observados e os testes realizados.
Acesso privilegiado — Sistemas afetados, alterações de privilégios observadas, ferramenta PAM implementada, e depois os problemas observados e os testes realizados.
5 opções — Um componente não listado acima: o seu nome, função, fornecedor e configuração, e depois os problemas observados e os testes realizados.
Componente adicional (identidades e acessos), Componente adicional (postos de trabalho e servidores), Componente adicional (segurança de rede), Componente adicional (dados e correio eletrónico), Componente adicional (deteção e resposta)
Malware / ransomware — Hosts afetados, EDR / antivírus, nome da deteção, e depois os problemas observados e os testes realizados.

Vulnerabilidades e exploits — Ativo exposto, CVE, exposto à Internet, e depois os problemas observados e os testes realizados.

Perímetro e firewall — Firewall / fornecedor, IP de origem suspeitos, portas de destino, e depois os problemas observados e os testes realizados.

Movimento lateral e C2 — Hosts implicados, protocolos, destinos externos (suspeita de C2), e depois os problemas observados e os testes realizados.

Exposição de dados — Tipos de dados, registos afetados, onde os dados foram expostos, e depois os problemas observados e os testes realizados.

Correio eletrónico e phishing — Remetente, assunto, destinatários, e depois os problemas observados e os testes realizados.

Deteção e alertas — Origem do alerta, nome do alerta, primeira deteção, e depois os problemas observados e os testes realizados.

Registo e análise forense — Fontes de registos disponíveis, retenção, lacunas nos registos, e depois os problemas observados e os testes realizados.

Priorização dos problemas — A análise investiga os problemas por esta ordem, ponderada pelo seu impacto no negócio.