Схемы ответа на инциденты
Узнайте больше о Well-Architected Trust → Security Incident Response
Инциденты безопасности будут происходить, несмотря на превентивные меры. Архитектура Trust требует проектирования для обнаруживаемости, быстрого реагирования, судебно-медицинского исследования и изящного восстановления. Эта страница объединяет схемы реагирования на инциденты из раздела «Ответ на инцидент» Trust, охватывающие архитектуру обнаружения, процедуры реагирования, возможности судебной экспертизы и постинцидентное обучение.
Шаблоны
| Где искать | Как хорошо выглядит |
|---|---|
| Отслеживание событий | ✅ Включить мониторинг событий, собирающий схемы входа, экспорт пакетных данных, изменения полномочий и действия API с маршрутизацией на платформы SIEM для сохранения, превышающего собственные ограничения сохранности |
| Политики безопасности транзакций | ✅ Настройка политик, оценивающих события в режиме реального времени, для блокировки подозрительных действий, требования активной проверки подлинности или запуска уведомлений на основе поведенческих базисов |
| Контрольный журнал настройки | ✅ Отслеживание изменений административной конфигурации, позволяющих обнаруживать несанкционированные изменения с сохранением в течение 180 дней |
| Регистрация настраиваемых приложений | ✅ Внедрение связанного с безопасностью входа событий в Apex, собирающего ошибки проверки подлинности, отказы в авторизации и подозрительные схемы ввода |
| Мониторинг проверки состояния | ✅ Настройка автоматического обнаружения отклонения конфигурации от базовых параметров безопасности, которое может свидетельствовать о несанкционированных изменениях |
| Интеграция SIEM | ✅ Перенаправление журналов мониторинга событий на корпоративные платформы SIEM для корреляции с телеметрией безопасности предприятия и поведенческим анализом |
| Правила предупреждения | ✅ Разработка правил оповещения, определяющих подозрительные схемы (пакетный доступ вне часов работы, вход из новых географий, быстрое расширение полномочий) с поведенческими базисами для минимизации ложных положительных результатов |
| Поведенческая аналитика | ✅ Создание поведенческих базисов, обеспечивающих обнаружение аномалий для необычных объемов доступа к данным, административной активности в нерабочее время и моделей потребления API |
| Многоканалное обнаружение | ✅ Внедрите обнаружение посредством мониторинга событий, безопасности транзакций, контрольного журнала настройки, настраиваемой регистрации и проверки состояния, предоставляющей несколько независимых сигналов обнаружения |
| Неизменяемое хранилище журнала | ✅ Перенаправлять журналы в неизменяемое внешнее хранилище, которое злоумышленники не могут изменить даже при наличии административного доступа Salesforce, обеспечивая целостность доказательств |
Антишаблоны
| Где искать | Как плохо выглядит |
|---|---|
| Только сохранность собственного журнала | ⚠️ Используя только собственные окна хранения контрольного журнала Salesforce (собственные ограничения мониторинга событий, контрольный журнал настройки 180 дней) без внешнего архивирования, обнаружение журналов с истекшим сроком действия, когда расследование требует архивного анализа |
| Отсутствие поведенческих критериев | ⚠️ Отсутствие поведенческих ориентиров для обнаружения аномалий, создание чрезмерных ложно положительных предупреждений, которые обучают группы безопасности игнорировать уведомления |
| Без интеграции SIEM | ⚠️ Отсутствие интеграции корпоративного SIEM, отсутствие возможностей корреляции с телеметрией безопасности из других систем, которая выявила бы более широкие компромиссные схемы |
| Проверка журнала вручную | ⚠️ В зависимости от периодического ручного просмотра журнала, а не автоматического предупреждения, обнаружения инцидентов через несколько недель или месяцев после происшествия, когда повреждения значительны |
| Отсутствие политик безопасности транзакций | ⚠️ Отсутствие политик безопасности транзакций в реальном времени, отсутствие возможности блокировать подозрительные действия, предотвращающие повреждение до его наступления |
| Неполное покрытие | ⚠️ Мониторинг только поднабора событий, связанных с безопасностью (доступ входа, но не доступа к данным, изменения конфигурации, но не изменения полномочий), создающих слепые зоны |
| Усталость предупреждения | ⚠️ Создание избыточных ложно положительных предупреждений без настройки, обучение рабочих групп игнорированию уведомлений, включая законные события безопасности |
Шаблоны
| Где искать | Как хорошо выглядит |
|---|---|
| Границы изоляции | ✅ Создайте архитектуру таким образом, чтобы скомпрометированные компоненты можно было изолировать посредством отзыва набора полномочий, изменений ограничения IP-адресов или завершения сеанса без нарушения важных бизнес-функций |
| Управление сеансами | ✅ Внедрение возможностей быстрого завершения сеанса для скомпрометированных организаций, включая принудительный выход и недействительность сеанса во всех активных сеансах |
| Отмена полномочий | ✅ Предоставьте привилегии посредством наборов полномочий, а не базовых профилей, чтобы отзыв был быстрым: удаление назначения набора полномочий отменяет доступ, если профиль или другое назначение независимо не предоставляет такое же полномочие |
| Ограничения IP-адресов | ✅ Настройте диапазоны IP-адресов входа на уровне профиля для привилегированных организаций, чтобы входы с других адресов были полностью запрещены, включив быструю изоляцию на уровне сети к известным административным расположениям |
| Заморозка организации пользователя | ✅ Внедрение процедур блокировки организаций, предотвращающих проверку подлинности при сохранении данных для исследования без удаления скомпрометированной организации |
| Элементы управления доступом API | ✅ Разработка проверки подлинности API с возможностями отзыва маркера, позволяющими быстро изолировать скомпрометированные организации интеграции |
| Многоорганизационная изоляция | ✅ В случае активов с высокой стоимостью оценка архитектуры нескольких организаций, обеспечивающей наибольшую изоляцию критически важных компонентов по цене повышенной операционной сложности |
| Процедуры аварийного битумного стекла | ✅ Ведение документированных процедур доступа к осколочным стеклам для экстренного административного доступа с аудитом и проверкой после использования |
Антишаблоны
| Где искать | Как плохо выглядит |
|---|---|
| Отсутствие границ изоляции | ⚠️ Отсутствие границ архитектурной изоляции, требующих полного выключения системы для сдерживания любого компромисса, нарушающего все бизнес-функции |
| Чрезмерно мягкий доступ | ⚠️ Предоставление широких полномочий «Изменение всех данных», предотвращающих отмену подробных привилегий без нарушения нескольких бизнес-процессов |
| Общедоступные организации обслуживания | ⚠️ Использование единой общедоступной организации «Пользователь API» или «Пользователь интеграции» в нескольких системах, предотвращающее изоляцию определенной скомпрометированной интеграции без нарушения всех интеграций |
| Отсутствие ограничений IP-адресов | ⚠️ Отсутствие списка разрешенных IP-адресов для привилегированных организаций, отсутствие возможностей сдерживания на уровне сети при компрометации организаций |
| Управление сеансами отсутствует | ⚠️ Отсутствие возможностей завершения сеанса, требующих сброса пароля в качестве единственного способа принудительного выхода, что приводит к задержкам во время критических окон ответа |
| Отсутствие экстренных процедур | ⚠️ Отсутствие документально подтвержденных процедур осколков или аварийного доступа, импровизация важных решений под давлением во время активных инцидентов |
Шаблоны
| Где искать | Как хорошо выглядит |
|---|---|
| Журналы мониторинга событий | ✅ Собирайте подробные журналы действий, включая действия пользователя, вызовы API, события проверки подлинности и схемы доступа к данным с достаточной детализацией для криминалистического анализа |
| Контрольный журнал поля | ✅ Включение функции «Контрольный журнал поля» с сохранением журнала изменений данных для полей «Ограниченные» и «Конфиденциальные» с соответствующими нормативными требованиями к сохранению (поддерживает бессрочное сохранение; подтверждает обязательный период по сравнению с управляющим регламентом) |
| Неизменяемое хранилище | ✅ Перенаправлять журналы во внешнее неизменяемое хранилище, которое злоумышленники не могут изменить, обеспечивая целостность доказательств на протяжении всего расследования |
| Контрольный журнал настройки | ✅ Сохранение журнала изменений административной конфигурации, позволяющего исследовать несанкционированные изменения системы с сохранением в течение 180 дней |
| Оценка области | ✅ Разработка моделей полномочий и средств управления доступом к данным, позволяющих быстро оценивать масштабы воздействия на данные на основе скомпрометированных привилегий организации |
| Корреляция изменения | ✅ Поддерживать корреляцию между изменениями конфигурации контрольного журнала настройки и схемами действий мониторинга событий, позволяющими исследовать методы взлома |
| Регистрация доступа к данным | ✅ Зарегистрировать весь доступ к ограниченным и конфиденциальным данным, позволяющий исследовать данные, открытые во время периода компрометации |
| Контрольный журнал интеграции | ✅ Сбор схем проверки подлинности, авторизации и обмена данными API для интегрированных систем, позволяющих исследовать межсистемный сбой |
| Сохранность доказательств | ✅ постоянно перенаправлять журналы и контрольные журналы в неизменяемое внешнее хранилище, чтобы судебно-медицинские доказательства сохранялись и были доступны при расследовании инцидента; |
Антишаблоны
| Где искать | Как плохо выглядит |
|---|---|
| Мутативное хранилище журнала | ⚠️ Хранение журналов только в системе Salesforce, где злоумышленники с административным доступом могут удалить или изменить криминалистические доказательства |
| Недостаточно сведений о журнале | ⚠️ Сбор событий высокого уровня без достаточной детализации для исследования (логин записан, но не IP-адрес, доступ к данным записан, но не определенные записи) |
| Нет регистрации доступа к данным | ⚠️ Отсутствие подробной регистрации доступа к ограниченным и конфиденциальным данным, невозможность оценить масштабы доступа к данным во время уведомления о взломе |
| Контрольный журнал отсутствующих полей | ⚠️ Не включен контрольный журнал поля для конфиденциальных полей, не удается определить, какие значения данных были открыты во время компрометации |
| Нет корреляции изменений | ⚠️ Отсутствие возможности корреляции между изменениями конфигурации контрольного журнала настройки и последующими схемами действий отслеживания событий |
| Журнал удаленных проверок | ⚠️ Разрешение журналу аудита истечь до минимального срока хранения регламента, наборы регулирующих правил для развертывания, создавая нарушения соответствия |
Шаблоны
| Где искать | Как хорошо выглядит |
|---|---|
| Цели времени восстановления | ✅ Определение и тестирование цели времени восстановления (RTO) и цели точки восстановления (RPO) для сценариев инцидентов безопасности, а не только сценариев аварийного восстановления |
| Протестированные процедуры восстановления | ✅ Процессы восстановления документов для скомпрометированных организаций, пакетного извлечения данных, несанкционированных развертываний, расширения привилегий и компрометации пакета с ежеквартальным тестированием |
| Проверка резервной копии | ✅ Регулярно проверять целостность резервных копий, обеспечивая функционирование возможностей восстановления во время инцидентов безопасности, а не только операционных сбоев |
| Возможности отката | ✅ Разработка ожидаемых продаж с протестированными процедурами отката для несанкционированного развертывания кода или изменения вредоносной конфигурации |
| Ротация регистрационных данных | ✅ Внедрение быстрых процедур ротации регистрационных данных для скомпрометированных организаций интеграции, пользователей API и именованных регистрационных данных |
| Восстановление полномочий | ✅ Документация процедур восстановления надлежащего доступа после слишком широких действий изоляции во время реагирования на инцидент |
| Восстановление данных | ✅ Создание возможностей восстановления данных для устранения повреждения или удаления данных в результате инцидентов безопасности, в отличие от аварийного восстановления |
| Непрерывность обслуживания | ✅ Архитектурные решения, позволяющие поддерживать непрерывность важных бизнес-функций во время расследования и исправления |
| Проверка восстановления | ✅ Ежеквартально тестируйте процедуры восстановления, проверяя корректность функционирования восстановленных систем и отсутствие компромисса посредством восстановления |
Антишаблоны
| Где искать | Как плохо выглядит |
|---|---|
| Непроверенные процедуры | ⚠️ задокументировав процедуры восстановления, которые никогда не тестировались посредством учений, обнаружив в ходе фактических инцидентов, что процедуры не завершены или некорректны |
| Отсутствие RTO/RPO для безопасности | ⚠️ Определение целей времени восстановления только для аварийного восстановления без учета сценариев инцидентов безопасности, требующих разных процедур восстановления |
| Отсутствие возможности отката | ⚠️ Отсутствие процедур отката развертывания для несанкционированных развертываний кода, требующих полной повторной разработки для удаления вредоносных изменений |
| Непроверенные резервные копии | ⚠️ Никогда не тестируйте восстановление резервных копий, обнаруживая во время инцидентов, что резервные копии повреждены или не завершены |
| Нет процедур ротации регистрационных данных | ⚠️ Отсутствие быстрых процедур ротации регистрационных данных для скомпрометированных учетных записей интеграции, оставляющих скомпрометированные регистрационные данные активными во время расследования |
| Процессы восстановления вручную | ⚠️ Полностью зависит от ручных процедур восстановления во время инцидентов, введения ошибок и задержек при критической скорости |
| Нет тестирования восстановления | ⚠️ Никогда не проверяйте корректность восстановленных функций систем после восстановления, потенциального повторного внедрения компрометации или повреждения данных |
Шаблоны
| Где искать | Как хорошо выглядит |
|---|---|
| Компрометированный ответ организации пользователя | ✅ Процедуры документа: заморозка пользователя, принудительный сброс регистрационных данных, просмотр контрольного журнала настройки и журналов доступа к данным на период компромисса, оценка объема доступа к данным, выполнение уведомления о взломе при ограниченном доступе к данным |
| Ответ на извлечение пакетных данных | ✅ Процедуры документа: немедленно отозвать сеанс, ограничить полномочия, определить задействованные записи и уровни классификации, выполнить уведомление о нарушении регламента в пределах временной шкалы наборов регулирующих правил для развертывания |
| Ответ на развертывание несанкционированного кода | ✅ Процедуры документа: немедленное развертывание отката, аудит всех изменений от взломанных регистрационных данных, проверка безопасности ожидаемых продаж на наличие обхода авторизации, сканирование развернутого кода на наличие постоянных бэкдоров |
| Ответ на повышение привилегий | ✅ Процедуры документа: немедленно отменять расширенные привилегии, проводить аудит действий, выполняемых с повышенным доступом, исследовать, как эскалация обошла средства контроля утверждения, внедрить компенсирующие средства контроля |
| Компромиссный ответ пакета AppExchange | ✅ Процедуры документа: изоляция полномочий пакета, оценка данных, доступных посредством пакета, оценка вариантов замены пакета, документирование извлеченных уроков для критериев оценки пакета |
| Сигналы обнаружения | ✅ Настройка мониторинга, определяющего каждый сценарий: аномалии входа для скомпрометированных организаций, объем экспорта отчета для эксфильтрации, мониторинг развертывания для несанкционированного кода, мониторинг изменения полномочий для расширения |
| Упражнения для столешницы | ✅ Проведение настольных упражнений тестирование процедур ответа для сценариев платформы, проверяющих готовность рабочей группы и полноту процедуры |
| Автоматизация ответов | ✅ Политики безопасности транзакций в реальном времени автоматически блокируют подозрительные действия, требуют активной проверки подлинности или уведомляют ответственных по высоконадежным сигналам обнаружения, обеспечивая автоматическую локализацию, сокращающую время ответа |
Антишаблоны
| Где искать | Как плохо выглядит |
|---|---|
| Только общие планы ответов | ⚠️ Наличие только общих процедур реагирования на инциденты без рекомендаций Salesforce, импровизация действий платформы во время активных инцидентов |
| Нет конфигурации обнаружения | ⚠️ Отсутствие мониторинга, настроенного на обнаружение сценариев платформы (пакетный экспорт, повышение привилегий, несанкционированное развертывание), обнаружение инцидентов посредством отчетов или аудитов пользователей |
| Отсутствие упражнений для столешницы | ⚠️ Никогда не проводить настольные упражнения, подтверждающие знание рабочей группой процедур реагирования на платформе, обнаружение пробелов Knowledge во время реальных инцидентов |
| Без автоматизации | ⚠️ Полностью ручное реагирование для всех инцидентов без политик безопасности транзакций в реальном времени для автоматической локализации, вводя задержки, когда немедленная блокировка может уменьшить ущерб |
| Отсутствующие плейбуки ответов | ⚠️ Отсутствие задокументированных сценариев ответов для распространенных сценариев (скомпрометированная организация пользователя, извлечение данных, несанкционированное развертывание кода) |
| Процедуры уведомления об отсутствии нарушений | ⚠️ Отсутствие процедур для требований уведомления о нарушении нормативных актов, попытка понять обязательства во время фактических инцидентов, когда сроки сжаты |
Шаблоны
| Где искать | Как хорошо выглядит |
|---|---|
| Коммуникация за пределами диапазона | ✅ Создание каналов связи, не зависящих от потенциально скомпрометированных систем (телефонные деревья, внешние платформы службы сообщений) для координации реагирования |
| Процедуры расширения | ✅ Пути расширения документа от первичного обнаружения посредством уведомления руководителя с контактными данными и критериями расширения |
| Шаблоны уведомлений | ✅ Ведение предварительно составленных шаблонов уведомлений для типов распространенных инцидентов, обеспечивающих быстрое общение с заинтересованными лицами, клиентами и регулирующими органами |
| Идентификация заинтересованных лиц | ✅ Определение заинтересованных лиц, требующих уведомления для разных типов инцидентов, включая руководителей, юристов, соответствие, затрагиваемых пользователей и контролирующие органы |
| Временные шкалы уведомлений регулятора | ✅ Задокументируйте требования к уведомлениям по регламенту каждой юрисдикции, подтвержденные регламентом развертывания, с процедурами, обеспечивающими своевременное соответствие |
| Внутренняя координация | ✅ Разработка процедур координации инцидентов с указанием ролей и обязанностей (командир инцидента, технический руководитель, коммуникационный интерес, юридическая связь) |
| Внешняя координация | ✅ Разработка процедур для координации, при необходимости, с поддержкой Salesforce, внешними судебными следователями, юридическим консультантом и правоохранительными органами |
| Сообщение о статусе | ✅ Внедрение регулярной каденции связи во время активных инцидентов, информируя заинтересованных лиц без создания чрезмерной группы по расследованию |
Антишаблоны
| Где искать | Как плохо выглядит |
|---|---|
| Отсутствие внешних связей | ⚠️ Полностью зависит от потенциально скомпрометированной электронной почты или внутренних сообщений для координации инцидентов, потеря возможности связи при нарушении основных каналов |
| Неясные пути расширения | ⚠️ Отсутствие задокументированных процедур расширения, что приводит к задержкам и путанице в отношении того, кого и когда следует уведомлять |
| Нет шаблонов уведомлений | ⚠️ Импровизация уведомлений об инцидентах во время активных инцидентов в условиях дефицита времени, что приводит к неполным или некорректным сообщениям |
| Списки отсутствующих заинтересованных лиц | ⚠️ Отсутствие предварительно определенных списков заинтересованных лиц, обнаружение во время инцидентов, что критически важные стороны (юридические, соблюдение, руководители) не были уведомлены |
| Отсутствие осведомленности о временной шкале регулирования | ⚠️ Незнание регламентных сроков уведомлений, применяемых к вашему развертыванию во время реагирования на инциденты, несоблюдение сроков и создание дополнительных нарушений соответствия |
| Неоднозначные роли | ⚠️ наличие неясных ролей и обязанностей реагирования на инциденты, что приводит к путанице в отношении того, кто имеет полномочия принимать решения о локализации |
| Отсутствие процедур внешней координации | ⚠️ Отсутствие налаженных связей или процедур для привлечения службы поддержки Salesforce, судебных следователей или правоохранительных органов, при необходимости |
Шаблоны
| Где искать | Как хорошо выглядит |
|---|---|
| Безупречная культура | ✅ Сосредоточение внимания в ходе обзоров после инцидентов на усовершенствованиях системы, а не на индивидуальной вине, что позволит извлечь организационный опыт, не опасаясь последствий |
| Документация временной шкалы инцидента | ✅ Документирование полной временной шкалы инцидента, включая первичный компромисс, обнаружение, действия ответа и решение с точными временными отметками |
| Анализ сбоев управления | ✅ Определить, какие профилактические и детективные средства контроля не смогли предотвратить или обнаружить инцидент, сообщив о совершенствовании архитектуры |
| Документация по архитектурным недостаткам | ✅ Документация архитектурных недостатков, выявленных инцидентом в записях решений по архитектуре (ADR), собирающих изменения безопасности |
| Приоритизация восстановления | ✅ Приоритизация мер по исправлению положения на основе потенциала снижения риска, устранение коренных причин, а не симптомов |
| Общий доступ к урокам | :: Обмен накопленным опытом между рабочими группами и структурными подразделениями в целях предотвращения аналогичных инцидентов в других подразделениях организации |
| Обновления правил обнаружения | ✅ Обновление правил обнаружения и поведенческих ориентиров на основе методов атаки, наблюдаемых во время расследования |
| Уточнение процедуры ответа | ✅ Обновление процедур реагирования на инциденты на основе того, что работало, а что нет во время фактического реагирования на инцидент |
| Отслеживание показателей | ✅ Отслеживание среднего времени для обнаружения (MTTD), среднего времени для ответа (MTTR) и масштабов влияния в динамике для определения тенденций, требующих архитектурных инвестиций |
| Проверка каденции | ✅ Проведение своевременного обзора после инцидента, пока детали остаются свежими и существует импульс для улучшения |
Антишаблоны
| Где искать | Как плохо выглядит |
|---|---|
| Пропущенные отзывы | ⚠️ Пропуск обзоров после инцидента, переход непосредственно к следующему инциденту без сбора извлеченных уроков или архитектурных усовершенствований |
| Культура вины | ⚠️ Фокусирование проверок после инцидентов на индивидуальной вине, а не на усовершенствованиях системы, что приводит к сокрытию инцидентов и препятствует организационному обучению |
| Архитектурная документация отсутствует | ⚠️ Отсутствие документации изменений архитектуры безопасности, вызванных обучением инцидентов в записях решений по архитектуре (ADR) |
| Лечение симптомов | ⚠️ Устранение только симптомов инцидентов (взлом пароля) без устранения первопричин (отсутствие MFA), что позволяет успешно проводить подобные атаки |
| Без общего доступа к урокам | ⚠️ Хранение обучения инцидентам в группе реагирования, а не общий доступ в организации, что позволяет аналогичные инциденты в других бизнес-единицах |
| Нет обновлений обнаружения | ⚠️ Необновить правила обнаружения или поведенческие базисы на основе наблюдаемых приемов атаки, оставаясь уязвимыми для подобных атак |
| Отсутствие отслеживания показателей | ⚠️ Отсутствие отслеживания среднего времени для обнаружения (MTTD), среднего времени для ответа (MTTR) или тенденций охвата, упущенные возможности для определения системных слабостей |
| Отложенные проверки | ⚠️ Проведение обзоров после инцидента через несколько месяцев после решения инцидента, когда сведения забываются и динамика улучшения теряется |
| Отсутствие коррекции | ⚠️ Выявление улучшений во время проверки после инцидента, но их нереализация, что позволяет повторять подобные инциденты |