Incidentsvarsmönster

Lär dig mer om Well-Architected Trust → Säkerhetsincidenthantering

Säkerhetsincidenter kommer att inträffa trots förebyggande åtgärder. Trust arkitektur kräver design för upptäckbarhet, snabb respons, kriminalteknisk undersökning och elegant återställning. Denna sida slår samman incidentsvarsmönster från Trust pelarens sektion Incidentsvar, som täcker detektionsarkitektur, svarsprocesser, kriminalteknik och utbildning efter incident.

Mönster

Var man ska leta	Hur bra ser ut
Händelseövervakning	✅ Aktivera händelseövervakning för att samla in inloggningsmönster, massdataexporter, behörighetsändringar och API-aktivitet med dirigering till SIEM-plattformar för lagring som överskrider inbyggda lagringsgränser
Transaktionssäkerhetspolicyer	✅ Konfigurera policyer som utvärderar händelser i realtid för att blockera misstänkta åtgärder, kräva utökad autentisering eller utlösa notiser baserat på beteendebaslinjer
Granskningslogg för inställningar	✅ Övervaka administrativa konfigurationsändringar som möjliggör upptäckt av oauktoriserade ändringar med 180-dagars lagring
Loggning av eget program	✅ Implementera säkerhetsrelevant händelseloggning i Apex för att samla in autentiseringsfel, auktoriseringsavslag och misstänkta inmatningsmönster
Hälsokontrollövervakning	✅ Konfigurera automatiserad upptäckt av konfigurationsdrift från säkerhetsbaslinjer som kan indikera oauktoriserade ändringar
SIEM-integrering	✅ Dirigera händelseövervakningsloggar till företagets SIEM-plattformar för korrelation med företagets säkerhetstelemetri och beteendeanalys
Varningsregler	✅ Utforma varningsregler som upptäcker misstänkta mönster (massåtkomst utanför öppettiderna, inloggning från nya geografiska områden, snabb behörighetsomflyttning) med beteendemässiga baslinjer för att minimera falska positiva
Behavioral Analytics	✅ Etablera beteendemässiga baslinjer som möjliggör upptäckt av avvikelser för ovanliga dataåtkomstvolymer, administrativ aktivitet utanför arbetstid och API-användningsmönster
Flerkanalsdetektering	✅ Implementera upptäckt genom händelseövervakning, transaktionssäkerhet, inställningsgranskningslogg, egen loggning och hälsokontroll som ger flera oberoende detekteringssignaler
Oföränderlig logglagring	✅ Dirigera loggar till oföränderligt externt lagringsutrymme som hackers inte kan ändra även med administrativ Salesforce-åtkomst, vilket säkerställer kriminalteknisk bevisintegritet

Antimönster

Var man ska leta	Hur dåligt ser ut
Endast inbyggd logglagring	⚠️ Förlita sig endast på inbyggda Salesforce-granskningslogglagringsfönster (inbyggda gränser för händelseövervakning, 180 dagar Inställning av granskningslogg) utan extern arkivering, upptäcka loggar som löpt ut när utredningen kräver historisk analys
Inga beteendebaslinjer	⚠️ Har inga beteendemässiga baslinjer för upptäckt av avvikelser, vilket skapar överdrivna falska positiva varningar som utbildar säkerhetsteam att ignorera notiser
Ingen SIEM-integrering	⚠️ Bristande SIEM-integrering för företag, saknade korrelationsmöjligheter med säkerhetstelemetri från andra system som skulle avslöja bredare kompromissmönster
Manuell logggranskning	⚠️ Beroende på periodisk manuell logggranskning snarare än automatiserad varning, upptäcka incidenter veckor eller månader efter förekomst när skadorna är omfattande
Inga transaktionssäkerhetspolicyer	⚠️ Har inga transaktionssäkerhetspolicyer i realtid, saknar kapacitet att blockera misstänkta åtgärder för att förhindra skador innan de inträffar
Ofullständig täckning	⚠️ Övervaka endast underuppsättningar av säkerhetsrelevanta händelser (inloggning men inte dataåtkomst, konfigurationsändringar men inte behörighetsändringar) som skapar blinda fläckar
Varningströtthet	⚠️ Skapa överdrivna falska positiva varningar utan att finjustera, utbilda team för att ignorera notiser inklusive legitima säkerhetshändelser

Mönster

Var man ska leta	Hur bra ser ut
Isoleringsgränser	✅ Utforma arkitektur så att komprometterade komponenter kan isoleras genom återkallande av behörighetsuppsättning, IP-begränsningsändringar eller sessionsavbrott utan att störa viktiga verksamhetsfunktioner
Sessionshantering	✅ Implementera snabb sessionsavslut kapacitet för komprometterade konton inklusive tvinga utloggning och sessionsvalidering över alla aktiva sessioner
Behörighetsåterkallande	✅ Bevilja privilegier genom behörighetsuppsättningar istället för grundläggande profiler så återkallande går snabbt: ta bort tilldelningen av behörighetsuppsättningen återkallar åtkomst när ingen profil eller annan tilldelning oberoende beviljar samma behörighet
IP-begränsningar	✅ Konfigurera IP-intervall för inloggning på profilnivå för privilegierade konton så att inloggningar från andra adresser nekas direkt, vilket möjliggör snabb isolering på nätverksnivå till kända administrativa platser
Frysning av användarkonto	✅ Implementera förfaranden för att frysa konton som förhindrar autentisering samtidigt som data bevaras för utredning utan att ta bort det komprometterade kontot
API-åtkomstkontroller	✅ Design API-autentisering med funktioner för tokenåterkallande som möjliggör snabb isolering av komprometterade integreringskonton
Isolering av flera organisationer	✅ För tillgångar med högt värde, utvärdera flerorganisationsarkitektur som ger starkast isolering för viktiga komponenter till kostnad av ökad operativ komplexitet
Rutiner för krossat glas i nödsituationer	✅ Upprätthåll dokumenterade rutiner för krossglasåtkomst för akut administrativ åtkomst med granskning och validering efter användning

Antimönster

Var man ska leta	Hur dåligt ser ut
Inga isoleringsgränser	⚠️ Avsaknad av arkitektoniska isoleringsgränser som kräver att fullständig systemavstängning innehåller kompromisser, vilket stör alla verksamhetsfunktioner
Åtkomst till överdriven behörighet	⚠️ Bevilja breda Ändra alla data-behörigheter som förhindrar återkallande av detaljerade behörigheter utan att störa flera verksamhetsprocesser
Delade servicekonton	⚠️ Att använda ett enskilt delat “API-användare” eller “integreringsanvändare”-konto över flera system förhindrar isolering av specifik komprometterad integrering utan att bryta alla integreringar
Inga IP-begränsningar	⚠️ Har ingen IP-tillåtelselista för privilegierade konton, saknar kapacitet för begränsning på nätverksnivå när konton äventyras
Ingen sessionshantering	⚠️ Saknad kapacitet för sessionsavslut som kräver lösenordsåterställning som enda sättet att tvinga utloggning, vilket introducerar fördröjningar under kritiska svarsfönster
Inga akuta förfaranden	⚠️ Att inte ha några dokumenterade förfaranden för krossat glas eller nödåtkomst, improvisera kritiska beslut under press under aktiva incidenter

Mönster

Var man ska leta	Hur bra ser ut
Händelseövervakningsloggar	✅ Samla in detaljerade aktivitetsloggar inklusive användaråtgärder, API-anrop, autentiseringshändelser och dataåtkomstmönster med tillräckligt med detaljer för kriminalteknisk analys
Fältgranskningslogg	✅ Aktivera fältgranskningslogg för att bevara dataändringshistorik för begränsade och konfidentiella fält med lagring som matchar lagstadgade krav (stöder obestämd lagring; bekräfta den obligatoriska perioden mot den styrande förordningen)
Oföränderlig lagring	✅ Dirigera loggar till extern oföränderlig lagring som hackers inte kan ändra, vilket säkerställer kriminaltekniska bevis integritet under utredningen
Granskningslogg för inställningar	✅ Bevara ändringshistorik för administrativ konfiguration för att möjliggöra utredning av oauktoriserade systemändringar med 180-dagars lagring
Omfattningsbedömning	✅ Utforma behörighetsmodeller och dataåtkomstkontroller som möjliggör snabb bedömning av dataexponeringsomfång baserat på komprometterade kontobehörigheter
Ändringskorrelation	✅ Upprätthåll korrelationen mellan konfigurationsändringar av granskningslogg och händelseövervakningsaktivitetsmönster som möjliggör undersökning av attackerartekniker
Loggning av dataåtkomst	✅ Logga all åtkomst till begränsade och konfidentiella data möjliggör utredning av vilka data som exponerades under kompromissperioden
Granskningslogg för integrering	✅ Samla in API-autentisering, auktorisering och datautbytesmönster för integrerade system som möjliggör utredning av systemöverskridande kompromisser
Bevarande av bevis	✅ Dirigera loggar och granskningsloggar kontinuerligt till oföränderlig extern lagring så att kriminaltekniska bevis bevaras och är tillgängliga när en incident utreds

Antimönster

Var man ska leta	Hur dåligt ser ut
Mutable log storage [Icke-modifierad logglagring]	⚠️ Lagra loggar endast i Salesforce där hackers med administrativ åtkomst kan ta bort eller ändra kriminaltekniska bevis
Otillräcklig loggdetalj	⚠️ Insamling av händelser på hög nivå utan tillräckliga detaljer för utredning (inloggning registrerad men inte IP-adress, dataåtkomst registrerad men inte specifika poster)
Loggning av ingen dataåtkomst	⚠️ Saknar detaljerad loggning av åtkomst till begränsade och konfidentiella data, kan inte bedöma dataexponeringens omfattning under anmälan om överträdelse
Fältgranskningslogg saknas	⚠️ Aktiverar inte fältgranskningslogg för känsliga fält, kan inte avgöra vilka datavärden som exponerades under kompromiss
Ingen ändringskorrelation	⚠️ Har ingen korrelationskapacitet mellan konfigurationsändringar av Inställningsgranskningslogg och efterföljande aktivitetsmönster för händelseövervakning
Borttagen granskningshistorik	⚠️ Låta granskningshistorik löpa ut innan det lagstadgade lagringsminimum som den styrande förordningen anger för din distribuering, vilket skapar efterlevnadsbrott

Mönster

Var man ska leta	Hur bra ser ut
Mål för återställningstid	✅ Definiera och testa Recovery Time Objective (RTO) och Recovery Point Objective (RPO) för säkerhetsincidentscenarier, inte bara katastrofåterställningsscenarier
Testade återställningsprocesser	✅ Dokumentåterställningsprocesser för komprometterade konton, massdataexfiltrering, oauktoriserade distribueringar, omflyttning av privilegier och paketkompromiss med kvartalsvisa tester
Validering av säkerhetskopia	✅ Validera säkerhetskopieringsintegritet regelbundet för att säkerställa återställningsfunktioner under säkerhetsincidenter, inte bara driftsfel
Rollbackkapacitet	✅ Utforma distributionspipelines med testade återställningsprocesser för oauktoriserade koddistribueringar eller skadliga konfigurationsändringar
Inloggningsrotation	✅ Implementera snabba rotationsprocesser för inloggningsuppgifter för komprometterade integreringskonton, API-användare och autentiseringsuppgifter
Behörighetsåterställning	✅ Dokumentförfaranden för att återställa lämplig åtkomst efter alltför breda isoleringsåtgärder under incidentsvar
Dataåterställning	✅ Utforma dataåterställningsfunktioner som hanterar datakorruption eller borttagning som ett resultat av säkerhetsincidenter, till skillnad från katastrofåterställning
Servicekontinuitet	✅ Arkitektlösningar så att säkerhetsincidentsvarsprocesser upprätthåller viktig verksamhetsfunktionskontinuitet under utredning och avhjälpande
Validering av återställning	✅ Testa återställningsförfaranden kvartalsvis validera att återställda system fungerar korrekt och kompromisser inte har bestått genom återställning

Antimönster

Var man ska leta	Hur dåligt ser ut
Otestade procedurer	⚠️ Att dokumenterade återställningsprocesser aldrig testats genom övningar och upptäcker under faktiska incidenter att procedurerna är ofullständiga eller felaktiga
Ingen RTO/RPO för säkerhet	⚠️ Definiera mål för återställningstid endast för katastrofåterställning utan att överväga scenarion för säkerhetsincidenter som kräver olika återställningsförfaranden
Ingen rollbackkapacitet	⚠️ Saknar distribueringsprocesser för oauktoriserad koddistribuering, vilket kräver fullständig omutveckling för att ta bort skadliga ändringar
Ej validerade säkerhetskopior	⚠️ Testa aldrig återställning av säkerhetskopior och upptäck under incidenter att säkerhetskopior är skadade eller ofullständiga
Inga rotationsprocesser för inloggningsuppgifter	⚠️ Att inte ha några snabba rotationsförfaranden för komprometterade integreringskonton, vilket lämnar komprometterade inloggningsuppgifter aktiva under utredning
Manuella återställningsprocesser	⚠️ Beroende helt på manuella återställningsprocesser under incidenter, introducera fel och fördröjningar när hastighet är viktigt
Ingen återställningstest	⚠️ Aldrig validera att återställda system fungerar korrekt efter återställning, vilket kan återinföra kompromisser eller datakorruption

Mönster

Var man ska leta	Hur bra ser ut
Minskat svar på användarkonto	✅ Dokumentförfaranden: frysa användare, tvinga återställning av inloggningsuppgifter, granska inställningsgranskningsloggar och dataåtkomstloggar för kompromissperiod, bedöma dataexponeringens omfattning, utföra överträdelsenotis om åtkomst till begränsade data
Svar för massdatafiltrering	✅ Dokumentförfaranden: återkalla sessionen omedelbart, begränsa behörigheter, identifiera påverkade poster och klassificeringsnivåer, utföra meddelanden om regelbrott inom den tidslinje som den styrande förordningen anger för din distribuering
Svar från oauktoriserad koddistribuering	✅ Dokumentförfaranden: Återställningsdistribuering omedelbart, granska alla ändringar från komprometterade inloggningsuppgifter, granska pipelinesäkerhet för förbigång av auktorisering, skanna distribuerad kod för beständiga bakdörrar
Svar på omflyttning av privilegier	✅ Dokumentförfaranden: återkalla omflyttade behörigheter omedelbart, granska aktiviteter som utförs med förhöjd åtkomst, undersöka hur omflyttning förbigick godkännandekontroller, implementera kompenserande kontroller
Kompromisssvar för AppExchange	✅ Dokumentförfaranden: isolera paketbehörigheter, utvärdera data som öppnas av paket, utvärdera alternativ för paketersättning, dokumentera lärdomar för kriterier för paketutvärdering
Detektionssignaler	✅ Konfigurera övervakning upptäcka varje scenario: inloggningsavvikelser för komprometterade konton, rapportexportvolym för exfiltrering, distributionsövervakning för oauktoriserad kod, behörighetsändringsövervakning för omflyttning
Tabletopövningar	✅ Utför tabellövningar för att testa svarsprocesser för plattformsspecifika scenarion som validerar teamberedskap och procedurkompletthet
Svarsautomatisering	✅ Transaktionssäkerhetspolicyer i realtid blockerar automatiskt misstänkta åtgärder, kräver utökad autentisering eller meddelar svarande om signaler för upptäckt med högt förtroende, vilket ger automatiserad inneslutning som minskar svarstiden

Antimönster

Var man ska leta	Hur dåligt ser ut
Endast allmänna svarsplaner	⚠️ Att endast ha allmänna incidentsvarsprocesser utan Salesforce-specifik vägledning, improvisera plattformsspecifika åtgärder under aktiva incidenter
Konfiguration utan detektering	⚠️ Har ingen övervakning konfigurerad för att upptäcka plattformsspecifika scenarion (massexport, omflyttning av privilegier, oauktoriserad distribuering), upptäcka incidenter genom användarrapporter eller granskningar
Inga Tabletop-övningar	⚠️ Aldrig utföra tabellövningar för att validera teamens förtrogenhet med plattformsspecifika svarsprocesser och upptäcka Knowledge luckor under faktiska incidenter
Ingen automatisering	⚠️ Helt manuellt svar för alla incidenter utan transaktionssäkerhetspolicyer i realtid för automatiserad inneslutning, vilket introducerar fördröjningar när omedelbar blockering kan minska skador
Spelböcker för saknade svar	⚠️ Saknar dokumenterade svarsspelböcker för vanliga scenarion (komprometterat användarkonto, dataexfiltrering, oauktoriserad koddistribuering)
Inga förfaranden för överträdelsenotiser	⚠️ Att inte ha några förfaranden för krav på underrättelse om regelbrott, förvrängning för att förstå skyldigheter under faktiska incidenter när tidslinjerna är snäva

Mönster

Var man ska leta	Hur bra ser ut
Kommunikation utanför band	✅ Etablera kommunikationskanaler som inte är beroende av potentiellt komprometterade system (telefonträd, externa meddelandeplattformar) för att samordna svar
Omflyttningsprocesser	✅ Dokument omflyttningsvägar från inledande upptäckt genom verkställande notis med kontaktuppgifter och omflyttningskriterier
Notismallar	✅ Upprätthåll färdigutformade notismallar för vanliga incidenttyper som möjliggör snabb kommunikation med intressenter, kunder och tillsynsmyndigheter
Identifiering av intressenter	✅ Identifiera intressenter som kräver notis för olika incidenttyper, inklusive chefer, juridiska, efterlevnad, påverkade användare och tillsynsmyndigheter
Tidslinjer för lagstadgade notiser	✅ Dokumentera varje jurisdiktions lagstadgade notiskrav, bekräftade mot den styrande förordningen för din distribuering, med förfaranden som säkerställer efterlevnad i tid
Intern samordning	✅ Utforma incidentsamordningsförfaranden som specificerar roller och ansvar (incidentbefälhavare, teknisk lead, kommunikationslead, juridisk kontakt)
Extern samordning	✅ Upprätta rutiner för att samordna med Salesforces support, externa kriminaltekniska utredare, juridiska rådgivare och brottsbekämpande myndigheter enligt behov
Statuskommunikation	✅ Implementera regelbunden statuskommunikationskadens under aktiva incidenter för att hålla intressenter informerade utan att överväldiga utredningsteamet

Antimönster

Var man ska leta	Hur dåligt ser ut
Ingen kommunikation utanför bandet	⚠️ Beroende helt på potentiellt komprometterade e-postmeddelanden eller interna meddelanden för incidentsamordning, förlora kommunikationskapacitet när primära kanaler äventyras
Otydliga omflyttningsvägar	⚠️ Att inte ha några dokumenterade omflyttningsförfaranden, vilket orsakar förseningar och förvirring om vem som ska meddelas och när
Inga notismallar	⚠️ Improvisera incidentnotiser under aktiv incident under tidspress, vilket resulterar i ofullständig eller felaktig kommunikation
Listor över intressenter som saknas	⚠️ Att inte ha några föridentifierade listor över intressenter, upptäcka under incidenter att kritiska parter (juridiska, efterlevnad, chefer) inte har underrättats
Ingen medvetenhet om lagstadgade tidslinjer	⚠️ Vara omedveten om de lagstadgade notistidslinjer som gäller för din distribuering under incidentsvar, missa deadlines och skapa ytterligare efterlevnadsbrott
Ambiguösa roller	⚠️ Att ha oklara roller och ansvar för incidenthantering, vilket skapar förvirring om vem som har befogenhet att fatta beslut om begränsning
Inga externa samordningsförfaranden	⚠️ Har inga etablerade relationer eller procedurer för att engagera Salesforces support, kriminaltekniska utredare eller brottsbekämpande myndigheter vid behov

Mönster

Var man ska leta	Hur bra ser ut
Klandrafri kultur	✅ Fokusera granskningar efter incident på systemförbättringar istället för individuell skuld, vilket möjliggör organisatorisk inlärning utan rädsla för återverkningar
Dokumentation för incidenttidslinje	✅ Dokumentera fullständig incidenttidslinje inklusive inledande kompromiss, upptäckt, svarsåtgärder och lösning med exakta tidsstämplar
Analys av kontrollfel	✅ Identifiera vilka förebyggande och detektiv kontroller misslyckades att förhindra eller upptäcka incidenten, informera arkitektoniska förbättringar
Dokumentation av arkitektoniska svagheter	✅ Dokumentera arkitektoniska svagheter som upptäckts av incidenten i arkitekturbeslutposter (ADR) som samlar in säkerhetsändringar
Prioritering av avhjälpande	✅ Prioritera sanering baserat på riskreduktionspotential, åtgärda grundorsaker snarare än symtom
Lektionsdelning	✅ Dela lärdomar mellan team och affärsenheter som förhindrar liknande incidenter i andra delar av organisationen
Uppdateringar av detekteringsregler	✅ Uppdatera detektionsregler och beteendebaslinjer baserat på attacktekniker som observerats under utredning
Förfining av svarsförfarande	✅ Uppdatera incidentsvarsprocesser baserat på vad som fungerade och vad som inte fungerade under faktiska incidentsvar
Måttspårning	✅ Följ genomsnittlig tid att upptäcka (MTTD), genomsnittlig tid att svara (MTTR), och omfattningen av påverkan över tid som identifierar trender som kräver arkitektoniska investeringar
Granska kadens	✅ Utför en snabb granskning efter incidenten medan detaljer förblir färska och momentum för förbättringar finns

Antimönster

Var man ska leta	Hur dåligt ser ut
Överhoppade recensioner	⚠️ Hoppa över granskningar efter incidenter, gå direkt till nästa incident utan att samla in lärdomar eller arkitektoniska förbättringar
Klandra kultur	⚠️ Fokusera granskningar efter incident på individuell skuld snarare än systemförbättringar, vilket orsakar incidentdöljande och förhindrar organisatorisk inlärning
Ingen arkitektonisk dokumentation	⚠️ Det går inte att dokumentera ändringar av säkerhetsarkitekturen som drivs av incidentinlärningar i beslutsposter för arkitektur (ADR)
Symtombehandling	⚠️ Åtgärda endast incidentsymptom (komprometterat lösenord) utan att åtgärda grundorsakerna (brist på MFA), vilket gör att liknande attacker kan lyckas
Ingen lektionsdelning	⚠️ Hålla incidentinlärning inom svarsteam istället för att dela över organisationen, vilket tillåter liknande incidenter i andra affärsenheter
Inga detektionsuppdateringar	⚠️ Det går inte att uppdatera detektionsregler eller beteendebaslinjer baserat på observerade attacktekniker, och förblir sårbara för liknande attacker
Ingen måttspårning	⚠️ Spårar inte genomsnittlig tid att upptäcka (MTTD), genomsnittlig tid att svara (MTTR) eller omfattningstrender, saknar möjligheter att identifiera systemiska svagheter
Försenade granskningar	⚠️ Utföra granskningar efter incident månader efter incidentlösning när detaljer glöms bort och förbättringsmoment förloras
Ingen uppföljning av korrigering	⚠️ Identifiera förbättringar under granskning efter incident men inte implementera dem, vilket gör att liknande incidenter kan återkomma