搜索

[10951] 2017-01-20_有关事件响应（IR）自动化和协同的几点反思

文档创建者：s7ckTeam
浏览次数：10
最后更新：2025-01-18
2017-01-20_有关事件响应（IR）自动化和协同的几点反思 有 关 事 件 响 应 （ I R ） 自 动 化 和 协 同 的 几 点 反 思 F i r e F r a n k   F r e e B u f   2 0 1 7 - 0 1 - 2 0 有 关 事 件 响 应 （ 有 关 事 件 响 应 （ I R ） 自 动 化 和 协 同 的 几 点 反 思 ） 自 动 化 和 协 同 的 几 点 反 思 I R （ i n c i d e n t   r e s p o n s e ） ， 顾 名 思 义 ， 事 件 响 应 ， 旨 在 对 一 些 潜 在 的 危 机 ， 如 数 据 外 泄 、 D o S 或 D D o S 攻 击 、 防 火 墙 外 泄 、 病 毒 或 恶 意 软 件 爆 发 等 威 胁 进 行 响 应 。 随 着 各 种 项 目 互 联 网 化 ， 商 业 事 件 响 应 工 具 增 势 甚 猛 。 随 着 各 种 项 目 互 联 网 化 ， 商 业 事 件 响 应 工 具 增 势 甚 猛 。 就 在 本 周 ， 我 重 新 回 顾 了 几 个 有 关 事 件 响 应 （ I R ） 自 动 化 和 协 同 的 采 访 。 很 多 专 业 从 事 网 络 安 全 的 专 业 人 士 参 与 了 这 些 采 访 ， 他 们 共 同 指 出 了 一 些 值 得 我 们 反 思 的 问 题 ： 1 、 、 I R 通 常 由 基 本 工 具 、 手 动 过 程 和 关 键 人 员 组 成 。 通 常 由 基 本 工 具 、 手 动 过 程 和 关 键 人 员 组 成 。 虽 然 故 障 标 签 和 I T S M （ i n f o r m a t i o n   t e c h n o l o g y   s e r v i c e   m a n a g e m e n t   信 息 技 术 服 务 管 理 ） 工 具 是 非 常 普 遍 且 相 当 成 熟 的 ， 但 是 太 多 的 企 业 组 织 仍 然 使 用 非 常 古 老 的 方 法 应 对 突 发 事 件 。 换 句 话 说 ， 他 们 依 然 依 赖 纸 张 、 电 子 表 格 、 电 子 邮 件 交 接 以 及 很 擅 长 找 到 受 损 的 系 统 和 恶 意 网 路 流 量 的 安 全 分 析 师 。 2 、 组 织 尝 试 并 使 用 商 业 工 具 。 、 组 织 尝 试 并 使 用 商 业 工 具 。 很 多 组 织 机 构 或 企 业 尝 试 使 用 R e m e d y 或 S e r v e r c e N o w   I T S M 来 凑 出 一 种 响 应 方 式 ， 但 是 这 些 工 具 是 为 I T 操 作 员 设 计 的 、 用 于 技 术 支 持 ， 并 不 是 专 门 的 事 件 响 应 工 具 。 通 常 来 说 ， S O C （ s e c u r i t y   o p e r a t i o n   c e n t e r   安 全 管 理 中 心 ） 团 队 希 望 在 整 个 生 命 周 期 中 进 行 事 件 跟 踪 ， 但 是 使 用 I T 管 理 工 具 并 不 是 一 种 有 效 的 方 式 。 3 、 太 多 公 司 使 用 自 建 、 太 多 公 司 使 用 自 建 I R 软 件 。 软 件 。 很 多 公 司 尝 试 手 动 之 外 的 方 式 ， 但 是 他 们 选 择 的 是 拼 凑 脚 本 、 应 用 和 数 据 库 以 达 到 事 件 响 应 的 目 的 。 有 些 时 候 ， 他 们 使 用 开 源 工 具 ， 比 如 来 自 N e t f l i x 或 R T I R 的 F I D O 。 虽 然 他 们 是 出 于 好 意 做 出 这 些 努 力 ， 但 是 当 拼 凑 出 来 的 东 西 缺 少 某 些 功 能 、 规 模 又 不 够 大 、 又 非 常 易 于 集 成 时 ， 这 些 公 司 似 乎 又 失 败 了 。 此 外 ， 大 多 数 的 安 全 组 织 并 不 想 参 与 开 发 和 维 护 软 件 的 业 务 。 4 、 、 I R 正 从 即 可 响 应 转 成 提 前 预 应 。 正 从 即 可 响 应 转 成 提 前 预 应 。 过 去 ， 严 重 事 件 的 发 现 会 引 发 一 些 行 动 ， 比 如 捕 获 网 络 数 据 包 （ P C A P ） 、 部 署 断 电 取 证 工 具 等 以 查 找 可 疑 人 为 痕 迹 、 文 件 、 内 存 进 程 等 。 许 多 组 织 已 经 或 正 在 转 向 使 用 来 自 A r b o r   N e t w o r k s 、 C i s c o 、 E x t r a H o p 、 R S A 或 S y m a n t e c 的 工 具 进 行 连 续 监 测 以 进 行 网 络 安 全 分 析 ， 并 在 端 点 使 用 来 自 C a r b o n   B l a c k 、 C o u n t e r t a c k 、 C y b e r e a s o n 、 E n d g a m e 或 G u i d a n c e   S o f t w a r e 的 工 具 。 5 、 初 始 目 标 倾 向 于 之 前 的 协 同 、 初 始 目 标 倾 向 于 之 前 的 协 同 安 全 专 家 意 识 到 某 些 类 型 的 I R 过 程 ， 例 如 收 集 和 丰 富 安 全 数 据 、 调 查 电 子 邮 件 钓 鱼 或 在 主 机 和 网 络 上 寻 找 l o C 活 动 等 ， 都 需 要 大 量 的 手 动 操 作 ， 需 要 几 个 小 时 或 几 天 才 能 完 成 。 我 发 现 许 多 组 织 都 通 过 映 射 其 中 一 个 步 骤 开 始 他 们 的 I R 自 动 化 和 协 同 项 目 ， 然 后 使 用 协 同 工 具 缓 解 繁 重 的 工 作 量 。 一 旦 协 同 了 一 个 流 程 ， 组 织 倾 向 于 使 用 以 前 学 到 的 知 识 来 协 同 其 他 复 杂 的 任 务 。 其 实 这 样 做 非 常 有 道 理 ， 因 为 几 乎 每 个 组 织 都 缺 少 网 络 安 全 技 能 ， 同 时 还 希 望 现 有 员 工 所 做 的 工 作 有 所 成 效 。 6 、 自 动 化 快 速 跟 进 、 自 动 化 快 速 跟 进 组 织 倾 向 于 从 基 础 开 始 — — 终 止 网 络 连 接 、 隔 离 系 统 、 阻 止 与 I P 地 址 的 连 接 等 。 尤 其 是 经 验 丰 富 的 组 织 对 其 威 胁 情 报 程 序 进 行 操 作 时 。
I R 自 动 化 和 协 同 正 在 进 化 成 为 不 断 发 展 的 安 全 操 作 分 析 平 台 架 构 （ s e r c u r i t y   o p e r a t i o n s   a n d   a n a l y t i c s   p l a t f o r m   a r c h i t e c t u r e ） 的 关 键 功 能 。 当 我 几 年 前 初 涉 I R 这 个 领 域 时 ， 各 个 企 业 组 织 要 么 卷 起 袖 子 拼 凑 自 己 的 时 间 响 应 自 动 化 协 同 方 案 、 要 么 被 警 报 淹 没 进 行 手 动 干 涉 。 但 是 时 至 2 0 1 7 年 ， I R 自 动 化 和 协 同 项 目 似 乎 正 在 顺 利 进 行 ， 至 少 它 出 现 在 了 每 个 首 席 信 息 安 全 官 的 重 要 事 项 中 。 鉴 于 I R 自 动 化 和 协 同 的 兴 起 ， 很 多 大 型 厂 商 ， 如 C y b e r S p o n s e ,   F i r e E y e   ( I n v o t a s ) ,   H e x a d i t e ,   I B M   ( R e s i l i e n t ) ,   P h a n t o m   C y b e r ,   S e r v i c e N o w ,   S i m p l i f y   和   S w i m l a n e   都 将 出 现 在 即 将 举 行 的 R S A 安 全 会 议 上 。 * 参 考 来 源 ： n e t w o r k ， F B 小 编 F i r e F r a n k 编 译 ， 转 载 请 注 明 来 自 F r e e b u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理