ความโปร่งใสในด้านความปลอดภัย นี่คือวิธีที่เราจัดการเหตุการณ์ความปลอดภัยผ่านกรอบการตอบสนองเหตุการณ์ที่ครอบคลุมและผ่านการทดสอบมาแล้ว ซึ่งให้ความสำคัญกับการปกป้องข้อมูลของคุณและรักษาความไว้วางใจ

ความมุ่งมั่นของเราต่อความโปร่งใสด้านความปลอดภัย

ความปลอดภัยไม่ใช่เพียงความท้าทายทางเทคนิค แต่เป็นประเด็นความไว้วางใจ เมื่อเกิดเหตุการณ์ วิธีที่องค์กรตอบสนองจะเป็นตัวกำหนดว่าความไว้วางใจจะได้รับการรักษาหรือถูกทำลาย ที่ Tanqory เราได้สร้างกรอบการตอบสนองเหตุการณ์ความปลอดภัยที่แข็งแกร่งโดยอิงจากแนวทางปฏิบัติที่ดีที่สุดของอุตสาหกรรม การปรับปรุงอย่างต่อเนื่อง และความมุ่งมั่นอย่างแน่วแน่ต่อความโปร่งใส

เอกสารนี้อธิบายแนวทางของเราต่อการตอบสนองเหตุการณ์ความปลอดภัย ให้ข้อมูลเชิงลึกที่ชัดเจนเกี่ยวกับกระบวนการ ความสามารถ และความมุ่งมั่นของเราในการปกป้องข้อมูลของคุณ

กรอบการตอบสนองเหตุการณ์

แนวทางที่สอดคล้องกับ NIST

กรอบการตอบสนองเหตุการณ์ความปลอดภัยของเราสอดคล้องกับ NIST Computer Security Incident Handling Guide (SP 800-61 Rev 2) ซึ่งได้กลายเป็นมาตรฐานอุตสาหกรรมสำหรับการตอบสนองเหตุการณ์ เราได้ปรับกรอบนี้ให้เหมาะกับสภาพแวดล้อมเฉพาะของเราและบูรณาการกับความสามารถ Security Orchestration, Automation, and Response (SOAR) ที่ทันสมัย

กรอบ NIST แบ่งการตอบสนองเหตุการณ์ออกเป็นสี่ระยะหลัก ซึ่งเราได้ปรับปรุงด้วยกระบวนการอัตโนมัติและการปรับปรุงอย่างต่อเนื่อง:

1. การเตรียมการ 2. การตรวจจับและการวิเคราะห์ 3. การควบคุม การกำจัด และการกู้คืน 4. กิจกรรมหลังเหตุการณ์

มาสำรวจแต่ละระยะอย่างละเอียด

ระยะที่ 1: การเตรียมการ

การสร้างวัฒนธรรมความปลอดภัยเป็นอันดับแรก

การเตรียมการเป็นรากฐานของการตอบสนองเหตุการณ์ที่มีประสิทธิภาพ เราลงทุนอย่างหนักในมาตรการป้องกันและความพร้อม:

ศูนย์ปฏิบัติการความปลอดภัย (SOC)

• การติดตาม 24/7/365: SOC ของเราทำงานตลอดเวลาในทุกเขตเวลา
• ทีมเฉพาะ: ผู้เชี่ยวชาญด้านความปลอดภัยมากกว่า 15 คนที่มีความเชี่ยวชาญเฉพาะทาง
• เครื่องมือขั้นสูง: แพลตฟอร์ม SIEM, SOAR และภัยคุกคามระดับองค์กร
• การฝึกอบรมอย่างต่อเนื่อง: การฝึกซ้อม การจำลอง และการพัฒนาทักษะเป็นประจำ
• ความครอบคลุมทั่วโลก: โมเดลตามดวงอาทิตย์เพื่อรับประกันการตอบสนองจากผู้เชี่ยวชาญตลอดเวลา

มาตรการป้องกัน

• การป้องกันเชิงลึก: ชั้นควบคุมความปลอดภัยหลายชั้น
• สถาปัตยกรรม Zero Trust: ไม่เคยไว้วางใจ ยืนยันเสมอ
• การทดสอบการเจาะระบบเป็นประจำ: การประเมินความปลอดภัยโดยบุคคลที่สามรายไตรมาส
• การจัดการช่องโหว่: การสแกนอย่างต่อเนื่องและการแก้ไขอย่างรวดเร็ว
• การฝึกอบรมการรับรู้ความปลอดภัย: พนักงานทุกคนได้รับการฝึกอบรมรายไตรมาสเกี่ยวกับแนวทางปฏิบัติที่ดีที่สุดด้านความปลอดภัย

โครงสร้างทีมตอบสนองเหตุการณ์

• ผู้บัญชาการเหตุการณ์: ประสานงานการตอบสนองโดยรวม
• นักวิเคราะห์ความปลอดภัย: สืบสวนและวิเคราะห์ภัยคุกคาม
• ข่าวกรองภัยคุกคาม: ให้บริบทและการระบุตัวตน
• วิศวกรรม: ดำเนินการแก้ไขทางเทคนิค
• การสื่อสาร: จัดการข้อความภายในและภายนอก
• กฎหมายและการปฏิบัติตาม: รับประกันการปฏิบัติตามข้อกำหนดทางกฎระเบียบ
• ความสำเร็จของลูกค้า: จัดการการสื่อสารและการสนับสนุนลูกค้า

เครื่องมือและเทคโนโลยี

• แพลตฟอร์ม SIEM: Splunk Enterprise สำหรับการรวมและวิเคราะห์ล็อก
• แพลตฟอร์ม SOAR: playbook อัตโนมัติสำหรับประเภทเหตุการณ์ทั่วไป
• ข่าวกรองภัยคุกคาม: การบูรณาการกับฟีดภัยคุกคามชั้นนำ
• เครื่องมือนิติวิทยาศาสตร์: ความสามารถขั้นสูงสำหรับการสืบสวนโดยละเอียด
• ระบบการสื่อสาร: ช่องทางปลอดภัยสำหรับการประสานงานเหตุการณ์

ระยะที่ 2: การตรวจจับและการวิเคราะห์

การติดตามและการตรวจจับภัยคุกคาม 24/7

การตรวจจับเร็วเป็นสิ่งสำคัญในการลดผลกระทบ ความสามารถในการตรวจจับหลายชั้นของเรารับประกันว่าเราระบุภัยคุกคามได้อย่างรวดเร็ว:

กลไกการตรวจจับ

• การติดตามเครือข่าย: การวิเคราะห์ทราฟิกเครือข่ายทั้งหมดแบบเรียลไทม์
• Endpoint Detection and Response (EDR): การติดตามเซิร์ฟเวอร์และเวิร์กสเตชันทั้งหมด
• การติดตามความปลอดภัยแอปพลิเคชัน: การป้องกันตัวเองของแอปพลิเคชันขณะทำงาน
• การวิเคราะห์พฤติกรรมผู้ใช้: การตรวจจับความผิดปกติที่ขับเคลื่อนด้วย AI
• การบูรณาการข่าวกรองภัยคุกคาม: ความสัมพันธ์อัตโนมัติกับภัยคุกคามที่รู้จัก
• Security Information and Event Management (SIEM): การวิเคราะห์ล็อกแบบรวมศูนย์

การวิเคราะห์ที่ขับเคลื่อนด้วย SOAR

แพลตฟอร์ม SOAR ของเราทำให้ระยะเริ่มต้นของการวิเคราะห์เหตุการณ์เป็นอัตโนมัติ:

• การคัดกรองอัตโนมัติ: เหตุการณ์ความปลอดภัยได้รับการเสริมบริบทโดยอัตโนมัติ
• ความสัมพันธ์อัจฉริยะ: เหตุการณ์ที่เกี่ยวข้องถูกจัดกลุ่มเพื่อการสืบสวนที่มีประสิทธิภาพ
• การเสริมข่าวกรองภัยคุกคาม: การค้นหาอัตโนมัติกับฐานข้อมูลภัยคุกคาม
• การให้คะแนนลำดับความสำคัญ: การประเมินความรุนแรงโดยอิงจากการเรียนรู้ของเครื่อง
• การดำเนินการ playbook: การตอบสนองอัตโนมัติสำหรับรูปแบบภัยคุกคามที่รู้จัก

Mean Time to Detect (MTTD)

• MTTD ปัจจุบัน: เฉลี่ย 12 นาที
• ค่าเฉลี่ยอุตสาหกรรม: 24 ชั่วโมง
• เป้าหมายของเรา: ลดเวลาการตรวจจับอย่างต่อเนื่องผ่าน AI และระบบอัตโนมัติ

การจำแนกประเภทเหตุการณ์

เราจัดหมวดหมู่เหตุการณ์ตามความรุนแรงเพื่อรับประกันการตอบสนองที่เหมาะสม:

วิกฤต (P1)

• การละเมิดที่ใช้งานอยู่ที่มีการดึงข้อมูล
• Ransomware หรือมัลแวร์ที่ทำลายล้าง
• การหยุดบริการทั้งหมด
• การตอบสนอง: ทันที การมีส่วนร่วมทุกคน

สูง (P2)

• การเข้าถึงโดยไม่ได้รับอนุญาตที่ยืนยันแล้ว
• ความล้มเหลวของการควบคุมความปลอดภัยที่สำคัญ
• การลดลงของบริการบางส่วน
• การตอบสนอง: ภายใน 15 นาที

กลาง (P3)

• กิจกรรมที่น่าสงสัยที่ต้องการการสืบสวน
• การละเมิดนโยบายความปลอดภัย
• ปัญหาบริการเล็กน้อย
• การตอบสนอง: ภายใน 1 ชั่วโมง

ต่ำ (P4)

• การละเมิดนโยบายที่ไม่มีผลกระทบด้านความปลอดภัย
• คำแนะนำด้านความปลอดภัย
• เหตุการณ์ข้อมูล
• การตอบสนอง: ภายใน 8 ชั่วโมงทำการ

ระยะที่ 3: การควบคุม การกำจัด และการกู้คืน

การดำเนินการทันทีและการตอบสนองอย่างรวดเร็ว

เมื่อเหตุการณ์ได้รับการยืนยันแล้ว เราจะเคลื่อนไหวอย่างรวดเร็วเพื่อควบคุมและแก้ไข:

การควบคุม

การควบคุมระยะสั้น

• การแบ่งส่วนเครือข่าย: แยกระบบที่ได้รับผลกระทบทันที
• การระงับบัญชี: ปิดใช้งานข้อมูลรับรองที่ถูกบุกรุก
• การบล็อกทราฟิก: บล็อกที่อยู่ IP และโดเมนที่เป็นอันตราย
• การเพิกถอนการเข้าถึง: ลบการเข้าถึงที่ไม่ได้รับอนุญาต
• การตอบสนองอัตโนมัติ: playbook SOAR ดำเนินการควบคุมภายในไม่กี่วินาที

การควบคุมระยะยาว

• การแยกระบบ: ย้ายระบบที่ได้รับผลกระทบไปยังสภาพแวดล้อมที่แยก
• แนวทางแก้ไขชั่วคราว: ดำเนินการควบคุมชดเชย
• การรักษาหลักฐาน: รักษาความสมบูรณ์ทางนิติวิทยาศาสตร์
• การดำเนินงานทางเลือก: เปิดใช้งานขั้นตอนความต่อเนื่องทางธุรกิจหากจำเป็น

การกำจัด

การวิเคราะห์สาเหตุหลัก

• การสืบสวนทางนิติวิทยาศาสตร์: การวิเคราะห์โดยละเอียดของเวกเตอร์การโจมตี
• การสร้างไทม์ไลน์ใหม่: ทำความเข้าใจห่วงโซ่การโจมตีที่สมบูรณ์
• การวิจัยการระบุตัวตน: ระบุผู้โจมตีภัยคุกคามตามความเป็นไปได้
• การประเมินช่องโหว่: ทำความเข้าใจจุดอ่อนที่ถูกใช้ประโยชน์

การกำจัดภัยคุกคาม

• การกำจัดมัลแวร์: การลบซอฟต์แวร์ที่เป็นอันตรายอย่างสมบูรณ์
• การค้นหาช่องลับ: การค้นหาและการลบกลไกความคงอยู่
• การแก้ไขช่องโหว่: การปิดช่องว่างความปลอดภัยที่ถูกใช้ประโยชน์
• การแข็งแกร่งของการกำหนดค่า: การเสริมสร้างท่าทางความปลอดภัย
• การหมุนเวียนข้อมูลรับรอง: การเปลี่ยนรหัสผ่านและคีย์ที่ถูกบุกรุก

การกู้คืน

การกู้คืนระบบ

• การสร้างระบบสะอาดใหม่: การกู้คืนจากการสำรองข้อมูลที่รู้ว่าดี
• การทดสอบการยืนยัน: ยืนยันว่าระบบสะอาดและทำงานได้
• การปรับปรุงการติดตาม: เพิ่มการตรวจจับสำหรับการโจมตีในอนาคตที่คล้ายกัน
• การกลับสู่การผลิตแบบเป็นระยะ: การกู้คืนบริการอย่างค่อยเป็นค่อยไป
• การตรวจสอบอย่างต่อเนื่อง: การติดตามอย่างต่อเนื่องสำหรับการเกิดซ้ำ

ไทม์ไลน์การกู้คืนบริการ

• ระบบวิกฤต: การกู้คืนภายใน 4 ชั่วโมง
• ระบบสำคัญ: การกู้คืนภายใน 24 ชั่วโมง
• ระบบมาตรฐาน: การกู้คืนภายใน 72 ชั่วโมง
• วัตถุประสงค์เวลากู้คืน (RTO) ปฏิบัติตามหรือเกินใน 98% ของเหตุการณ์

ระยะที่ 4: กิจกรรมหลังเหตุการณ์

การเรียนรู้และการปรับปรุงอย่างต่อเนื่อง

ทุกเหตุการณ์เป็นโอกาสในการปรับปรุง:

การสรุปเหตุการณ์

• การจัดทำเอกสารไทม์ไลน์: ลำดับเหตุการณ์ที่สมบูรณ์
• การตรวจสอบประสิทธิภาพการตอบสนอง: อะไรได้ผล อะไรไม่ได้ผล
• การประเมินผลกระทบ: ความเข้าใจอย่างเต็มที่เกี่ยวกับผลที่ตามมาของเหตุการณ์
• การวิเคราะห์สาเหตุหลัก: ทำไมสิ่งนี้จึงเกิดขึ้น
• บทเรียนที่ได้เรียนรู้: การปรับปรุงเฉพาะที่ระบุแล้ว

การจัดทำเอกสารและการรายงาน

• รายงานเหตุการณ์ภายใน: การวิเคราะห์ทางเทคนิคโดยละเอียด
• สรุปสำหรับผู้บริหาร: ภาพรวมระดับสูงสำหรับความเป็นผู้นำ
• การสื่อสารลูกค้า: การแจ้งเตือนที่โปร่งใสตามความเหมาะสม
• การรายงานตามกฎระเบียบ: การปฏิบัติตามข้อกำหนดการแจ้งเหตุการละเมิด
• การแจ้งเตือนคณะกรรมการ: เหตุการณ์สำคัญรายงานต่อคณะกรรมการบริษัท

การดำเนินการปรับปรุง

• การปรับปรุงการควบคุมความปลอดภัย: การปิดช่องว่างที่ระบุแล้ว
• การอัปเดตกฎการตรวจจับ: การปรับปรุงการตรวจจับในอนาคต
• การปรับแต่ง playbook: การอัปเดตขั้นตอนการตอบสนองอัตโนมัติ
• การอัปเดตการฝึกอบรม: การรวมบทเรียนเข้ากับการฝึกอบรมทีม
• การปรับปรุงเครื่องมือ: การปรับปรุงชุดเทคโนโลยีความปลอดภัย

การสื่อสารระหว่างเหตุการณ์

ความโปร่งใสและความทันเวลา