Opis incidenta slobodnim tekstom ima dva problema. Prvi je da se dva analitičara ne slože oko toga što se dogodilo. Drugi je da se opisi ne mogu uspoređivati - ni između organizacija, ni kroz vrijeme unutar iste organizacije.
Nacionalna taksonomija kibernetičkih incidenata rješava oba tako što incident opisuje s pet atributa. Dokument je vlasništvo Sigurnosno-obavještajne agencije, izrađen je za javnu objavu i smije se koristiti uz navođenje izvora.
Pet atributa
| Atribut | Odgovara na pitanje |
|---|---|
| V - Vektor napada | Kojim je putem napad izveden? |
| O - Operativni učinak | Što je napad učinio sustavu i uslugama? |
| U - Učinak na informacije | Što se dogodilo s podacima? |
| N - Objekt napada | Što je bilo meta? |
| D - Dosegnuta faza napada | Dokle je napadač stigao? |
Skraćeno: VOUND. Svaki atribut ima definirane vrijednosti, pa se incident opisuje kombinacijom umjesto rečenicom.
Taksonomija odvaja operativni učinak od učinka na informacije. Ransomware koji je zaustavio proizvodnju i ransomware koji je zaustavio proizvodnju i iznio podatke imaju isti operativni učinak, a bitno različit učinak na informacije - i različite obveze prijave. Opis slobodnim tekstom tu razliku često zamagli.
Dosegnuta faza je atribut koji najviše govori
Faza opisuje dokle je napadač stigao u nizu koraka. To je jedini atribut koji ima prognostičku vrijednost: ako znate u kojoj je fazi napad zaustavljen, znate i što je logičan sljedeći korak koji nije izveden - i gdje treba tražiti tragove.
Dokument tu mogućnost izrijekom razrađuje, kroz praćenje tijeka napada i predviđanje sljedećih koraka pomoću pet atributa. To ga čini upotrebljivim i tijekom incidenta, ne samo pri prijavi.
Gdje se taksonomija isplati u praksi
- Pri prijavi značajnog incidenta. Obrasci traže opis koji strukturirani zapis popunjava brže i dosljednije od slobodnog teksta, u trenutku kad je vremena najmanje.
- Pri utvrđivanju ponovljenog uzroka. Članak 62. Uredbe zbraja incidente s istim temeljnim uzrokom u razdoblju od šest mjeseci. Dva incidenta s istim vektorom i istim objektom napada vide se odmah; dva slobodna opisa ne.
- Pri izvještavanju uprave. Struktura daje brojke: koliko incidenata po vektoru, koliko je dosegnulo koju fazu. To je trend, a ne anegdota.
- Pri razmjeni informacija. Taksonomija je zajednički jezik prema CSIRT-u i prema drugim organizacijama u sektoru.
Kako je uvesti bez alata
Nije potrebna platforma. Dovoljno je da evidencija incidenata ima pet dodatnih stupaca i da ih se popunjava pri zatvaranju svakog incidenta, uključujući one ispod praga značajnosti.
Upravo ti manji incidenti daju najveću korist: oni su ulaz u pravilo o ponovljenom uzroku, i oni pokazuju obrasce prije nego što obrazac proizvede štetu.
Dokument sadrži i priloge s primjerima klasifikacije poznatih incidenata prema atributima - kampanje zloćudnog koda, ransomware u dvije varijante, izmjenu sadržaja web stranice, skeniranje i uskraćivanje usluge. Ti su primjeri najbrži način da tim uskladi tumačenje prije nego što taksonomiju počne primjenjivati.
Izvori
Ne znate gdje stojite?
Pola sata razgovora i ništa vas ne obvezuje. Kad završimo, znate što trebate napraviti i kojim redom.