Il compito dell’Incident Response Framework è quello di fornire uno strumento efficace al management (incident response teams (CSIRTs), system and network administrators, chief information security officers (CISOs), chief information officers (CIOs), security staff etc..) alla gestione e mitigazione dell’incidente di sicurezza informatico, capace di garantire la continuità operativa e che sia mezzo di difesa oltre che strumento utile alle fasi investigative.
Le linee guida per avere una capability di IR vengono dettagliate dal National Institute of Standards and Technology (NIST) attraverso l’Incident Response Framework.
Il NIST è un’agenzia governativa americana che definisce degli standard tecnologici, considerata oggi il più grande fornitore internazionale di materiali utili a prevenire e scongiurare attacchi terroristici, criminali, nonché accessi non autorizzati ai sistemi informatici.
L’Incident Response Plan è un processo strutturato e ripetibile utile alle organizzazioni a prevedere, prioritizzare e rispondere in maniera tempestiva ed efficace agli incidenti di cybersecurity grazie alla predisposizione di standard, policy, procedure e team adeguati.
L’Incident Response è la capacità operativa dell’Incident Management di minimizzare l’impatto delle violazioni e ripristinare nel più breve tempo possibile le regolari operazioni.
L’IRP prevede diverse fasi che permettono di prevenire o ridurre i danni causati da un incidente di sicurezza informatica grazie ad una anticipata e programmata verifica della capacità dell’organizzazione a rispondere a problemi di sicurezza stabilendo la messa in atto di tool e know-how necessari a prevenire la violazione.
Si tratta quindi di una attività preventiva che si basa sulla valutazione del rischio per rilevare e minimizzare gli incidenti di sicurezza grazie alla mitigazione dei punti deboli del Information Technology (IT) divenuta ormai sempre più soggetta a cyber attacchi che frequentemente compromettono dati personali e business.
Per fare ciò bisogna identificare ed analizzare costantemente le cyber minacce e poiché esse si evolvono e si trasformano costantemente, condividere le informazioni tra le diverse organizzazioni è il modo più efficace e rapido per farlo.
Al fine di garantire un efficace modello di interazione e cooperazione tra tutti gli attori coinvolti nel processo di gestione dell’incidente, è auspicabile che all’interno dell’organizzazione sia identificato un responsabile della Sicurezza Informatica, che possa sovraintendere i processi di gestione della sicurezza costituendo così il punto di contatto con il Computer Emergency Response Team (CERT) a cui sono affidate funzioni di responsabilità del monitoraggio degli incidenti a livello nazionale.
A loro volta i membri che compongono il team, in riferimento all’azienda che usufruisce del servizio, possono essere lavoratori impiegati della ditta, oppure il servizio di IR può essere gestito in parte dal team interno all’organizzazione mentre il restante risultare a carico di una azienda esterna. Esiste poi un terzo modo che prevede la gestione del processo esclusivamente a carico di un’azienda esterna.
E’ un processo che coinvolge persone, sistemi, network e applicazioni.
Devono essere individuati e catalogati tutti gli asset sensibili così come le varie possibili minacce, va predisposta quindi una strategia dove si definiscono le priorità sulla base dell’impatto che gli eventi potrebbero avere sull’organizzazione. Affinché non si verifichi e per ridurre gli eventuali danni, va messa in sicurezza tutta l’infrastruttura IT, realizzando Risk Assessment periodici, policy adeguate, patching continuo, messa in sicurezza del network, vanno quindi applicati tutti gli standard in materia.
Bisogna inoltre rendere disponibili e facilmente utilizzabili tutte le risorse utili alla gestione della crisi: software di crittografia e analisi, così come hardware utili alla mitigazione dell’incidente e al ripristino, documentazione facilmente consultabile degli incidenti, piano di comunicazione tra attori interni ed esterni, accesso facile ad un elenco dei contatti utili, software forense, storage sicuri.
Utili ad effettuare il rilevamento di un incidente sono i precursori, segnali che un incidente potrebbe verificarsi in futuro e gli indicatori, segnali che un incidente potrebbe essersi verificato o potrebbe essere in atto.
I precursori possono essere utilizzati per evitare che si verifichino incidenti, ma è molto raro che questi si verifichino, nella maggior parte dei casi si vedono prima gli indicatori. Questi producono solitamente migliaia di alerts al giorno e molti di questi possono essere dei falsi positivi, è per questo fondamentale realizzare una corretta analisi utile a determinare il verificarsi di un incidente.
Poiché le informazioni possono essere ambigue, incomplete o contraddittorie i tempi di analisi possono essere lunghi ed è necessario avvalersi di una squadra di esperti che si occupi delle SOP (Standard Operating Procedure), così come di strumenti tecnici quali sistemi IDS/IPS, sniffer di pacchetti, analizzatori di log, software di verifica dell’hash crittografico, software di automazione della sicurezza (es. SIEM).
La fase di Rilevamento e Analisi si struttura in:
La fase dell’attività post incidente, spesso indicata come post mortem è utile al miglioramento della postura dell’organizzazione in ambito sicurezza. Le lezioni apprese durante tutte le fasi precedenti vengono applicate per migliorare la preparazione alla gestione di incidenti futuri, grazie all’identificazione degli errori tecnici, procedurali, manuali, difetti di processo, problemi di comunicazione e/o qualsiasi vettore di attacco precedentemente sconosciuto. E’ importante a questo scopo creare un documento degli eventi che hanno causato l’incidente che includa prove, attori coinvolti, step di risposta e altri elementi chiave.
Articolo a cura della Redazione
Arrestato a Parigi il CEO di Telegram: cosa significa in termini di responsabilità delle piattaforme…
Introduzione In un contesto in cui la digitalizzazione sta crescendo costantemente, è importante sapere come…
Casi come Cellebrite Ufed v. Signal pongono in luce come la cybersecurity sia un fattore…
I Big Data stanno cambiando le regole del commercio online. Finalmente le aziende possono comprendere…
Dal punto di vista tecnico-operativo, le indagini di digital forensics vengono svolte utilizzando specifici strumenti…
Nell’ambito dell’email security esistono diversi protocolli volti a garantire l'autenticità, l'integrità e la riservatezza delle…