Rilevamento e risposta agli incidenti informatici in un team piccolo: chi fa cosa e come dividersi i ruoli?

La primissima cosa da fare è attivare l'isolamento di rete automatico sugli endpoint. In due non potete controllare i log, ma se il client si scollega da solo dalla rete al rilevamento di un comportamento anomalo, guadagnate ore preziose per intervenire.

In un team di due la divisione dei ruoli è quasi sempre la stessa: uno prova a spegnere l'incendio l'altro spiega al titolare perché l'azienda non sta fallendo. cioè scherzi a parte senza automazione o supporto esterno un attacco che parte alle 03:00 di notte lo scoprite solo la mattina a inizio turno.

Createvi una guida pratica e semplice partendo da qualche template. 1) Stacca la rete, 2) Resetta le password, 3) Fai l'immagine del disco. Quando siete nel pallone basta seguire quel foglio, nel panico è la cosa che aiuta di più.

Anche noi siamo un team di tre persone e abbiamo subito la stessa pressione. La direzione pensava che potessimo fare tutto noi. Alla fine abbiamo presentato un prospetto costi molto chiaro: se volete un monitoraggio 24/7, o assumete personale per coprire i turni oppure esternalizziamo il servizio. L'outsourcing è costato molto meno rispetto al personale ed è finita l'ansia.

Qual è la vostra attuale policy di backup? Il pilastro della risposta agli incidenti è poter ripristinare da un backup pulito. Fate test regolari sui backup di server e dati critici completamente isolati dalla rete?

Molte aziende che vendono servizi di monitoraggio per piccole realtà si limitano a inoltrare gli alert grezzi. Se devono solo mandarvi una mail di notte dicendo che c'è una richiesta sospetta da un certo IP e lasciare la grana a voi, sono soldi buttati. Cercate servizi che isolino davvero gli endpoint in automatico.

Nel piano di risposta inserite assolutamente questi 3 punti: 1) Divieto assoluto per chiunque di decidere autonomamente di pagare un riscatto, 2) Obbligo di conservare le immagini disco come prova prima di qualsiasi formattazione, 3) Canale di comunicazione alternativo da usare in emergenza se la mail aziendale è fuori uso.

il servizio di sicurezza gestito copre anche i sistemi di posta in cloud o monitora soltanto i computer fisici in ufficio? abbiamo un'infrastruttura simile e mi incuriosiva saperlo.

edit: ho scritto una cosa sbagliata sopra, scusate.

Vorrei fare una domanda. Se cerchi di cambiare tutto insieme niente si stabilizza.

Le decisioni affrettate diventano decisioni da correggere sei mesi dopo. comunque buon lavoro.

Ha ragione. Se ricevete tre risposte diverse su un argomento la domanda è posta male.

È tutto, scusate se mi sono dilungato.

Non trascurare nulla: La sicurezza non è assoluta; significa rendere l'attacco non conveniente.

La risposta sopra ha colto l'essenza della questione. Quando prendi una decisione, guarda prima quali dati hai a disposizione.

Questa è la mia opinione, non la scrivo come verità assoluta.

Questo consiglio non va bene per tutti secondo me. La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata.

Buon lavoro.

Lo sentiamo dire da tempo, ma da noi non è mai andata così. Quando prendi una decisione, guarda prima quali dati hai a disposizione.

La risposta varia molto in base al settore, non esiste una regola generale.

Riassumo l'argomento, perché sono state date diverse risposte. Quando prendete una decisione, scrivete anche lo scenario peggiore, non solo quello migliore.

Confermato dall'esperienza.

Assolutamente. Se devo aggiungere qualcosa: Se è la prima volta, inizia in piccolo, il ridimensionamento viene dopo.

Correggetemi se sbaglio.

Grazie mille, proverò oggi. Le persone difendono le abitudini, non i processi. La resistenza nasce da lì.

Correggetemi se sbaglio.

Ti seguo.