UNIVERSITATEA ALEXANDRU IOAN CUZA DIN IAŞI

FACULTATEA DE ECONOMIE ŞI ADMINISTRAREA AFACERILOR

SPECIALIZAREA INFORMATICĂ ECONOMICĂ

ProiectSecuritatea Sistemelor

Informaționale

Coordonator: Profesor dr. Munteanu Adrian

Studenți: Pele Bianca Ioana

31040701SL11182

Zavate Ciprian

Anul 2016

WORKMARK: CYBERSECURITY INCIDENT RESPONSE CASELET

1.Detail the difference between an event and an incident for the junior analyst. Describe ways to determine if this is, in fact, an incident or just an event:

Un eveniment este o schimbare observată la comportamentul normal al unui sistem, mediu, proces, flux de lucru sau o persoană.

Un incident este un eveniment cauzat de om rău intenționat, care duce la (sau poate duce la) o perturbare semnificativă a activității. Ceea ce trebuie remarcat este faptul că un eveniment poate deveni un incident, dar nu și viceversa.

Următoarele exemple sunt câteva scenarii pentru a demonstra logica din spatele distincției dintre incidente și evenimente.1.ATACURI DE COD RĂU INTENȚIONATEveniment -.Un utilizator raportează că l-ar fi lovit un anumit virus.Potențial de incidente - Sistemul lor prezintă comportamente tipice pentru acest virus special.2. REFUZUL RESURSELOR(NEACCESAREA DATELOR)Eveniment - Un utilizator raportează ca nu poate avea acces la un serviciu.Potențial de incidente - Mulți utilizatori raportează ca nu pot avea acces la un serviciu.

Pentru a concluziona valoarea celor doi termeni sau celor două procese diferite putem menționa faptul că monitorizarea unui eveniment nu este doar pentru a detecta “un lucru greșit” ci și pentru a obține asigurarea faptului că lucrurile “merg bine”. Atunci când evenimentele raportate indica un “lucru cu adevarat greșit” atunci are loc un incident și solicita procesul de gestionare a incidentelor.

Pentru a determina dacă evenimentul ar trebui clasificat drept un incident se răspunde la aceste întrebări, care ar putea oferi o imagine mai clară a modului de a clasifica problema:· Este un risc pentru integritatea datelor?· Este un risc pentru disponibilitatea resursei?· Este un risc pentru confidențialitatea datelor?· Este activitatea anormală? Este o încălcare împotriva politicilor de securitate ai companiei?

În cazul în care răspunsul la una din întrebările de mai sus este da, atunci probabil evenimentul este un incident .2.Describe the appropriate steps within each of the incident response phases above.2.1.Prepararea presupune pregătirea intrumentelor și instruirea personalului înainte de a avea loc un incident.2.2 Identificarea: Identificarea incidentelor în detaliu, si anume: semnele care indică natura și scopul incidentului, data când s-a constatat, sursa exactă a incidentului (locația serverului), site-urile la care se încearca conectarea, impactul pe care îl are asupra organizației și trebuie contactat atât centrele de date cât și SEIM.

2.3 Izolarea: Se închide imediat sistemul pentru a preveni posibile pagube colaterale. Acest lucru poate însemna revocarea conturilor de utilizator, blocarea accesului la firewall-ul sau actualizarea regulilor antivirus pentru a detecta codul rău intenționat.2.4. Eradicarea: Elimină codul rău intenționat, contul neautorizat, sau angajatul care a cauzat incidentul.2.5. Recuperare: Se asigura că sistemul îndeplinește standardele companiei sau a liniilor de bază, înainte de a-l pune in functiune. Se continuă monitorizarea sistemului pentru a detecta orice comportament aberant astfel incat să fie sigur că incidentul a fost pe deplin rezolvat.

a) What should have been included in the preparation phase to prepare for an incident like this?

În etapa de pregătire pentru un incident,companie ar trebui să ofere educație și formare personalului desemnat ca punct de contact ( POC) și altor angajați implicați în gestionarea incidentelor și a investigațiilor, în conformitate cu rolurile și responsabilitățile fiecăruia. Instruirea include tehnici de răspuns, tehnici de investigare, tehnici de interviu și de analiză . b) Which information should be gathered in the detection and analysis phase, and who should be contacted? La etapa de detectare și de analiză, informațiile colectate sunt informații referitoare la cum s-a încălcat securitatea respectiv regulile de utilizare a computerului. Mai mult decât atât , după ce s-a confirmat faptul că a fost un incident, se analizeaza impactul incidentului asupra sistemului, apoi se determina aria de distribuție a impactului pentru a stabili dacă incidentul este de grad superior, în acest caz trebuind abordat prin localizarea zonei afectate, iar in cazul incidentelor obișnuite pot fi tratate rapid, fără a fi nevoie localizarea zonei incidentului .Trebuie contactat SEIM și CISO.c) Describe the importance of the containment, eradication, and recovery steps.

Etapa de izolare se efectueaza pentru a preveni deteriorarea continuă a sistemului atacat. Prin izolare fiecare incident va fi localizat, astfel încât să nu provoace un impact suplimentar asupra sistemului sau dispozitivului. După aceasă etapă are loc eradicarea printr-o analiza mai profundă a probelor care au fost reținute. Odata cu identificarea rapidă a incidentului și în mod corespunzător va ajuta foarte mult compania în faza de recuperare. Se efectueaza recuperarea eficientă a sistemelor informatice afectate de incident și se determină dacă acel sistem este în măsură să ruleze din nou.d) What sort of post-incident activity should be conducted and who should notified.- Exact ce s-a întâmplat, și în ce moment?- Cât de bine s-a descurcat personalului și managementul?- Au fost urmate procedurile din documentație?- Au fost ele adecvate?- Au fost orice măsuri sau acțiuni întreprinse care ar putea fi inhibat de recuperare?- Cum v-a reacționa personalul și conducerea data viitoare când are loc un incident similar?- Ce instrumente suplimentare sau resurse sunt necesare pentru a detecta, analiza și atenuarea incidentelor viitoare?Trebuie notificat atât SEIM cât și CISO.

e) Referencing the iterative nature of incident response, what information should be fed back into the preparation stage?

Informațiile ce trebuie trimise la starea de preparare sunt etapele și rezultatele care au fost obținute în tratarea incidentului, precum impactul și costul incidentului asupra rețelei. Toate măsurile luate pe parcursul ciclului de răspuns la incident ar trebui revizuite pentru a vedea eventualele îmbunătațiri ce pot fi aduse.