有消息称,多达1.43亿美国人的数据通过消费信贷报告机构Equifax 被窃取,这一消息再次将数据安全推入了新闻。
虽然这次攻击特别令人震惊——被盗数据包括社会安全号码、出生日期、驾照号码和一些信用卡号码——但每一次数据泄露都有可能对生活和企业造成严重破坏。
消费者想知道他们能做什么,而且重要的是,他们想知道他们委托的公司做了什么,以保证他们的安全。
学习Rackspace如何处理数据安全,为了学习Rackspace如何处理数据安全,我与Rackspace管理安全运营总监Daniel Clayton和我们客户安全操作中心的高级经理Travis Mercier一起商谈,了解所有公司都应该遵循的提高操作弹性的经验,以便能够更好地应对日后类似的攻击。
Clayton在为美国国家安全局和英国军方建立和运行了20多年的运营后,来到Rackspace,负责监督全球客户安全操作和Rackspace管理安全的战略。Mercier拥有13年的网络安全经验,他负责公司的日常安全运营。
在一次重大的突破之后,幕后发生了什么?首先,会发生什么?
尽管每个安全操作都是不同的,但您首先要做的是评估情况——了解您失去了什么,谁需要从各个部门拉进来,然后开始调查事实。
下一步是决定谁、什么、什么时候、在哪里、为什么以及如何做。具体地说:
数据泄露背后的幕后操作者是谁?这有助于找出原因,以及如何帮助理解动机和战术、技术和程序,或TTPs。在这一步中不要花费太多时间是很重要的,因为您冒着被拒绝回答其他关键问题的风险,虽然归因是有帮助的,但并不是所有的事情都在调查中。
什么数据被拿走了,数据的范围被泄露了?这可以帮助您了解对手和他们的动机是什么数据,从而开始寻找对手可能在哪里进行了投票,或者对手可能试图进入的其他地方。
这一数据是何时发生的?这个活动什么时候开始的,它持续了多长时间?这将有助于通过缩小安全团队分析的时间范围来进行调查。它避免了大范围捕捉——在更大的一段时间内回顾所有的活动。
泄露的数据存储在哪里?这将有助于限制调查的范围,并将重点放在特定的一套系统上,从而极大地缩短开始调查的时间,并开始确定下一步的行动。
为什么对手要攻击这些系统?这实际上是为了更好地理解对手的动机,这有助于确定对手是谁,以及他们想要达到的目标是什么类型的数据和目标。
他的对手是如何获得被入侵的系统和应用程序的?这可以说是最重要的问题,也是解决黑客攻击和切断攻击者权限的关键。了解攻击者如何能够利用环境,使组织能够部署对抗措施和修复漏洞,以阻止当前的攻击者,并帮助阻止其他攻击者使用类似的技术来获得访问权。
一旦所有的决定都确定下来,下一步就是找出阻止或减缓出血的最好方法。这将取决于对手的情况,以及此次攻击活动的持续时间。如果您知道这是他们第一次进入到环境中,并且只在24小时内或更少的时间内采取最小的行动,那么最好立即切断他们的联系。但是,如果这个漏洞已经持续了6个月或更长时间,那么很有可能他们有多种方式重新回到环境中,您需要在充分参与之前对其进行评估。
如果妥协发生较大的一段时间,它是把一些缓和的关键控制,但您要小心,您可能不想完全切断对手,因为如果您控住他们,他们可以休眠,或者更糟的是,成为恶意和毁灭证据。这真的会使调查复杂化。
一家公司是如何组织补救工作的?他们如何传达所发生的事情?
在这种情况下,有三种沟通方式是非常重要的。首先,您需要一个内部沟通计划。在组织内部会有多个团队来响应一个缺口。也许这是因为您需要对某个特定系统进行取证,或者您需要在安全和IT团队之间进行协作。无论它是什么,一个内部的通讯计划必须到位,必须被理解并且必须被执行,这样能让每个人都在一起工作。
其次,您必须考虑如何告诉您的客户。有没有可能发生的任何事情都在影响着他们,而不是他们的数据在那里,但是对手是否能够从您的环境转移到客户的环境中呢?您是否需要积极地从事件响应的角度向您的客户传达信息?
最后,还有法律方面的问题。您有义务告诉别人,在透明度方面做什么是正确的,您什么时候打电话,什么时候和媒体说话等等。
很多时候,安全人员会认为最坏的情况——您会看到一些东西,并且确信有数据外的过滤,之后就会发现事实并非如此。我已经见过很多次了,所以很重要的一点是,要把沟通的内容扣好,清楚地表达您的意思,否则您会让事情变得更糟。
第一个24-36小时真的很关键吗?
TM:是的。现在是时候让所有合适的党派进入一个战争房间-一个大型的会议室或者一个数字平台,人们可以谈论这个问题。
我们的目标是保持团队之间的沟通。通常情况下,这些都是带外通信的类型,因为如果您的环境中有对手,您就不知道电子邮件或其他通信方式是否已经被破坏了。因此,制定一个关于如何向您的团队泄露信息的行动计划是非常关键的。
我们可以做些什么来帮助准备违约呢?
DC:当我在纽约解决问题时,Sean Wessman,这位在安永的汽车和交通安全主管,描述了他所做的一件事;当他到达大楼的时候,人们在大厅里哭着,因为他们认为这将是公司的世界末日。人们对可能犯的错误作出情绪化的反应并不罕见——人们会把它看成是自己的错误。
如果您还没有准备好,那就是在这段时间里,人们不会直接思考,事情可能会导致诉讼。有人试图掩盖一些事情,有人试图去解决一些问题,却不知道他们在做什么——这些事情会反过来影响您。您必须试着为每一种可能的情况做好准备,所以当您做出反应时,它就像一个训练,它是肌肉记忆,而不是情感反应,这是大多数时候发生的事情。
我的建议是,不要只考虑安全团队,还要考虑如何支持安全团队,以及所有需要发生的次要问题,以使事件响应有效。所以当人们不得不处理它的时候,他们并不是第一次这样做。它不是“哦,我的上帝”它是“哦,我的上帝,我知道该怎么做”
企业如何提高运营弹性?
一般来说,我们认为三个层次的操作是成熟的,这是您从一个人,过程和技术的角度所实现的。这是一种有效的能力,也就是您能发挥您所建立的潜能的能力。还有弹性,也就是您在压力和压力下的能力。
在这些情况下,弹性是重要的。这就是事情出错的地方,人们会变得情绪化、疲惫,做出糟糕的决定。在我所有的经验中,我没有找到比实践更好的方法来准备。大多数公司根本就不练习——他们把东西放在他们认为会保护他们的地方,然后就交叉双指,但是当事情不顺利的时候,不要想该怎么做。如果您没有仔细考虑过,并处理了当您执行某件事时将会发生的事情,那么您就真的相信运气了。
即使是最具前瞻性的公司,也会认真对待战争游戏,十次中有九次,他们只是在测试安全操作中心。他们没有在企业级测试他们的响应。