klasyfikacja incydentu

Klasyfikacja incydentu to przypisanie zdarzenia bezpieczeństwa do kategorii określającej jego wagę i tryb reakcji.

Klasyfikacja incydentu jako decyzja operacyjna

Klasyfikacja incydentu polega na przypisaniu zdarzeniu bezpieczeństwa określonej kategorii, poziomu ważności oraz trybu dalszej obsługi. Nie jest to samo stwierdzenie, że wystąpił błąd programu. Incydentem może być między innymi wykrycie złośliwego pliku, przejęcie konta, nieautoryzowana zmiana konfiguracji, utrata dostępu do danych, podejrzane połączenie sieciowe albo wielokrotne nieudane logowanie. Klasyfikacja porządkuje informacje o tym, co się wydarzyło, jak szeroki jest zasięg zdarzenia i jakie działania powinny nastąpić w pierwszej kolejności.

W praktyce ocenia się co najmniej wpływ na poufność, integralność i dostępność informacji. Naruszenie poufności oznacza możliwość odczytu danych przez nieuprawnioną osobę. Naruszenie integralności dotyczy nieautoryzowanej zmiany plików, ustawień lub zapisów. Utrata dostępności występuje wtedy, gdy system, dokumenty albo urządzenie przestają działać w wymagany sposób. Do oceny dodaje się zakres zdarzenia, czas jego trwania, prawdopodobieństwo dalszego rozprzestrzeniania oraz pewność, że obserwacja rzeczywiście wskazuje na incydent, a nie na zwykłą awarię.

Kryteria poziomu ważności zdarzenia

Poziom ważności powinien wynikać z ustalonych kryteriów, a nie wyłącznie z emocjonalnej oceny osoby zgłaszającej problem. Incydent niski może dotyczyć pojedynczego urządzenia, nie powodować utraty danych i być możliwy do odizolowania bez przerwania pracy. Incydent średni może obejmować kilka kont lub komputerów, blokować istotną funkcję albo wymagać przywrócenia ustawień z kopii zapasowej. Incydent wysoki wiąże się z aktywnym działaniem złośliwego oprogramowania, trwałą utratą dostępu, nieautoryzowanymi zmianami wielu plików lub ryzykiem dalszego zajmowania urządzeń.

Ważność nie jest tym samym co prawdopodobieństwo wystąpienia. Podejrzany załącznik, który został zablokowany przed otwarciem, może mieć wysoką wiarygodność jako próba ataku, ale niewielki wpływ na działanie komputera. Z kolei uszkodzenie dysku bez oznak działania napastnika może nie być incydentem bezpieczeństwa, lecz awarią sprzętową o bardzo poważnych skutkach dla dostępności danych. Dlatego opis powinien rozdzielać przyczynę, skutek i poziom pewności. Dobrze zapisane zgłoszenie może zawierać godzinę wykrycia, identyfikator urządzenia, użytkownika, objawy, wykonane działania oraz informację, czy problem występuje nadal.

Od zgłoszenia do zamknięcia incydentu

Proces rozpoczyna się od rejestracji obserwacji bez usuwania istotnych śladów. Należy zanotować komunikaty systemowe, nazwy podejrzanych plików, adresy stron lub połączeń, czas wystąpienia oraz zmianę zachowania urządzenia. Następnie wykonuje się wstępną kwalifikację: odróżnia się awarię sprzętu, błąd konfiguracji, problem z aktualizacją i potencjalne naruszenie bezpieczeństwa. Jeżeli istnieje ryzyko aktywnego działania szkodliwego programu, komputer można odłączyć od sieci, o ile nie utrudni to zebrania potrzebnych informacji i nie spowoduje dodatkowej utraty danych.

Po nadaniu klasy incydent otrzymuje właściciela obsługi, termin kolejnej oceny i plan działań. Typowe czynności obejmują izolację urządzenia, zmianę zagrożonych danych uwierzytelniających, usunięcie złośliwego oprogramowania, przywrócenie poprawnej konfiguracji, odzyskanie plików z kopii zapasowej oraz sprawdzenie, czy objawy ustąpiły. Zamknięcie nie powinno polegać wyłącznie na skasowaniu komunikatu. Trzeba potwierdzić stan końcowy, opisać przyczynę lub najbardziej prawdopodobny mechanizm zdarzenia, zapisać zakres wykonanej pracy i wskazać, czy klasyfikacja zmieniła się po uzyskaniu nowych dowodów.

Klasyfikacja incydentu podczas pracy z komputerem

Na pojedynczym laptopie lub komputerze PC klasyfikacja pomaga ustalić, czy problem wymaga natychmiastowego przerwania pracy, czy może zostać obsłużony po zabezpieczeniu danych. Nagłe szyfrowanie wielu dokumentów, pojawienie się nieznanych kont użytkowników, samoczynne instalowanie programów albo utrata kontroli nad przeglądarką są sygnałami wymagającymi ostrożności i zebrania informacji przed przywróceniem systemu. Natomiast pojedynczy błąd aplikacji, który znika po ponownym uruchomieniu i nie powoduje zmian w plikach, może wymagać najpierw diagnostyki programu, dysku, pamięci operacyjnej lub systemu plików.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, dlatego w przypadku objawów łączących awarię sprzętu z podejrzeniem incydentu ważne jest przekazanie dokładnego opisu zdarzenia, czasu jego wystąpienia oraz informacji o wykonanych działaniach. Nie należy samodzielnie usuwać wszystkich plików, formatować dysku ani instalować przypadkowych narzędzi, jeżeli może to zniszczyć dane potrzebne do ustalenia przyczyny. Klasyfikacja pozostaje użyteczna także po zakończeniu naprawy, ponieważ pozwala oddzielić uszkodzenie podzespołu od problemu z systemem, aplikacją lub konfiguracją zabezpieczeń.