monitorowanie incydentów

Monitorowanie incydentów to bieżące śledzenie zgłoszonych zdarzeń bezpieczeństwa aż do ich zamknięcia.

Rejestrowanie i klasyfikowanie incydentów

Monitorowanie incydentów rozpoczyna się od zebrania informacji o zdarzeniu i utworzenia jednoznacznego zgłoszenia. Incydentem może być między innymi infekcja złośliwym oprogramowaniem, wielokrotne nieudane logowanie do konta, utrata dostępu do plików, podejrzana wiadomość z załącznikiem, nagłe wyłączenia komputera albo wykrycie nieznanego urządzenia w sieci lokalnej. W zgłoszeniu zapisuje się co najmniej datę i godzinę wykrycia, źródło informacji, opis objawów, urządzenie lub konto, którego dotyczy problem, oraz osobę odpowiedzialną za dalszą obsługę.

Sam wpis w rejestrze nie powinien być utożsamiany z potwierdzeniem awarii lub ataku. Najpierw trzeba oddzielić zdarzenie informacyjne od incydentu wymagającego reakcji. Na przykład pojedyncza nieudana próba logowania może być normalnym błędem użytkownika, natomiast wiele prób z różnych adresów w krótkim czasie wymaga sprawdzenia logów, konta i konfiguracji zabezpieczeń. Przydatne jest nadanie zgłoszeniu priorytetu według wpływu na pracę oraz pilności. Niedziałający komputer używany do pracy może mieć wyższy priorytet niż ostrzeżenie dotyczące urządzenia, które nie jest aktualnie wykorzystywane.

Śledzenie przebiegu obsługi i odpowiedzialności

Skuteczne monitorowanie obejmuje cały cykl życia zgłoszenia, a nie tylko moment pojawienia się alarmu. Typowy przebieg zawiera wykrycie, wstępną ocenę, przypisanie osoby obsługującej, analizę przyczyny, ograniczenie skutków, usunięcie problemu, sprawdzenie poprawności działania oraz zamknięcie incydentu. Każda zmiana statusu powinna mieć znacznik czasu i krótką notatkę wyjaśniającą, co zostało wykonane. Dzięki temu można ustalić, czy problem oczekuje na działanie użytkownika, serwisanta, administratora sieci lub dostawcy oprogramowania.

Ważne jest również monitorowanie terminów reakcji i kolejnych czynności. Jeżeli zgłoszenie pozostaje bez właściciela, system ewidencji powinien sygnalizować ten stan. Podobnie należy oznaczyć brak odpowiedzi na prośbę o dostarczenie logów, opóźnienie w wykonaniu kopii zapasowej albo ponowne wystąpienie tego samego objawu po pozornym usunięciu usterki. Historia powinna rozróżniać fakty od przypuszczeń: informacja „proces antywirusowy wykrył plik” jest innego rodzaju niż hipoteza „plik mógł zostać pobrany z poczty”. Takie rozdzielenie ułatwia późniejszą weryfikację diagnozy.

Alerty, logi i potwierdzenie usunięcia problemu

Do bieżącego monitorowania wykorzystuje się komunikaty z systemu operacyjnego, programu ochronnego, zapory sieciowej, routera, aplikacji oraz dzienników zdarzeń. Same logi nie gwarantują wykrycia incydentu, ponieważ mogą być niepełne, nadpisane lub zapisane z nieprawidłowym czasem. Dlatego podczas analizy sprawdza się źródło wpisu, zakres czasowy, identyfikator urządzenia, konto użytkownika i powtarzalność zdarzenia. Zegary komputerów powinny być ustawione spójnie, ponieważ różnica kilku minut może utrudnić połączenie zdarzeń pochodzących z różnych urządzeń.

Alert powinien zawierać informację wystarczającą do podjęcia pierwszej decyzji, ale nie może generować tak dużej liczby powtórzeń, aby ukrywać ważne komunikaty. W praktyce warto grupować identyczne ostrzeżenia, ustalać progi dla powtarzających się zdarzeń i zapisywać, dlaczego alert został uznany za fałszywy lub niegroźny. Po wykonaniu naprawy nie wystarczy skasować komunikatu. Należy sprawdzić, czy objaw ustąpił, czy urządzenie działa poprawnie, czy nie pojawiają się nowe błędy oraz czy użytkownik odzyskał wymagany dostęp. Jeżeli problem dotyczył pliku, konta lub programu, kontrola powinna obejmować także ponowne skanowanie i test konkretnej funkcji.

Monitorowanie incydentu podczas serwisowania komputera

W przypadku laptopa lub komputera PC monitorowanie pomaga uporządkować diagnostykę, zwłaszcza gdy objawy występują okresowo. Przed rozpoczęciem prac zapisuje się stan urządzenia: komunikaty błędów, temperatury, zachowanie systemu, dostępność dysku, działanie sieci i ostatnie zmiany w konfiguracji. Następnie obserwuje się, czy problem pojawia się po uruchomieniu określonego programu, podłączeniu urządzenia USB, wzroście obciążenia procesora lub połączeniu z konkretną siecią. Takie dane są bardziej użyteczne niż ogólne stwierdzenie, że komputer „czasami się zawiesza”.

Warszawskie Pogotowie Komputerowe zajmuje się profesjonalną naprawą laptopów, komputerów PC i ich podzespołów, a w ramach diagnostyki można uporządkować informacje o objawach, komunikatach oraz wykonanych czynnościach. Po naprawie istotne jest odnotowanie zastosowanego rozwiązania, wymienionych elementów, zmian w oprogramowaniu i wyniku testu końcowego. Jeżeli incydent pozostawił ślady w logach, warto zachować odpowiednie wpisy do czasu zakończenia weryfikacji. Zamknięcie zgłoszenia powinno nastąpić dopiero wtedy, gdy przyczyna została usunięta albo jasno udokumentowano, że dalsze działania wymagają innego zakresu prac.