Klasörü aç
Prosedürlerini barındıran çalışma klasörünü seç ve Ask first’i seç; böylece her değişiklik onayını bekler.
İş akışları
NIST incident response framework: prosedürünü adım adım denetle
03
Bir prosedürü herkese açık rehberle karşılaştır
Burada NIST incident response framework, NIST’in 4 aşamalı olay yönetimi rehberi SP 800-61 anlamına gelir. Bir prosedür seç. Onu bu aşamalarla karşılaştır; ekibinin olay yönetiminde en çok zorlandığı bölümden başla ve eksikleri not al.
Herkese açık rehberi oku
Aracıdan rehberi web_search ve http_get ile okumasını ve aşamalarını bir not dosyasına yazmasını iste.
Aşamaları karşılaştır
Aracı prosedürünü read_file ve grep ile okur, ardından hangi aşamaları kapsadığını, hangilerine hiç değinmediğini listeler.
Diff’i incele
Önerilen her düzenlemeyi diff olarak oku, kuruluşuna uyanları kabul et, kalanları reddet.
Aracının yazabileceği kısa bir kontrol listesi
docs/triage.md dosyasını herkese açık rehberdeki aşamalarla karşılaştır ve nelerin eksik olduğunu listele.
- web_search
NIST SP 800-61 phases3 sonuç - http_get
nist.gov SP 800-61 pagegetirildi - read_file
docs/triage.mdokundu - grep
recovery0 eşleşme - edit_file
docs/triage.md+8 satır
Sonraki adımdan önce onayını bekliyorReddetKabul et
ir-checklist.md
# Incident checklist
## Prepare
- [ ] Review the contact list and owners
- [ ] Confirm the backup channel is written down
## Triage
- [ ] Open an incident record with date and time
- [ ] Note who reported it and how
## Contain
- [ ] Record who approves each decision
- [ ] Note times and keep copies of logs
## Communicate
- [ ] Tell the people listed in the plan
## Review
- [ ] Hold a review and assign owners and datesDosya kısadır. Küçük bir ekip böyle bir kontrol listesini tek sayfada, 5 aşama başlığı ve her birinin altında birkaç görev satırıyla tutabilir, daha sonra onu bir siber müdahale planına dönüştürebilir.
Bir taslağı SANS incident response framework ile çapraz denetle
İki herkese açık rehberin adımlarını karşılaştır
SANS incident response framework genellikle altı adım olarak öğretilir: hazırlık, tanımlama, sınırlama, ortadan kaldırma, kurtarma ve çıkarılan dersler. Aracıdan bu adımları SP 800-61’in 4 aşamasının yanına bir tabloda koymasını iste. web_search sayfaları bulur, http_get her seferinde bir sayfa getirir. Ardından read_file prosedürünü açar ve grep her adımı adıyla arar; sonuç, belgenin andığı ve atladığı adımların bir tablosu olur. Henüz hiçbir şey düzenlenmez. Tabloyu kendin oku ve herhangi bir düzenlemeden önce hangi eksiklerin önemli olduğuna iş arkadaşlarınla karar ver.
Kimin, ne zaman, nasıl bilgilendirileceğini ekle
Bir iletişim planı kimin, ne zaman, kim tarafından ve hangi kanaldan bilgilendirileceğini yanıtlar; yedek kanal da etkilenebilecek sistemlere bağlı olmamalıdır. Üçüncü taraf tedarikçileri değerlendiriyorsan her birinden bir olay iletişim kişisi iste ve listeye ekle, çünkü bir tedarikçideki olay kendi sistemlerini de etkileyebilir. read_file listeyi açar, edit_file yönetim, BT, hukuk, İK, etkilenen çalışanlar, müşteriler ve yetkililer için bir iletişim bölümü ekler. Bildirim yükümlülükleri ve süreleri ülkeye ve sektöre göre değişir, bu yüzden bunları hukuk danışmanıyla doğrula; bu hukuki tavsiye değildir. Ask first diff’i gösterir. Ardından listeyi sınamak için her kişiyi elle bir kez ararsın.
