7 ژوئیه 2023 -© shutterstock/husjur02
کای تامسن، مدیر خدمات پاسخگویی به حوادث جهانی در دراگوس، سه نکته مهم را هنگام تدوین طرح واکنش به حادثه برای حملات سایبری صنعتی بیان می‌کند.
در دنیایی که حملات سایبری موفقیت آمیز اجتناب ناپذیر است، برنامه های واکنش به حوادث مهم تر از همیشه هستند. این امر به ویژه برای شبکه های صنعتی صادق است. عواقب بالقوه یک حمله سایبری صنعتی بسیار فراتر از جنبه مالی یا شهرت است – تداوم کسب و کار، تجهیزات و حتی جان انسان ها در خطر است.
علاوه بر این، طرح‌های واکنش به حادثه برای محیط‌های صنعتی از همتایان سازمانی خود متمایز است. به دلیل تأثیرات جنبشی بالقوه، تیم‌های امنیتی مجبورند ایمنی را بر تداوم کسب‌وکار و کاهش آسیب اولویت دهند. باید مراقبت بیشتری انجام شود تا اطمینان حاصل شود که مداخله ضرری بیش از فایده ندارد.
تیم های واکنش به حوادث صنعتی اغلب در محیط های خطرناک کار می کنند، به این معنی که کار آنها به خودی خود خطرناک است. برای پیچیده تر کردن مسائل، فناوری های درگیر در حملات سایبری صنعتی می توانند به طور قابل توجهی با سایر بخش ها متفاوت باشند. اغلب، فناوری‌های قدیمی یا سیستم‌های سطح پایین درگیر هستند که ممکن است مستندات ضعیفی داشته باشند یا سیستم‌عامل‌های معمولی را اجرا نکنند.
چالش‌های مربوط به پاسخ به حملات سایبری صنعتی متعدد است و خطرات آن نیز زیاد است. یک طرح جامع و آزموده شده واکنش به حادثه تنها راه برای مقابله موثر با یک حادثه سایبری در بخش‌های ICS یا OT است.
1. اصول اولیه را به درستی دریافت کنید
قبل از شروع به تهیه پیش نویس طرح واکنش به حادثه، مهم است که اصول اولیه را به درستی دریافت کنید.
اطمینان از یا ایجاد روابط کاری خوب بین تمام کارکنان شما یک مکان عالی برای شروع است.سرعت در صورت حمله سایبری بسیار مهم است، و ضروری است که ارتباطات ضعیف پاسخ شما را کاهش ندهد.
اغلب در بخش صنعتی، کارکنان صنعتی و امنیت سایبری با نگرانی‌ها و مجموعه مهارت‌های متفاوتی ارتباط ندارند. ضروری است که هر دو تیم نه تنها کار یکدیگر را درک کنند، بلکه نحوه تداخل نقش‌هایشان و نحوه همکاری آنها در صورت وقوع حادثه ضروری است.
درک محیط و فرآیندهای تولید سازمان برای ایجاد یک طرح واکنش به حادثه بسیار مهم است و تیم‌های امنیت سایبری تنها با کار با کارکنان زمینی می‌توانند به این درک دست یابند.
هنگامی که این روابط برقرار شد، باید اطمینان حاصل کنید که درک جامعی از محیط سازمان خود – هم فیزیکی و هم دیجیتال – دارید. انجام نقشه‌برداری شبکه، موجودی‌های دارایی و ممیزی کمبودهای معماری، همگی برای شناخت واقعی یک محیط حیاتی هستند.
روابط کاری که ایجاد کرده‌اید در اینجا سود زیادی به همراه خواهد داشت، زیرا می‌توانید کارمندانی را از سراسر شرکت وارد کنید تا مطمئن شوید که چیزی را از دست نداده‌اید یا اشتباه متوجه نشده‌اید. مهم است که همه این کارها از قبل انجام شود – انجام این فعالیت ها قبل از وقوع یک حادثه هزینه نسبتا کمی دارد، اما تیم های واکنش به حادثه می توانند در مواقعی که وضعیت فوری است و منابع زیادی نیاز دارد، حق بیمه دریافت کنند، همانطور که در بیشتر موارد در پی وقوع حادثه اتفاق می افتد.
اکنون که درک عمیق‌تری از محیط خود دارید، بهتر می‌توانید ناهنجاری‌ها را تشخیص دهید و قبل از اینکه آسیب زیادی وارد شود، نسبت به آنها واکنش نشان دهید.
طرح واکنش به حادثه
با این حال، مهم است که به یاد داشته باشید که هر نفوذی تأثیرات آشکاری ندارد. اگر در اینجا متوقف شوید، بازیگران بد می‌توانند ماه‌ها را در سیستم‌های شما بگذرانند، درک خود را به دست آورند و در نهایت از آن برای ایجاد خرابی در سازمان شما استفاده کنند.
برای جلوگیری از این امر، مدیریت آسیب‌پذیری و شناسایی غیرفعال ضروری است – شما هر کاری که ممکن است برای جلوگیری از ورود مجرمان سایبری انجام خواهید داد و اگر وارد شوند، فوراً متوجه خواهید شد.
در حالی که فرآیندهای فوق ممکن است واضح به نظر برسند، مهم است که به یاد داشته باشید که اغلب در فضاهای صنعتی نادیده گرفته می شوند. با فرض اینکه قبلاً روابط کارکنان را تقویت کرده اید، درک درستی از محیط خود به دست آورده اید، یا تشخیص غیرفعال و مدیریت آسیب پذیری را در اختیار دارید – مهم است که هیچ مرحله ای را نادیده نگیرید.
2. علل اولیه نگرانی را درک کنید
به محض اینکه محیط تان مرتب شد، آماده اید که درباره بدترین سناریوهای خود فکر کنید. با کارکنان اجرایی و صنعتی مصاحبه کنید تا دریابید که بدترین روز ممکن آنها چه خواهد بود. مطمئن شوید که همه چیزهایی را که ممکن است اشتباه پیش برود درک کرده و ثبت کنید – اینها دلایل اصلی نگرانی شما هستند.
هنگامی که بدترین سناریوهای خود را دارید، شروع کنید به فکر کردن در مورد اینکه چه چیزی می تواند باعث آنها شود. بسیاری از دلایل مربوط به سایبری نخواهد بود، اما به هر حال مهم است که آنها را نقشه برداری کنید. با مسائل ابتدایی تر و فیزیکی مانند خرابی تجهیزات یا خطای انسانی از بالا شروع کنید و در نهایت به مشکلات کامپیوتری خواهید رسید.این می تواند شامل دیجیتال آسیب پذیر باشد.دستگاه‌هایی در شبکه‌های صنعتی که می‌توانند مشکلاتی را در سراسر محیط یک سازمان ایجاد کنند.
این علل و دستگاه‌ها باید در مرکز برنامه واکنش به حادثه شما باشند. آنها جواهرات تاج شما هستند و باید محافظت شوند. تمرینات روی میز، بازیابی فاجعه، نظارت بر شبکه و شکار تهدید را بر روی هر چیزی که می تواند باعث ایجاد مشکل در محیط شما شود، اجرا کنید.
این امر به شما کمک می‌کند بفهمید که چه چیزی و چگونه ممکن است مشکل پیش بیاید، و همچنین چگونه می‌توانید مشکل را پس از وقوع آن برطرف کنید.
مهم است که به یاد داشته باشید که جواهرات تاج شما همیشه بلافاصله آشکار نمی شوند. با فرض اینکه می‌دانید همه دلایل اصلی نگرانی شما می‌تواند منجر به فاجعه شود – اگر مشکلاتی در منطقه‌ای از سازمان شما ایجاد شود که فکر نکرده‌اید. شما ناآماده خواهید ماند. ضروری است که هیچ یک از این مراحل را نادیده نگیرید.
3. طرح واکنش به حادثه باید به طور کامل آزمایش شود
شما باید برنامه واکنش به حادثه خود را مرتباً اجرا کنید. حملات سایبری اغلب می‌توانند در اواخر شب، در تعطیلات رسمی یا هر دو رخ دهند، و باید بدانید که می‌توانید حتی زمانی که مناسب نیست، پاسخ دهید. کسی باید آماده باشد که هر لحظه وارد عمل شود، وگرنه تمام کار شما بیهوده خواهد بود.
همچنین مهم است که تک تک اعضای کارکنان نقش خود را در صورت حمله سایبری درک کنند. از شبکه تلفن خود عبور کنید و مطمئن شوید که موثر و به روز هستند. اگر یک تیم واکنش به حادثه را روی نگهدارنده نگه می دارید، مطمئن شوید که همه افراد شرکت شما می دانند چگونه با آنها تماس بگیرند و تمرینات را مانند آتش سوزی یا سایر بلایای طبیعی اجرا کنید.
از اشتباهات اساسی اجتناب کنید
اکنون که می‌دانید برای ایجاد یک طرح واکنش موثر ICS/OT چه چیزی لازم است، ارزش دارد به چند اشتباه رایج مردم اشاره کنید تا بتوانید از آنها اجتناب کنید.
شاید رایج ترین اشتباه سازمان ها در مورد حوادث سایبری عدم آمادگی باشد. نداشتن برنامه واکنش به حادثه می تواند منجر به هزینه های هنگفت و غیر ضروری در پی حمله شود. استخدام تیم‌های واکنش به حادثه پس از حادثه، به سادگی عمل خوبی نیست – آنها ممکن است ابتدا به مشتریان فعلی خود توجه کنند و باید زمانی را صرف افزایش سرعت در شبکه‌ها و پشته فناوری شما کنند، زمانی که زمان بسیار مهم است.
در نهایت، مهم است که وحشت نکنید. واکنش به رویداد ذاتاً استرس زا است، اما باید خونسردی خود را حفظ کنید. این اجتناب ناپذیر است که شما اشتباه کنید، اما یک برنامه واکنش مناسب به حادثه تاثیر آنها را به حداقل می رساند.
