incident response practitioner

Dzień pierwszy

1. Proces reakcji na incydent wg NIST SP-800-61r2, ISO27035 i ENISA i innych best practice zarządzania incydentem.

2. Model MITRE Engage jako sposób proaktywnej ochrony w aspekcie identyfikowania ryzyka i zagrożeń oraz proponowania zabezpieczeń ograniczających ryzyko wynikające z tych zagrożeń.

3. Wymagania UKSC w zakresie typów incydentów i wymaganej reakcji w odniesieniu do best practice.

4. Podstawy informatyki śledczej – zabezpieczanie dowodów na potrzeby postępowań.

Dzień drugi

1. Przygotowania jako element reakcji na incydenty:

Ustalanie priorytetów, komunikacja wewnętrzna i zewnętrzna,
Dostęp do systemów i przetwarzanie zdarzeń, zapewnienie rozliczalności
Narzędzia SOC
Budowa reguł korelacyjnych
2. Zarządzanie jakością zabezpieczeń systemów:

Monitoring zagrożeń
Zastosowanie threat intelligence
Baza danych o systemach
Zarządzanie podatnościami
Zarządzanie tożsamością
3. Monitorowanie infrastruktury i wykrywanie incydentów

Praca na przykładach: przełamywanie zabezpieczeń, atak malware, insider threat.
4. Identyfikacja i analiza incydentu

Określenie wpływu i skali incydentu w celu ustalenia:
Momentu wystąpienia i wykrycia incydentu oraz czasu jego trwania (kill chain).
Zasobów (usług, użytkownicy), których dotyczy incydent,
Zasięgu i wpływu incydentu na usługi krytyczne,
Przyczyny zaistnienia incydentu.
Podstawy analizy oprogramowania szkodliwego i analizy powłamaniowej
5. Izolacja, usuwanie źródeł zagrożenia i odzyskiwanie sprawności infrastruktury po incydencie.
6. Wnioski z incydentów jako sposób reakcji na przyszłe zdarzenia.