Znaczniki czasu i źródła
Kompendium zawodu — pojęcia i zwroty
Pojęcia w pracy
- Alert
- Sygnał wymagający oceny na podstawie kontekstu i danych.
- Incydent bezpieczeństwa
- Zdarzenie lub powiązane zdarzenia kwalifikowane zgodnie z procesem organizacji.
- Korelacja
- Zestawienie zdarzeń ze wspólną tożsamością, zasobem lub przedziałem czasu.
- SIEM
- System gromadzenia i analizowania zdarzeń bezpieczeństwa.
- Ograniczenie skutków
- Uzgodniona reakcja mająca zmniejszyć wpływ incydentu na organizację.
Zwroty w typowych sytuacjach
- „Mam alert z dwóch źródeł, nadal potwierdzam zasięg.”
- Oddzielasz siłę sygnału od ustalonego zakresu.
- „W notatce rozróżniam obserwacje i hipotezy.”
- Ułatwiasz kolejnemu analitykowi ocenę dowodów.
- „Czy właściciel potwierdził plan ograniczenia skutków?”
- Sprawdzasz podstawę działania wpływającego na usługę.
Ujednolić znaczniki można przez zapis w jednej strefie czasu przy zachowaniu wartości źródłowych. Rozróżnij czas zdarzenia od czasu jego przyjęcia. Zestaw zapisy zgodne z zakresem uprawnień.
- Zbierz czasy
- Ustal wspólną strefę
- Odtwórz kolejność
Przykład z pracy
Źródło przesyła zdarzenia z opóźnieniem i alert pojawia się dopiero po zakończeniu prac.
Ćwiczenie praktyczne
Ułóż oś czasu z wpisu systemu, alertu i zgłoszenia.
Zmiana uprawnień przypada na okno serwisowe
Alert dotyczy konta używanego przez zespół utrzymania. Kalendarz zawiera prace w tym czasie, ale wykaz zasobów nie wskazuje tej usługi.
Pokaż przykładową reakcję
Potwierdzam właściciela i zakres zmiany oraz porównuję niezależne zdarzenia. Oceniasz prawdopodobne wyjaśnienie na podstawie dowodów i zapisujesz pozostałe luki.
Sprawdź się — opcjonalne pytanie
Co pomaga poprawnie ustalić kolejność?
- Kolejność otwarcia kart
- Data utworzenia konta
- Czas zdarzenia ze strefą i informacja o opóźnieniu źródła
Pokaż odpowiedź i wyjaśnienie
Czas zdarzenia ze strefą i informacja o opóźnieniu źródła. Rozróżnienie chwil eliminuje pozorną niespójność.
Źródła do nauki NIST SP 800-61 Rev. 3 — reagowanie na incydenty