Che cos'è l'Incident Response?

Perché la risposta agli incidenti è importante?

I cyberattacchi sono in aumento e rappresentano una minaccia per le aziende di tutte le dimensioni e di tutti i settori. Qualsiasi organizzazione potrebbe essere vittima di una violazione dei dati o di un attacco ransomware e deve disporre degli strumenti e dei processi necessari per gestire efficacemente un incidente di cybersicurezza.

La risposta agli incidenti è importante perché consente all'organizzazione di determinare la portata e l'impatto di un incidente e di adottare misure per porvi rimedio. Gli Incident Responder indagano sull'intrusione, contengono e rimediano i sistemi infetti e ripristinano le normali operazioni dopo che la minaccia è stata eliminata.

La risposta agli incidenti può avere un impatto drammatico sul costo di una violazione dei dati o di un altro incidente di cybersecurity, se l'organizzazione è preparata a gestirlo correttamente. In media, le aziende che dispongono di un team di risposta agli incidenti e di un piano di risposta agli incidenti testato hanno un costo medio di violazione dei dati inferiore del 54,9% rispetto alle aziende che non dispongono di questi due elementi.

Il processo di risposta agli incidenti

L'obiettivo della risposta agli incidenti è quello di portare un'organizzazione dal sapere poco o nulla di una potenziale intrusione (a parte il fatto che esiste) alla completa riparazione. Il processo di raggiungimento di questo obiettivo è suddiviso in sei fasi principali:

1. Preparazione: La preparazione è fondamentale per una risposta efficace agli incidenti e per ridurre al minimo i costi e l'impatto di un incidente di cybersecurity. Per prepararsi alla risposta agli incidenti, un'organizzazione dovrebbe creare un team di risposta agli incidenti e definire e testare un piano di risposta agli incidenti che delinei come deve essere gestita ogni fase del processo di risposta agli incidenti.
2. Identificazione: La risposta agli incidenti inizia con il rilevamento di un potenziale incidente, quindi il team ha poche o nessuna informazione sulla portata dell'intrusione. Nella fase di identificazione, i soccorritori indagano sul potenziale incidente per determinare cosa è successo, i sistemi interessati, i potenziali impatti normativi, ecc.
3. Contenimento: Dopo aver identificato un sistema colpito dall'incidente, il team di risposta agli incidenti mette in quarantena quel sistema dal resto della rete. Gli attori delle minacce informatiche e il loro malware tenteranno di solito di muoversi lateralmente attraverso la rete aziendale per raggiungere i loro obiettivi o massimizzare l'impatto dell'attacco. La messa in quarantena precoce dei sistemi infetti aiuta a limitare i costi e i danni causati da un attacco.
4. Sradicamento: A questo punto del processo, il team di risposta agli incidenti ha svolto un'indagine completa e ritiene di avere una comprensione completa di ciò che si è verificato. I soccorritori lavorano quindi per rimuovere tutte le tracce dell'infezione dai sistemi compromessi. Ciò può includere l'eliminazione del malware e la rimozione dei meccanismi di persistenza, oppure una cancellazione completa e il ripristino dei computer interessati da backup puliti.
5. Recupero: Dopo l'eradicazione, il team di risposta agli incidenti può scansionare o monitorare i sistemi infetti per un certo periodo di tempo, per assicurarsi che il malware sia stato completamente eliminato. Al termine di questa operazione, i computer vengono ripristinati al normale funzionamento, eliminando la quarantena che li isola dal resto della rete aziendale.
6. Lezioni apprese: Gli incidenti di cybersecurity si verificano perché qualcosa è andato storto, ed è importante ricordare che la risposta agli incidenti non è sempre impeccabile. Dopo che l'incidente è stato risolto, gli addetti alla risposta agli incidenti e gli altri stakeholder devono eseguire una retrospettiva per identificare i gap di sicurezza e le carenze nel piano di risposta agli incidenti che potrebbero essere risolti per ridurre la probabilità di incidenti e migliorare la risposta agli incidenti in futuro.

I vantaggi dei servizi di risposta agli incidenti in outsourcing

La risposta agli incidenti è più efficace quando viene eseguita rapidamente da soccorritori esperti. In molti casi, le organizzazioni non dispongono delle risorse necessarie per mantenere un team di risposta agli incidenti completo e attivo 24 ore su 24. Un'alternativa è quella di rivolgersi a un'organizzazione che offre servizi specializzati di risposta agli incidenti.

Questo offre alcuni vantaggi, tra cui:

• Disponibilità: Quanto prima un team di risposta agli incidenti inizia il suo lavoro, tanto minore è il costo e l'impatto di un attacco per un'organizzazione. Gli incidenti di cybersecurity possono verificarsi in qualsiasi momento e può essere difficile contattare i membri del team di risposta agli incidenti al di fuori dell'orario di lavoro. I fornitori specializzati nella risposta agli incidenti disporranno di più team, garantendo una migliore copertura e una maggiore disponibilità.
• Esperienza: La gestione errata di un incidente di sicurezza può aumentare i costi e i danni per un'organizzazione. Ad esempio, gli attacchi ransomware possono rendere instabili i sistemi infetti, il che significa che un riavvio potrebbe rendere irrecuperabili i dati criptati. I professionisti della risposta agli incidenti hanno l'esperienza necessaria per gestire un incidente di sicurezza in modo efficiente e corretto.
• Competenze specializzate: La risposta agli incidenti richiede in genere competenze specialistiche, come l'analisi forense o il reverse engineering del malware. La maggior parte delle aziende non ha bisogno di possedere questi set di competenze in casa, ma un team professionale di risposta agli incidenti avrà accesso agli specialisti di cui ha bisogno per gestire qualsiasi incidente di cybersecurity.
• Gestione dell'intero processo di risposta agli incidenti: Un fornitore di risposta agli incidenti in outsourcing deve supportare tutte le esigenze di risposta agli incidenti di un'organizzazione. Questo include la preparazione alla risposta agli incidenti, la gestione delle intrusioni rilevate e l'impegno per mitigare gli attacchi futuri. Vediamo di scomporre il processo:

#1. Preparazione. Un team di risposta agli incidenti qualificato deve essere in grado di fornire assistenza PRIMA che si verifichi un incidente, includendo, ma non limitandosi a questo, i seguenti aspetti:

• Pianificazione della risposta agli incidenti
• Consulenza personalizzata sulle minacce
• Esercitazione teorica
• Definizione dei criteri
• Condivisione dell'Intelligence
• Valutazione della superficie di attacco
• Gestione personalizzata delle minacce
• Formazione SOC/Creazione del playbook

#2. Risposta. Una volta identificata una minaccia, il team di risposta agli incidenti deve gestire il processo completo di risposta agli incidenti, che comprende:

• Mitigazione dell'attacco
• Gestione completa dell'incidente
• Analisi forense del malware
• Analisi forense di endpoint, rete e dispositivi mobili
• Condivisa in tempo reale
• Analisi dello scenario di attacco
• Creazione di un report completo sfruttabile

#3. Mitigazione. Il vero rilevamento e la risposta alle minacce vanno oltre la gestione degli incidenti di sicurezza noti, per scoprire, rimediare e prevenire le minacce sconosciute. Un fornitore di risposta agli incidenti in outsourcing dovrebbe anche offrire:

• Servizi di disattivazione del dominio
• Valutazione della compromissione
• Ricerca delle minacce
• Gestione attiva dei vettori
• Servizi di neutralizzazione dell'attacco

Servizi di risposta agli incidenti con Check Point

Check Point Incident Response è disponibile 24x7x365 per aiutare le aziende a gestire gli incidenti di sicurezza. Se la sua organizzazione sta subendo un attacco informatico, chiami la hotline di risposta agli incidenti di Check Point per ricevere assistenza.

Check Point offre anche un supporto alle organizzazioni che desiderano proteggersi in modo proattivo e prepararsi a potenziali attacchi informatici futuri. Il Cybersecurity Risk Assessment di Check Point fornisce un'analisi completa dei rischi nell'intero ambiente di un'organizzazione (cloud, rete, endpoint, mobile e IoT). Check Point offre anche assistenza per rilevare le compromissioni passate, valutare la maturità della cybersecurity e sviluppare strategie di risposta agli incidenti.