Elaborar objetivos da resposta da nuvem
Embora os processos e mecanismos gerais de resposta a incidentes, como os definidos no Guia de tratamento de incidentes de segurança de computadores NIST SP 800-61
-
Estabelecer objetivos de resposta: trabalhe com as partes interessadas, a assessoria jurídica e a liderança organizacional para determinar o objetivo da resposta a um incidente. Alguns objetivos comuns são: conter e atenuar o problema, recuperar os recursos afetados, preservar dados para análise forense, retornar às operações seguras conhecidas e, finalmente, aprender com os incidentes.
-
Responder usando a nuvem: Implemente padrões de resposta na nuvem, onde o evento e os dados ocorrem.
-
Saber o que você tem e do que precisa: Preserve logs, recursos, instantâneos e outras evidências copiando e armazenando-os em uma conta centralizada na nuvem dedicada à resposta. Use tags, metadados e mecanismos que impõem políticas de retenção. Você precisará entender quais serviços são usados e identificar os requisitos para investigar esses serviços. Para ajudar você a entender seu ambiente, você também pode usar a marcação.
-
Usar mecanismos de reimplantação: se uma anomalia de segurança puder ser atribuída a uma configuração incorreta, a correção poderá ser tão simples quanto a remoção da variação com a reimplantação dos recursos com a configuração apropriada. Se um possível comprometimento for identificado, verifique se sua redistribuição inclui a atenuação bem-sucedida e verificada das causas principais.
-
Automatizar sempre que possível: À medida que surgem problemas ou incidentes se repetem, crie mecanismos para fazer a triagem programática e responder a eventos comuns. Use respostas humanas para incidentes exclusivos, complexos ou confidenciais em que as automações são insuficientes.
-
Escolher soluções escaláveis: Esforce-se para combinar a escalabilidade da abordagem de sua organização com a computação em nuvem. Implemente mecanismos de detecção e resposta que se expandam em seus ambientes para reduzir efetivamente o tempo entre a detecção e a resposta.
-
Conhecer e melhorar seu processo: Seja proativo na identificação de déficits em seus processos, ferramentas ou pessoas e implemente um plano para corrigi-los. Simulações são métodos seguros para encontrar déficits e melhorar processos.
Essas metas de design são um lembrete para analisar a implementação de sua arquitetura quanto à capacidade de conduzir tanto a resposta a incidentes quanto a detecção de ameaças. Ao planejar suas implementações de nuvem, pense em responder a um incidente, de preferência, com uma metodologia de resposta sólida em termos forenses. Em alguns casos, isso significa que você pode ter várias organizações, contas e ferramentas configuradas especificamente para essas tarefas de resposta. Essas ferramentas e funções devem ser disponibilizadas para a equipe de atendimento a incidentes por meio do pipeline de implantação. Elas não devem ser estáticas, pois podem causar um risco maior.
