Een praktische handleiding voor het samenstellen van een Cyber Incident Response Team

Hoewel er een aantal oplossingen voor bedreigings- en risicobeheer bestaan die uw team helpen bij het afhandelen van minder ernstige beveiligingsincidenten door reacties te automatiseren, vereisen ernstige bedreigingen (geavanceerde en heimelijke aanvallen), waaronder geavanceerde persistente bedreigingen (APT’s), een cyberincidententeam dat goed is toegerust en klaar staat om snel in actie te komen.

Dit team zou kunnen bestaan uit:

• Een permanent team binnen een Security Operations Center (SOC)
• Een team dat is samengesteld uit sleutelfiguren binnen de IT- en beveiligingsafdeling van een kleine tot middelgrote organisatie
• Een extern team dat op verzoek wordt ingezet

Ongeacht waar het team vandaan komt, moet in uw incidentresponsplan worden vastgelegd wie er deel uitmaken van uw incidentresponsteam en wat hun rollen en verantwoordelijkheden zijn. Een gedetailleerd incidentresponsplan met duidelijk omschreven rollen binnen uw team kan u heel wat kopzorgen besparen (om nog maar te zwijgen van miljoenen dollars, gegevensverlies en een PR-ramp) wanneer zich beveiligingsincidenten voordoen. In dit artikel worden de basisprincipes van incidentrespons op het gebied van cyberbeveiliging behandeld en wordt uitgelegd hoe u een incidentresponsteam samenstelt.

Wat is een rampenplan voor cyberincidenten?

De term ‘cyberincidentrespons’ verwijst naar een gestructureerde aanpak voor het afhandelen van (reageren op) cyberbeveiligingsincidenten. Incidentrespons (IR) moet zodanig worden uitgevoerd dat schade wordt beperkt, de hersteltijd wordt verkort en de kosten tot een minimum worden beperkt. Het Incidentresponsplan is het geheel van instructies dat een organisatie hanteert om haar incidentresponsteam te begeleiden wanneer zich een beveiligingsincident (d.w.z. een beveiligingsinbreuk) voordoet.

Een gedocumenteerd IR-plan helpt organisaties om snel te reageren door besluitvorming te stroomlijnen, processen in kaart te brengen en het juiste gebruik van de beschikbare technologieën vast te leggen.

Er zijn zes fasen van incidentrespons, zoals gedefinieerd door SANS, waarmee u rekening moet houden bij uw planning:

1. Voorbereiding— het beveiligingspersoneel voorbereiden op het omgaan met mogelijke incidenten. Dit omvat training, uitrusting en oefeningen.
2. Identificatie— het opsporen van een incident en het vaststellen of het voldoet aan de voorwaarden om door de organisatie als een beveiligingsincident te worden aangemerkt, en het bepalen van de ernst ervan.
3. Beheersing— het incident onder controle houden door aangetaste systemen te isoleren om verdere schade te voorkomen.
4. Oplossen— het opsporen van de oorzaak van het incident en het wegnemen van de bedreigingen uit de getroffen systemen.
5. Herstel— het herstellen van de getroffen systemen en ervoor zorgen dat er geen bedreiging meer bestaat.
6. Geleerde lessen: het analyseren van de incidentlogboeken, het bijwerken van het responsplan en het afronden van de incidentdocumentatie.

Uw IR-plan moet de volgende onderdelen bevatten:

• Overzicht van het plan
• Taken en verantwoordelijkheden
• Lijst met incidenten die maatregelen vereisen
• Overzicht van de beveiligingsstatus en de netwerkinfrastructuur
• Procedures voor opsporing, onderzoek en beheersing
• Uitroeiingsplan en capaciteiten
• Herstelplan (hoe lang duurt het om het systeem te herstellen op basis van back-ups?)
• Protocol voor meldingen van inbreuken
• Een bijgewerkte lijst met telefoonnummers
• Vervolgtaken

In de details van het plan moet uitgebreid worden ingegaan op de volgende punten:

• Gegevens over het incidentresponsteam
  Het incidentresponsteam bestaat uit medewerkers en/of externe leden. Het is van cruciaal belang dat alle leden van het incidentresponsteam gedetailleerd worden vermeld in het IR-plan, inclusief hun rollen en verantwoordelijkheden in geval van een incident en de training die zij hiervoor hebben gevolgd. Het is met name belangrijk om de rollen van de incidentbehandelaars te onderscheiden van de verantwoordelijkheden van de resourcebeheerders.
• Systeem- en netwerkinformatie
  Hieronder vallen onder meer netwerk- en gegevensstroomdiagrammen en de hardware-inventaris. Het is belangrijk om te weten hoe een aanvaller zich mogelijk door uw netwerk zou kunnen verplaatsen vanuit een specifieke gehackte host of een gehackt systeem.
• Procedures voor het afhandelen en melden van incidenten
  Dit hoofdstuk moet een sjabloon bevatten voor het invullen van een incidentmeldingsformulier met een gedetailleerde beschrijving van het incident en de gecompromitteerde bestanden.
• Lessen die zijn geleerd
  Twee vragen die na een incident moeten worden gesteld, zijn: hoe kan worden voorkomen dat soortgelijke incidenten zich opnieuw voordoen en wat kan er aan het incidentresponsplan worden verbeterd? Vraag wat wel en niet werkte, hoe het personeel reageerde en welke onderdelen van het plan moeten worden bijgewerkt.
• Melding aan derden en autoriteiten
  Moet beleid bevatten over wanneer en hoe melding moet worden gedaan aan de autoriteiten, derden, leveranciers en gebruikers. De meeste incidentmeldingen vallen onder wettelijke voorschriften.

Hoe zet je een effectief team voor de afhandeling van cyberincidenten op?

Wie is wie binnen een incidentresponsplan?

Dit zijn de kernfuncties van een IR-team, met de bijbehorende basisverantwoordelijkheden. Er zijn echter geen vaste regels, dus de daadwerkelijke verantwoordelijkheden kunnen per organisatie sterk verschillen.

• Teamleider— coördineert alle activiteiten van het incidentresponsteam.
• Communicatie— verzorgt de communicatie binnen de organisatie en met externe partijen. Moet zijn opgeleid op het gebied van public relations of daarbij worden ondersteund.
• Hoofdonderzoeker— verzamelt en analyseert technisch bewijsmateriaal, stelt de oorzaak van de aanval vast en geeft leiding aan andere analisten en IT-afdelingen bij het herstellen van systemen en diensten.
• Analisten/onderzoekers— ondersteunen de onderzoeker door dreigingsinformatie en achtergrondinformatie over een incident te verstrekken. Er kan behoefte zijn aan cyberforensische analisten om grondige analyses uit te voeren op gehackte systemen.
• Juridische bijstand— het is van essentieel belang om te kunnen rekenen op advies op het gebied van personeelszaken en juridische zaken om eventuele strafrechtelijke vervolging naar aanleiding van het incident het hoofd te bieden.

Een team kan bestaan uit interne medewerkers en uit medewerkers die, al naar gelang de behoefte, geheel of gedeeltelijk worden ingehuurd via externe partijen. Derden kunnen bijvoorbeeld deskundigen leveren die diepgaander forensisch onderzoek uitvoeren of helpen bij de communicatie met het publiek of klanten.

Waar moet het team gevestigd zijn?

CSIRT-leden zijn vaak geografisch verspreid om een zo groot mogelijke dekking van verschillende tijdzones te garanderen. Zo wordt gewaarborgd dat er op elk moment van de dag iemand paraat en beschikbaar is. Redundantie is een must, met aangewezen vervangers voor het geval teamleden niet beschikbaar zijn. Kleine organisaties hebben er doorgaans baat bij om incidentresponsfuncties uit te besteden om dekking te bieden buiten kantooruren of tijdens vakantieperiodes, maar hiervoor zijn meestal vaste contracten nodig om de responstijd te garanderen.

Welke rol speelt automatisering bij de respons op cyberbeveiligingsincidenten?

Gezien het tekort aan ervaren professionals om deze functies te vervullen, staat automatisering bovenaan de lijst van initiatieven op het gebied van beveiligingsactiviteiten, met name de nieuwe DevSecOps-discipline die zijn intrede doet in de cloudwereld. Automatisering speelt een cruciale rol om deze teams in staat te stellen veilig en kwalitatief hoogstaand werk te blijven leveren, zonder dat dit ten koste gaat van de kwaliteit. De nieuwste trends op het gebied van geautomatiseerde incidentrespons worden geïmplementeerd met behulp van playbooks: dit zijn code-loze workflows die veel van de repetitieve taken automatisch uitvoeren zodra ze in gang worden gezet.

Voor veel responsscenario’s is er echter geen alternatief voor een ervaren menselijke analist, aangezien niet alles volledig kan worden geautomatiseerd. De aanpak van incidenten kan van incident tot incident sterk verschillen en je zult vaak beslissingen moeten nemen op basis van beperkte informatie.

Inpakken

Een effectief CIRST kan helpen om snel te reageren op beveiligingsincidenten en zo de schade voor de organisatie te beperken. Het definiëren en opzetten van uw CIRST is dan ook een belangrijke stap die niet lichtvaardig mag worden genomen.

Afhankelijk van de omvang en behoeften van uw organisatie kan een combinatie van eigen medewerkers en externe cyberbeveiligingsexperts een optie zijn. Andere bedrijven besteden hun beheerde beveiligingsdiensten uit aan een MDR-aanbieder, waardoor ze 24×7 gemoedsrust hebben en hun IT-team zijn tijd aan andere zaken kan besteden.

Hoe u uw IR-team ook samenstelt, u kent nu de belangrijkste taken en verantwoordelijkheden die zij moeten vervullen, evenals enkele best practices voor het opstellen van een degelijk beleid voor incidentrespons.