0 
0 Os CISOs sabem que devem responder de forma rápida e eficaz a um incidente, mas pesquisas apontam para desafios contínuos para cumprir esse objetivo.
O relatório State of Incident Response 2021, das empresas de tecnologia Kroll, Red Canary e VMware, entrevistou mais de 400 profissionais do EI e 100 líderes legais e de conformidade e constatou que 45% deles identificaram inadequações em recursos de detecção e resposta. Além disso, 55% queriam melhorar o tempo para a contenção e automação de resposta a incidentes.
Há razões convincentes para investir em uma resposta melhorada aos incidentes.
Considere as descobertas da empresa de tecnologia Cisco, que em seu relatório Volume 2 de Estudo de Resultados de Segurança de dezembro de 2021, identificou cinco dos principais impulsionadores do sucesso do programa de cibersegurança. Os cinco incluem a capacidade de detectar ameaças precoce e com precisão, a capacidade de responder rapidamente a incidentes e a capacidade de se recuperar prontamente de desastres.I-A Verde: A cor do dinheirohttps://imasdk.googleapis.com/js/core/bridge3.496.0_en.html#goog_11083853740 segundos de 21 minutos, 50 segundosVolume 0%
Os CISOs precisam de planos detalhados de resposta a incidentes cibernéticos para entregar esses três pontos. Eles precisam praticá-los para identificar quaisquer déficits que possam dificultar seu desempenho caso os hackers ataquem. E eles precisam perfurar regularmente para que possam ter o melhor desempenho possível em um evento real.
“Um incidente ativo não é o momento de descobrir tudo isso”, diz Joe McMann, líder global do portfólio de cibersegurança da Capgemini.
Para estarem bem preparadas, as equipes de cibersegurança corporativa precisam ter estoques de ativos precisos e visibilidade em todas as áreas de seu ambiente de TI; eles precisam conhecer os sistemas de missão crítica de sua organização; e eles devem entender como responder se detectarem hackers tentando interromper nada disso.
Os principais passos que eles precisarão tomar — de forma rápida e quase simultânea — se houver um adversário ativo em sua rede são os seguintes:
1. Soe o alarme
As equipes de segurança enfrentam uma média de 11.047 alertas por dia, de acordo com o relatório state of security operations de 2021 da Forrester Consulting e palo alto networks.
É claro que muitos desses alertas são falsos positivos ou indicam riscos de baixa prioridade, mas outros apontam para problemas maiores que devem ser rapidamente escalados.
“Você precisa saber quando quebrar o vidro. As pessoas têm medo de puxar o gatilho, para chegar a esse modo, porque é difícil levá-lo de volta se você fizer isso. Há fiscalização e custos, e as pessoas têm medo de rodá-lo às vezes”, diz McMann.
Diante disso, as equipes devem ter boas orientações para saber quando e como escalar situações.
“Esse ponto de decisão será exclusivo para cada organização, mas o caminho de escalada, a quem ligar, quando se envolver legalmente, [etc.] deve ser claramente documentado”, diz Nick Biasini, chefe de divulgação da Cisco Talos, uma organização de inteligência de ameaças.
Isso evita atrasos que poderiam permitir aos hackers mais tempo para causar danos, mas evitar respostas caras a incidentes menores ou alarmes falsos.
2. Escopo da situação e triagem
“Faça um balanço do que você sabe e do que você não sabe: Estes são os fatos, os alertas que estão sendo gerados, informações que estou recebendo dos colegas, quão grande é isso, quão grande poderia ser o impacto, essas são algumas das perguntas que têm que ser respondidas inicialmente, para que você possa priorizar, tomar decisões inteligentes e tomar ações, “, diz McMann.
Isso exige que os CISOs tenham em vigor uma boa gestão de ativos e visibilidade em sistemas, acrescenta ele, como registros de segurança, registros de aplicativos, dados transacionais e outros dados que ajudam as equipes a avaliar a situação e, em seguida, triar e formular a resposta certa.
3. Traga o negócio
Os CISOs devem estar fazendo looping nos negócios durante o processo de triagem, dizem os líderes de segurança, um ponto que muitas vezes é negligenciado durante as respostas ativas. Como parte disso, as equipes de segurança precisam identificar imediatamente quais componentes impactados são fundamentais para a condução de negócios, quem possui esses componentes e quem os controla.
Como diz J. Wolfgang Goerlich, consultor da CISO com a Cisco Secure: “Este é um problema de negócios. Mas em uma falha de segurança, uma pessoa muito técnica estará pensando: “Eu tenho que remediar.” No entanto, uma das coisas que os CISOs precisam lembrar é que uma violação é um problema de negócios, não um problema técnico. Portanto, deve haver um processo secundário que está executando a continuidade de negócios e a recuperação de desastres para que o negócio possa continuar fazendo o que precisa fazer.”
4. Firme o sangramento
Como tudo isso está acontecendo, as equipes de segurança precisam se concentrar em rotas de saída para garantir que nada saia, diz Steven Graham, vice-presidente sênior do EC-Council, um órgão de certificação técnica de segurança cibernética.
“Se há um adversário ativo na rede, eles provavelmente criaram o máximo de backdoors que puderam. Identifique quais pontos de saída existem dentro da rede para que você possa parar o efeito do ataque”, diz ele.
5. E encontre os pontos de entrada
Ao mesmo tempo, as equipes de segurança precisam descobrir como os hackers entraram e para onde foram. “Investigue as migalhas de pão, qual era o caminho deles, o que eles fizeram a seguir, o que é tudo o que tocaram. É um passo adicional de triagem”, diz Graham, acrescentando que um bom monitoramento de rede é imparcesso aqui. Então feche essas vulnerabilidades para que ninguém mais possa entrar novamente.
6. Reúna as tropas
À medida que o escopo do incidente entra em foco, os CISOs devem estar montando toda a equipe complementar que precisarão responder – todos os executivos necessários para tomar decisões; os profissionais de segurança e de TI com as habilidades necessárias para a resposta; os representantes certos das áreas de comunicação, recursos humanos, jurídicos e outras áreas funcionais; e quaisquer recursos externos necessários. Os CISOs também precisam saber se e quando trazer a aplicação da lei, e quais agências envolver, outro elemento que deve ser delineado com antecedência para que não haja embaralhar durante o incidente, diz Randy Trzeciak, diretor do programa de Mestrado em Política & Gestão de Segurança da Informação (MSISPM) da Universidade Carnegie Mellon.
7. Acompanhe suas ações
Notas sobre a investigação, prioridades, tarefas realizadas, atividades contínuas, necessidades não resolvidas e outros detalhes devem ser efetivamente documentados e disseminados eficientemente, diz McMann, acrescentando que os documentos do Word ou e-mails normalmente não são bons veículos para esse compartilhamento de informações e arquivamento.
Ele enfatiza a necessidade de um bom sistema de gerenciamento de conhecimento ou plataforma de comunicação para compartilhamento e registro de dados durante a resposta ao incidente — outro ponto que ele diz ser muitas vezes negligenciado durante um evento real.
“Você tem que ter uma plataforma que coleta e armazena informações e os resultados, todas as perguntas abertas. Isso tem que ser coletado, organizado e feito sentido porque essa informação se aproxima dos coordenadores de incidentes para que os CISOs ou seus deputados possam destilar as informações e tomar decisões”, diz.
8. Coordenar o contra-ataque
À medida que a investigação se transforma em ação, os CISOs precisam coordenar seus movimentos contra os hackers — quer isso signifique expulsá-los imediatamente ou ter tempo para monitorar suas atividades antes de atacar contra eles, diz Biasini.
“Eles vão ter mais de uma base, então você quer expulsá-los de todas as bases de uma vez. Seja o mais minucioso possível, então você não está jogando Whac-A-Mole”, diz ele.
9. Trabalhe o plano
CISOs, outros executivos e todas as equipes que respondem precisam seguir o plano de resposta a incidentes e resistir a assumir tarefas fora de suas funções atribuídas, dizem especialistas.
“Você tem um livro de jogadas. Certifique-se de que está sendo executado e você não assumir. Seu plano como líder não é intervir a menos que seja atribuído a você”, adverte Jeff Pollard, vice-presidente e analista principal da Forrester Research.
Os líderes em crise são muitas vezes tentados a pular nas trincheiras, mas eles, como todos os outros, podem contribuir melhor focando em seu próprio trabalho. Os CISOs que começam a revisar dados de log ou saltar em teclados realmente criam gargalos na resposta e atrasam outras tarefas críticas que só eles podem fazer, como se comunicar com a placa.
10. Mas adapte-se conforme necessário
Mesmo o plano de resposta a incidentes mais detalhado e praticado não pode explicar todos os cenários potenciais, uma nova ameaça ou uma nova técnica, então cisos e organizações como um todo devem saber quando pivotar e ser capazes de adaptar sua resposta às realidades que estão enfrentando durante o evento real.
“Há sempre uma bola curva”, diz Pollard.
Ele ressalta que os ataques de ransomware em um ponto se transformaram, com grupos de hackers não apenas mantendo dados criptografados como reféns, mas depois de receber o resgate, ameaçando liberar dados roubados se outro resgate não for entregue. Em algum lugar há um CISO que foi o primeiro a ver isso e teve que descobrir na hora a melhor maneira de contra-atacar — o que, diz Pollard, confirma a necessidade de os líderes de segurança serem ágeis.
11. Alerte os outros
Os CISOs não serão capazes de esconder um incidente, e em muitos casos eles não podem legalmente tentar fazê-lo. Isso significa que eles devem trabalhar com suas equipes legais e de comunicação para planejar o que devem dizer, quando dizer, como entregar a mensagem e para quem.
“Conheça seus pontos de contato, crie uma história clara e concisa e tenha todos na mesma página”, diz Graham.
Os CISOs também devem alertar outros funcionários de segurança interna e externa, acrescenta Pollard.
“Quando há um ataque, compartilhar torna-se uma reflexão posterior ou é uma preocupação por causa da possibilidade de litígio, mas descubra o que você pode compartilhar, para que você possa deixar sua equipe saber o que eles podem ou não falar, e deixar que os outros saibam que devem verificar seus ambientes mesmo que você não seja capaz [de dizer que você foi violado], “, diz ele.
Isso não só ajuda a preparar outros CISOs, acrescenta Pollard, como ajuda o CISO que responde rapidamente a saber se a vulnerabilidade ou o ataque são exclusivos de sua organização ou parte de um problema maior.
12. Mantenha-se calmo; tendem às necessidades da equipe
Os profissionais de segurança saberão a gravidade da situação, então reações raivosas ou frenéticas não farão ninguém trabalhar mais ou assustar os adversários. Na verdade, tais reações podem fazer mais mal do que bem. Como Pollard diz: “Vai ser uma crise, mas não precisa ser um caos. Podemos fazer uma crise; ninguém pode trabalhar efetivamente no caos.
Ele e outros dizem que os CISOs e seus colegas executivos são melhor atendidos por estarem atentos aos seus trabalhadores e às suas necessidades.
Goerlich diz que viu equipes “se correrem no chão” trabalhando longas horas sem pausas e até mesmo um dia ou mais sem dormir. Embora essa programação cansativa mostre um nível de dedicação, é provável que leve a erros.
“As pessoas entram em suas zonas e trabalham muito além dos horários que deveriam”, diz Goerlich, observando que os CISOs devem planejar linhas claras de comunicação, limites para horas de trabalho, horários escalonados e folga pós-evento. Ele acrescenta: “Na medida do possível, as organizações devem pensar com antecedência como lidar com os elementos humanos.”
FONTE: CSO ONLINE