הגדירו מה התחקיר אמור לענות ומתי אפשר להתחיל
רכזו את השאלות: מה נצפה, מתי זוהה, אילו נכסים וחשבונות הושפעו ומה נעשה בטיפול. אירוע פעיל עדיין דורש ניהול וצמצום פגיעה. אין להמתין למסמך תחקיר כדי לבצע החלטה דחופה, לבדוק חובת דיווח או לשמור ראיה שעתידה להיעלם. אפשר ללמוד ולעדכן גם במהלך הטיפול.
NIST SP 800-61r3 מתייחס ללמידה ושיפור לאורך הפעילות, ולא רק לפגישה לאחר סיום ההתאוששות. במדריך זה התוצר המוצע הוא דוח עבודה לעסק ולספקיו. הוא אינו קביעה משפטית, ייחוס לתוקף או הבטחה לשחזור מלא של כל פעולה היסטורית.
בנו ציר זמן שמראה גם את גבולות הידיעה
לכל שורה צרפו זמן ואזור זמן, מקור, תצפית ומשמעות אפשרית. זמן גילוי אינו בהכרח זמן תחילת הפגיעה, וקובץ ששונה אינו בהכרח נקודת הכניסה. מסמנים טווח כשאין חותמת מדויקת, ושומרים הפניה לעותק הראיה המנוהל במקום להפיץ מידע רגיש בדוח לכל גורם.
הטבלה היא תבנית מקורית. היא מאפשרת להשוות תצפיות בלי להפוך כל סמיכות בזמן לקשר סיבתי. אם יש פער בשמירת לוגים או בסנכרון שעון, מציינים אותו לפני שמציגים רצף שנראה מדויק יותר ממה שאפשר להוכיח.
| זמן או טווח | מקור ותצפית | מה נשאר לבדוק |
|---|---|---|
| מועד דיווח לקוח | תיאור שינוי בתצוגה | מתי השינוי החל בפועל |
| מועד שינוי רכיב | רישום פריסה או גרסה | האם השינוי מאושר וקשור לאירוע |
| מועד התראת חשבון | יומן זהות זמין | מה התבצע לאחר ההתחברות |
| מועד פעולת טיפול | רישום שינוי שביצע הצוות | איזו השפעה הייתה לפעולה |
| מועד חזרה לשירות | בדיקת תפקוד מתועדת | אילו בדיקות חשיפה טרם הושלמו |
בדקו הסברים מתחרים לפני שמכריזים על סיבה
גישה שנגנבה, רכיב פגיע, חיבור ספק ושינוי תפעולי יכולים להוביל לסימפטומים דומים. לכל הסבר רשמו מה תומך בו ומה חסר. עצם קיום CVE ברכיב אינו הוכחה שהוא נוצל, וכתובת IP חריגה אינה מוכיחה זהות של תוקף. צריך לחבר ראיות לזרימה הספציפית.
בקשה ראשונה שנמצאה בלוג אינה בהכרח הפעולה הראשונה שאירעה. הנחיות הלוגים של ASD ACSC ושותפיו מדגישות איכות מידע, עקביות ושמירה המתאימה לחקירה. כשמקור חלקי, המסקנה נשארת מוגבלת. אם הסיבה לא הוכחה, אפשר לומר זאת ולתקן בנפרד פערים שאכן אומתו.
מפו השפעה עסקית וחשיפת מידע כשתי שאלות
בדקו זמינות אתר, טפסים, הזמנות, חשבונות ותוכן לפי מה שרלוונטי לאירוע. במקביל בחנו מה ניתן לדעת על גישה למידע, שינויו או הוצאתו. תהליך עסקי שחזר לפעול אינו ראיה שאין פגיעה בסודיות, וקובץ חסר אינו בהכרח הוכחה להעתקת מסד שלם.
הפרידו בדוח בין השפעה שנצפתה, היקף שנשלל בבדיקה מתאימה והיקף שאינו ידוע. בעלי ההחלטה צריכים לקבל את המגבלה, לא רק ניסוח מרגיע. בדיקת חובות דיווח מתבצעת בזמן הנדרש לפי המקרה, בלי להמתין למסקנה סופית של התחקיר. דוח טכני אינו מחליף את בחינת הגורם המוסמך.
דוגמה: הפניה זדונית נעלמה, אך דרך הכניסה אינה ידועה
התרחיש להמחשה בלבד. קוד הפניה הוסר והאתר נראה תקין. נמצא חשבון ספק שאינו מתוחזק, אך אין מספיק מידע כדי לקבוע אם דרכו בוצעה הפגיעה. אין לכתוב שהוא היה הסיבה רק מפני שהוא חשוד. מתעדים את מגבלת הראיות ומגדירים בדיקות חשבונות, רכיבים וחיבורים לפי ההיקף.
אפשר להסיר גישה שכבר אינה נדרשת באישור מתאים, לעדכן רכיב פגיע ולשפר שמירת מידע, גם כאשר אין מסקנה ודאית על המסלול המקורי. לכל פעולה מציינים איזה פער היא מטפלת בו. כך מסירת העבודה אינה מערבבת ניקוי סימפטום, מניעת חזרה ובירור היסטורי של האירוע.
לכל לקח צריך בעלים, מועד וראיית סיום
החליפו משפט כמו צריך לשפר אבטחה במשימה ממוקדת: לבדוק הרשאות של חיבור מסוים, לתקן רכיב נתון או לאמת מסלול גיבוי. לכל משימה קבעו אחראי, תלות, מועד ודרך קבלה. אם מתקבלת החלטה להשאיר חריגה זמנית, רשמו נימוק ומתי בוחנים אותה מחדש.
סגירת התחקיר אינה מחייבת שכל שאלה היסטורית נפתרה. היא כן מחייבת שהעובדות, המגבלות והמשימות ברורות, ושאין הסתרה של חשד פעיל. מעקב אחרי התיקונים הוא חלק מהתוצר. אפשר להכין גרסת הנהלה מצומצמת ונספח טכני מוגבל גישה, בלי להכניס לדוח מפתחות או נתוני לקוחות מיותרים.
