Incident Response לפי NIST SP 800-61r3: מדריך מעשי

מה השתנה ב-Rev.3

הנושא 'מה השתנה ב-Rev.3' הוא חלק מרכזי בעבודה על Incident Response לפי NIST. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

בתרגול, רשמו את Govern, Identify, Protect, Detect, Respond ו-Recover, הכנה מתמשכת, שילוב IR בניהול סיכונים, Lessons learned, השוו להתנהגות צפויה והגדירו Pivot אחד לפחות. התוצאה צריכה להיות ניתנת לבדיקה על ידי אנליסט נוסף, כולל מגבלות וצעדי המשך.

Govern, Identify ו-Protect כתשתית

הנושא 'Govern, Identify ו-Protect כתשתית' הוא חלק מרכזי בעבודה על Incident Response לפי NIST. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

בתרגול, רשמו את Govern, Identify, Protect, Detect, Respond ו-Recover, הכנה מתמשכת, שילוב IR בניהול סיכונים, Lessons learned, השוו להתנהגות צפויה והגדירו Pivot אחד לפחות. התוצאה צריכה להיות ניתנת לבדיקה על ידי אנליסט נוסף, כולל מגבלות וצעדי המשך.

Detect, Respond ו-Recover

הנושא 'Detect, Respond ו-Recover' הוא חלק מרכזי בעבודה על Incident Response לפי NIST. מומלץ לפרק אותו לשלוש שאלות: מהו הקלט, איזו החלטה רוצים לקבל, ואיזו ראיה מספיקה כדי להצדיק אותה. השאלות האלה מונעות שימוש אוטומטי בכלי ללא הבנת המטרה.

בתרגול, רשמו את Govern, Identify, Protect, Detect, Respond ו-Recover, הכנה מתמשכת, שילוב IR בניהול סיכונים, Lessons learned, השוו להתנהגות צפויה והגדירו Pivot אחד לפחות. התוצאה צריכה להיות ניתנת לבדיקה על ידי אנליסט נוסף, כולל מגבלות וצעדי המשך.

תפקידים, תקשורת ותיעוד

תיעוד של Incident Response לפי NIST צריך לאפשר לאדם שלא השתתף בעבודה להבין מה קרה ולשחזר את המסקנה. מפרידים בין עובדות, פרשנות, הנחות והחלטות, ומקשרים כל טענה לראיה, שאילתה או צילום מסך.

מבנה שימושי כולל Summary, Scope, Timeline, Evidence, Impact, Actions, Limitations ו-Next steps. בדוח PT מוסיפים Remediation ו-Retest; בחקירה מוסיפים Containment, Recovery ו-Lessons learned.

שיפור אחרי אירוע

שיפור Incident Response לפי NIST חייב להתחיל ב-Baseline. מודדים נפח, שיעור מקרים שימושיים, זמן חקירה, מקורות חסרים והסיבה לסגירה. שינוי שמקטין Alerts אך מסתיר פעילות אמיתית אינו הצלחה.

אפשרויות Tuning כוללות סף, חלון זמן, Allowlist ממוקדת, Context של נכס, Suppression וחריג מבוסס תהליך מאושר. כל חריג צריך בעלים, תוקף ותנאי ביטול. לאחר השינוי מריצים Test corpus ומשווים לפני/אחרי.

מוקדי בדיקה ייחודיים

בנושא הזה מומלץ לבנות מראש מפת ראיות ממוקדת. מוקדי הבדיקה המרכזיים הם: Govern, Identify, Protect, Detect, Respond ו-Recover, הכנה מתמשכת, שילוב IR בניהול סיכונים, Lessons learned. הרשימה אינה Checklist אוטומטי; כל פריט נבחר משום שהוא יכול לקשור בין ישות, פעולה וזמן או להסביר התנהגות לגיטימית.

• Govern, Identify, Protect, Detect, Respond ו-Recover: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• הכנה מתמשכת: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• שילוב IR בניהול סיכונים: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.
• Lessons learned: הגדירו מהו הערך הצפוי, מה ייחשב חריג ואיזה מקור נוסף יאמת את הממצא.

כאשר אחד המוקדים אינו זמין, יש לתעד את הפער ולבחור חלופה. לדוגמה, אם Process identifier אינו יציב, אפשר להיעזר בזמן, Host, User ו-Parent; אם Payload מוצפן, משתמשים ב-Metadata, נפח, תדירות ו-TLS/DNS context.

תהליך עבודה מומלץ

1. הגדירו Scope ושאלת עבודה אחת בנושא Incident Response לפי NIST.
2. רשמו את מקורות הנתונים והראיות הדרושים: Govern, Identify, Protect, Detect, Respond ו-Recover, הכנה מתמשכת, שילוב IR בניהול סיכונים, Lessons learned.
3. צרו Baseline קצר של התנהגות תקינה או תוצאה צפויה.
4. בצעו את הבדיקה המינימלית בסביבת מעבדה ושמרו זמן, קלט ופלט.
5. בנו Timeline או טבלת השוואה והפרידו בין עובדה לפרשנות.
6. בצעו Pivot למקור נוסף כדי לאמת או להפריך את ההסבר הראשוני.
7. סכמו החלטה, מגבלות, פעולה מומלצת וקריטריון Retest.

תרחיש מעשי

התרחיש שנבחר הוא מיפוי Playbook קיים לפונקציות CSF 2.0. מטרת התרגיל אינה להוכיח יכולת תקיפה, אלא לתרגל איסוף, השוואה ותיעוד בצורה בטוחה. לפני תחילת העבודה מגדירים נתונים מדומים, חלון זמן ותוצאה צפויה.

בסיום התרגיל יש להגיש תוצר שאנליסט או בודק אחר יכול לבקר: צילום או Export של הראיה, Timeline קצר, הנחה ראשונית, ראיה מאמתת, מגבלה והמלצה. כאשר אין ראיה מספקת, המסקנה התקינה היא שהתרחיש לא הוכח.

Checklist מעשי

• ✓בדקו ותעדו: מקור הראיה.
• ✓בדקו ותעדו: זמן איסוף ואזור זמן.
• ✓בדקו ותעדו: Hash ו-Chain of Custody.
• ✓בדקו ותעדו: כלי וגרסה.
• ✓בדקו ותעדו: פעולות תגובה שבוצעו.
• ✓בדקו ותעדו: Timeline והנחות עבודה.
• ✓ציינו Time zone, גרסת כלי ושעת איסוף.
• ✓שמרו את הנתון הגולמי לפני סינון או שינוי.
• ✓כתבו מה הממצא מוכיח ומה עדיין אינו ידוע.
• ✓הגדירו בעלים ופעולת המשך עם מועד.

טעויות נפוצות

• לשנות את המערכת לפני שימור ראיות.
• לא לתעד אזור זמן.
• לא לחשב Hash.
• לערבב עובדה והשערה.
• לא לתעד מי החזיק בראיה.
• להעדיף שלמות תאורטית על בלימת נזק מיידי.

סיכום ו-CTA

Incident Response לפי NIST SP 800-61r3: מדריך מעשי הוא נושא שמחבר ידע טכני למשמעת עבודה. התחילו משאלה, אספו רק ראיות רלוונטיות, שמרו הקשר וזמן, ובחרו פעולה שאפשר להצדיק ולבדוק מחדש.

במסלול Cybersecurity & AI של HPI מתרגלים את העקרונות האלה באמצעות מערכות, לוגים ומעבדות. המשך טבעי הוא לעבור למאמרים המקושרים, לבצע את תרגיל המעבדה ולשמור את התוצר כחלק מתיק עבודות מקצועי.

שאלות ותשובות

מקורות

• NIST SP 800-61 Rev. 3
• NIST SP 800-86 — Integrating Forensic Techniques
• CISA — Incident Response resources
• YARA Documentation
• Microsoft Learn — Respond to compromised email account