Förstå Sophos Incident Response, readiness och bedömningar

Vid en aktiv eller misstänkt säkerhetsincident startas den redan etablerade incidentprocessen. En pågående attack är inget vanligt införandeprojekt. Använd kontakten i beredskapsplanen och den bekräftade rätten till tjänsten, i stället för att först beställa en bedömning eller en ny retainer.

Digital Forensics and Incident Response (DFIR) kombinerar forensisk utredning med respons på en konkret incident. Readiness förbereder ansvariga och rutiner. Security Testing och bedömningar granskar en på förhand avgränsad säkerhetsomfattning. Tjänsterna ger olika resultat och ersätter inte varandra.

Överlämna en incident korrekt

Sophos beskriver DFIR som stöd för att identifiera och neutralisera aktiva hot, utreda grundorsaker, genomföra Compromise Assessments och Threat Hunting. Det faktiska arbetet styrs av den beställda tjänsten och bekräftad behörighet. Beskrivningen av ett team tillgängligt dygnet runt är inget individuellt löfte om starttid, närvaro på plats eller återställningstid.

För den första överlämningen förbereds en kort och spårbar lägesbild:

1. Kontakter och beslutsmandat: teknisk incidentledning, verksamhetsansvariga och en godkänd återkopplingskanal.
2. Observationer i stället för antaganden: tid med tidszon, berörda system eller identiteter, konkreta meddelanden och synliga konsekvenser.
3. Redan genomförda åtgärder: exempelvis isolering, kontobegränsningar eller återställningar, med tid och utförare.
4. Tillgängligt underlag: loggar, ärende-ID:n och befintliga säkerhetskopior med ursprung och lagringsplats. Okänd fullständighet anges uttryckligen.
5. Behörighet och omfattning: kund, avtal eller retainer samt känt drabbat område. En obekräftad rättighet presenteras inte som fastställd.

Detta är en Avanet-rekommendation för att organisera överlämningen, inte en fullständig forensisk metod. Den möjliggör en första hantering utan att viktig information går förlorad genom förhastade ändringar. Smittade system installeras inte om enbart för att skapa ett ”rent utgångsläge”. Incidentansvariga beslutar utifrån det konkreta fallet om isolering, avstängning, bevarat bevismaterial och återställning.

Underlag kan innehålla lösenord, personuppgifter eller konfidentiell verksamhetsinformation. Överlämna bara nödvändiga data via en bekräftad säker kanal. Ett offentligt ärende, en chatt eller en oskyddad fillänk är inget lämpligt alternativ. Om kommunikationskonton kan vara komprometterade avtalas en betrodd återkopplingskanal före överlämningen.

Skilj MDR från DFIR

MDR är den löpande hanterade tjänsten för hotjakt, detektering och avtalad respons. DFIR hanterar en specifik incident inom den bekräftade utredningsomfattningen. Även när samma organisation erbjuder båda beställer ett produktlarm inte automatiskt DFIR och ger inte rätt till obegränsad utredning.

I befintlig MDR-drift är kontakter och Threat Response-läge samt faktisk ärendeägare och nödvändig kundåtgärd avgörande. Ett customer-managed ärende utreds inte automatiskt av MDR-teamet bara för att det finns en Sophos-licens. Öppna kundåtgärder behöver en ansvarig och försvinner inte genom ett antaget tjänstebyte.

Security Services Retainer förklarar Service Units och särskilda DFIR-villkor. Ett SU-saldo är varken en generell svarstid eller en garanti för att avsluta incidenten inom ett visst antal timmar. Befintliga rättigheter kontrolleras mot de konkreta avtalen.

Readiness: öva före incidenten

Beredskap innebär att ansvar, åtkomst och beslutsvägar fungerar redan före en incident. En Tabletop Exercise är en ledd scenariodiskussion: teamet går igenom beslut och överlämningar utan att genomföra en verklig attack mot produktionen.

Bestäm mål och deltagare, exempelvis samordning mellan IT, ledning och kommunikation när administratörsidentiteter komprometteras. Övningen bör visa vem som deklarerar incidenten, vem som godkänner inneslutning, hur kommunikationen sker utanför potentiellt drabbade system och hur återställningsbeslut fattas. Resultatet är dokumenterade observationer och konkreta förbättringar med ansvariga och tidsfrister.

En befintlig beredskapsplan bevisar inte i sig fungerande återställning eller nåbara kontakter. Avanet rekommenderar att kontakt- och godkännandekedjan samt en lämplig återställningsprocess kontrolleras på nytt efter relevanta ändringar. En diskussion ersätter inte ett separat planerat tekniskt återställningstest.

Välj bedömningar och säkerhetstester

External Penetration Testing granskar åtkomst utifrån. Interna tester kan undersöka vad som är möjligt med befintlig nätverksåtkomst. Wireless-tester granskar Wi-Fi-angreppsvägar; Web Application Assessments undersöker applikationer och deras konkreta säkerhetsproblem. Tjänstens namn garanterar inte att alla platser, applikationer eller gränssnitt ingår.

En bedömning bevisar inte heller att miljön är helt okomprometterad. En Compromise Assessment söker efter intrångstecken inom avtalad omfattning; ett penetrationstest prövar utvalda angreppsvägar. Båda skiljer sig från löpande Managed Risk-arbete och respons på en redan aktiv incident.

Före ett test dokumenteras målsystem och undantag, ägares tillstånd, tillåtna metoder, tidsfönster, dataåtkomst och stoppkriterier skriftligt. Moln- eller tredjepartssystem kräver relevant testtillstånd. En kontakt för att avbryta måste vara nåbar; tillgänglighet och produktionspåverkan behandlas uttryckligen. Utan klartecken startar inget test.

Resultatet omfattar begripliga fynd med berörda system, underlag, påverkan och prioriterad åtgärd. Ett omtest kontrollerar överenskomna rättade punkter; offerten bekräftar om, när och i vilken omfattning det ingår. En rapport är inget intyg om framtida osårbarhet. Genomförande och acceptans av förbättringar förblir separata, synliga uppgifter.

För planerade ändringar efter fynden hjälper skillnaden mellan TAM, support och Deployment Services att göra rekommendationen till ett tydligt uppdrag med teknisk överlämning, i stället för att flytta öppna risker mellan leverantörer.