Сначала установите базовый уровень
Необычный вход в систему имеет смысл только в отношении обычных пользователей, устройств, местоположений и расписаний. Изучите окружающую среду, прежде чем рассматривать каждую аномалию как вторжение.
Работа по обеспечению безопасности – это работа с доказательствами. Полезный аналитик не просто замечает предупреждение; они устанавливают, что произошло, а что не произошло, какие данные подтверждают каждый вывод и какое действие безопасно предпринять дальше. Эта дисциплина имеет значение, поскольку и злоумышленники, и защитные инструменты генерируют вводящие в заблуждение сигналы.
Технический стек быстро меняется, но передаваемое ремесло стабильно: понимать нормальное поведение, сокращать привилегии, сохранять доказательства и сообщать о неопределенности без паники или ложных заверений.
What the work demands
Анализ угроз88
Системы и сети84
Реагирование на инцидент82
Инженерия безопасности76
Коммуникация80
Непрерывное обучение86
Анализ угроз
Отличие вероятного поведения злоумышленника от шума путем объединения журналов, контекста и известных методов.
Системы и сети
Достаточно хорошо понимать конечные точки, идентификацию, протоколы и облачные сервисы, чтобы видеть, где средства контроля не работают.
Реагирование на инцидент
Сдерживание ущерба, сохранение доказательств и координация решений в условиях нехватки времени.
Инженерия безопасности
Разработка элементов управления, которыми могут реально управлять разработчики и пользователи.
Коммуникация
Объяснение рисков и доказательств инженерам, руководителям, юристам и пострадавшим людям.
Непрерывное обучение
Вслед за новыми уязвимостями меняется тактика злоумышленников и платформа, не гоняясь за каждым заголовком.
A day in the life
- 7–9
Сортировка и передача
Просмотрите ночные оповещения, информацию об угрозах и заметки предыдущей смены.
- 9–12
Расследование
Запрашивайте журналы, проверяйте обнаружения, оценивайте подозрительную активность и записывайте доказательства.
- 12–13
Перерыв и чтение
Пауза в работе по оповещению, часто включающая краткий обзор соответствующих рекомендаций.
- 13–16
Проектирование и встречи
Настраивайте элементы управления, проверяйте дизайн, работайте с ИТ-специалистами или разработчиками и обсуждайте владельцев рисков.
- 16–19
Отчетность и улучшение
Завершите расследование, задокументируйте результаты, проверьте обнаружение или подготовьте план устранения.
- 19–7
Вне смены или по вызову
Большинство команд передают работу другим; Службы реагирования на инциденты могут получить вызов во время серьезного события.
The know-how
Craft knowledge practitioners actually pass on — not motivation.
Прицел перед объявлением победы
Сдерживание одного вредоносного процесса не доказывает, что злоумышленник ушел. Прежде чем закрывать инцидент, выполните поиск связанных учетных записей, хостов, устойчивости и исходящей активности.
Сохраните оригинальные доказательства
Записывайте временные метки, хэши и этапы сбора данных, прежде чем менять скомпрометированную систему, где это возможно; исправление может уничтожить доказательства, необходимые для понимания проникновения и воздействия.
Уменьшите привилегии, а не только вредоносное ПО
Долгосрочным решением после инцидента часто является удаление постоянного доступа, ужесточение контроля над идентификацией или сегментирование службы, а не добавление еще одной подписи.
Относитесь к пользователям как к партнерам
Отчет о фишинге, сделанный простым и безупречным, может выявить кампанию раньше, чем технический контроль. Обучение работает лучше, когда оно дает людям безопасные действия.
Практикуйте решение, а не только инструмент
Кабинетные учения выявляют, кто может санкционировать отключения, уведомлять клиентов и обращаться к юристам до того, как реальный инцидент поставит вопрос под вопрос.
Tools of the trade
SIEM и платформа журналов
Такие системы, как Microsoft Sentinel, Splunk или Elastic, собирают и запрашивают события, связанные с безопасностью.
платформа ЭДР
Инструменты обнаружения конечных точек и реагирования проверяют активность на компьютерах и помогают локализовать затронутые устройства.
Сканер уязвимостей
Авторизованные сканеры выявляют отсутствующие исправления и открытые службы, но требуют определения приоритетов человеком.
Анализ пакетов и протоколов
Wireshark и связанные с ним инструменты помогают следователям понять поведение сети на детальном уровне.
Инструменты управления делами и автоматизации
Платформы продажи билетов, сборники сценариев и оркестрации сохраняют доказательства и делают реакцию повторяемой.
How people fail at it
Оповещение об усталости
Если относиться к большой очереди как к обычному, команды упускают один важный сигнал; настройте методы обнаружения и измерьте то, что аналитики могут реально расследовать.
Инструментальная безопасность
Покупка платформы без владельцев, чистых данных или процесса реагирования создает информационные панели, а не защиту.
Обвинение пользователя
Наказание людей за сообщение об ошибке загоняет инциденты в тайну и игнорирует сбои в аутентификации и рабочем процессе.
Similar professions
🧫
Специалист по клиническим данным
Использует данные клинических исследований, исследований и системы здравоохранения для получения надежных данных для более безопасного ухода, исследований и операционных решений.
AI-resistant 68 📦Инженер МЛОпс
Создает системы, которые обучают, развертывают, контролируют и управляют моделями машинного обучения в производстве.
AI-resistant 54 🦾Инженер-робототехника
Разрабатывает машины, которые чувствуют, принимают решения и действуют в физическом мире, где сложной проблемой является не интеллект, а сам мир.
AI-resistant 65 🌿Менеджер по устойчивому развитию
Руководит стратегией, измерениями и отчетностью, которые помогают организациям снизить экологический и социальный ущерб при выполнении деловых обязательств.
AI-resistant 66 🌬️Инженер по возобновляемым источникам энергии
Проектирует, строит и совершенствует ветровые, солнечные, накопительные и сетевые системы, которые превращают возобновляемые ресурсы в надежную электроэнергию.
AI-resistant 72 🔌Инженер-полупроводник
Разрабатывает и производит транзисторы внутри каждого компьютера, телефона и оружия, используя настолько точные станки, что их могут эксплуатировать лишь несколько заводов на Земле.
AI-resistant 60Continue exploring
Keep exploring
More in Engineering & Technology
💻
Инженер-программист
Пишет, тестирует и поддерживает код, который управляет современной жизнью, и является одной из первых профессий, наблюдающих, как ИИ автоматизирует свою повседневную работу.
AI-resistant 35 🤖Исследователь искусственного интеллекта
Разрабатывает и тестирует алгоритмы, лежащие в основе машинного интеллекта, в области, которая сейчас стремится автоматизировать растущую долю собственного исследовательского процесса.
AI-resistant 50 🛰️Аэрокосмический инженер
Проектирует, анализирует и сертифицирует летательные аппараты, ракеты и космические корабли, отрывающиеся от земли, работая с запасом безопасности, не оставляющим места для догадок.
AI-resistant 74 🌉Инженер-строитель
Профессия, превращающая реки, скалы и гравитацию в мосты, дороги и чистую воду — тихая несущая сила цивилизации со времен Имхотепа.
AI-resistant 72 🔌Инженер-полупроводник
Разрабатывает и производит транзисторы внутри каждого компьютера, телефона и оружия, используя настолько точные станки, что их могут эксплуатировать лишь несколько заводов на Земле.
AI-resistant 60 🦾Инженер-робототехника
Разрабатывает машины, которые чувствуют, принимают решения и действуют в физическом мире, где сложной проблемой является не интеллект, а сам мир.
AI-resistant 65 📦Инженер МЛОпс
Создает системы, которые обучают, развертывают, контролируют и управляют моделями машинного обучения в производстве.
AI-resistant 54 🌬️Инженер по возобновляемым источникам энергии
Проектирует, строит и совершенствует ветровые, солнечные, накопительные и сетевые системы, которые превращают возобновляемые ресурсы в надежную электроэнергию.
AI-resistant 72