Əsas fikir
İdarə olunan ovlama xarici analitikləri təşkilatın sistemləri, növbələri və daxili cavab komandası ilə əlaqələndirir. Razılaşmada məlumat mənbələrini, monitorinq saatlarını, hesabatları, cavab səlahiyyətlərini və əlavə xidmət xərclərini müəyyən edin.
Xidmətin məqsədi
İdarə olunan təhdid ovlama təşkilatın şəbəkə, endpoint və digər əhatəyə daxil edilmiş sistemlərində gizli qala bilən fəaliyyəti araşdırmaq üçün xarici mütəxəssisləri cəlb edir. Xidmət daxili komandanın imkanlarını tamamlaya bilər; əhatə, istifadə ediləcək resurslar və cavab öhdəlikləri müqavilədə müəyyənləşdirilməlidir.
Xarici komandanı nəzərdən keçirmək üçün səbəblər
Təşkilatlar resurs, təcrübə və vaxt məhdudiyyətlərinə görə ovlamanı daxildə qurmaqda çətinlik çəkə bilərlər. Xarici komanda bu boşluqları azaltmağa kömək edə bilər; qərar verərkən lisenziyaları, xidmət haqqını, məlumat paylaşımını və daxili komandanın ayırmalı olduğu vaxtı nəzərə alın.
Məhdud resurslar
Alətlər, telemetriya və təcrübəli heyətə investisiya etmək çətin olduqda, xidmətə daxil olan platformaları, lisenziya və infrastrukturun kimə aid olduğunu, əlavə ödənişləri və xitam zamanı məlumatların necə qaytarıldığını dəqiqləşdirin.
Kibertəhlükəsizlik mütəxəssislərinin əlçatanlığı
İşə qəbul, təlim və mütəxəssisləri saxlamaq çətin ola bilər. Xidmətin hansı rolları təmin etdiyini, analitiklərin ixtisasını və əsas mütəxəssis olmadıqda əvəzləmə qaydasını soruşun.
Hücumların mürəkkəbliyi və tempi
Yeni TTP-ləri izləmək daxili heyətin vaxtını aşa bilər. Monitorinq saatlarını, əhatə olunan aktivləri, növbə ötürməsini və xarici komandanın insident zamanı daxili cavaba necə qoşulduğunu razılaşdırın.
Əhatə və xidmətə daxil ola bilən işlər
Xidmət təklifində aşağıdakı işlərin hər birinin daxil olub-olmadığını, istifadə edilən məlumat mənbələrini və məsul tərəfi yazılı şəkildə göstərin. Monitorinqin 24/7 olub-olmadığını və hansı aktivlərin həmin əhatəyə daxil edildiyini ayrıca təsdiqləyin.
Daimi monitorinq
Təklifdə şəbəkə və endpoint müşahidəsinin vaxtını, əhatə boşluqlarını, xəbərdarlıq həddini, növbə ötürməsini və planlı fasilələri dəqiqləşdirin. Bəzi xidmətlər 24/7 monitorinq təklif edir; bu öhdəliyi saat qurşağı və aktiv siyahısı ilə təsdiqləyin.
Təhdid məlumatı
İstifadə edilən məlumat mənbələrini, onların yenilənmə tezliyini və tapıntılara hansı kontekst əlavə etdiyini soruşun. Mənbə keyfiyyəti və əhatəsi nəticələri dəyişə bilər.
Birgə cavab və təsir hesabatı
Təsdiqlənmiş hadisə zamanı hesabatın hansı sistem və faylların təsirə məruz qala biləcəyini, bərpa ehtiyaclarını və açıq sualları necə göstərəcəyini müəyyən edin. Xidmətin bu hesabatı hansı sübutla dəstəklədiyini və forensik əhatənin sərhədini soruşun.
Risk siqnalları və tövsiyələr
Şübhəli fəaliyyətin kimə və hansı kanalla çatdırılacağını, kontekst və ilkin təhlilin daxil olub-olmadığını, cavab tədbirlərinə kimin qərar verdiyini razılaşdırın.
Praktiki tövsiyələr
Zəiflik və aşkarlanan davranış barədə praktiki tövsiyələrin verilib-verilmədiyini, düzəliş prioritetinin necə əsaslandırıldığını və dəyişiklikləri kimin tətbiq etdiyini göstərin.
Daxili komanda ilə əməkdaşlıq
Xarici ovlama qrupu daxili SOC, İT və insidentə cavab üzrə məsul şəxslərlə razılaşdırılmış kanallarda işləməlidir. Məlumat paylaşımı, sübutların saxlanması, risk bildirişi, tədbirlərə icazə, məxfilik tələbləri və eskalasiyaya cavabdeh şəxs əvvəlcədən müəyyən edilməlidir. Bu qaydalar araşdırma nəticələrinin tədbir görəcək şəxslərə vaxtında çatdırılmasına kömək edir.
Əhatəni və girişi razılaşdırın
Aktivləri, hesabları, məlumat növlərini, mühafizə və saxlanma sərhədlərini yazın; xarici heyətin giriş üsullarını və jurnallaşdırılmasını təsdiqləyin.
Bildiriş və cavab səlahiyyətini təyin edin
Kritik siqnallar üçün əlaqə nöqtəsini, eskalasiya müddətini və təcrid, hesab bloklama və ya sistem dəyişikliyi kimi addımlar üçün kimdən icazə alınacağını müəyyən edin.
Hesabatı və öyrənməni bölüşün
Hesabat formatını, rəhbər və texniki alıcıları, sübut istinadlarını, açıq tədbirlərin izlənməsini və daxili komandanın bilik ötürmə sessiyalarında iştirakını razılaşdırın.
Xidmət müqaviləsində dəqiqləşdiriləcək məqamlar
İşə başlamazdan əvvəl əhatə olunan şəbəkə və endpoint-ləri, monitorinq saatlarını, telemetriya saxlanmasını, təhdid məlumatı mənbələrini, hesabatları, əlaqə və eskalasiya qaydasını, cavab səlahiyyətini, forensik araşdırma sərhədini, xidmət səviyyəsi və qiymət şərtlərini yazılı təsdiqləyin. Məxfilik, məlumatın yerləşdiyi yer və müqavilə bitdikdə silinməsi və ya qaytarılması da aydın olmalıdır.
Tez-tez verilən suallar
Təhdid axtarışı zamanı nə yoxlanılır?
Analitiklər şəbəkə, son nöqtə və bulud telemetriyasında avtomatik müdafiədən yayınmış şübhəli fəaliyyəti araşdırırlar.
Axtarışın nəticəsi nə olur?
Nəticəyə təsdiqlənmiş tapıntılar, səbəb araşdırması, razılaşdırılmış cavab tədbirləri və müdafiəni gücləndirmək üçün tövsiyələr daxil ola bilər.
Xidmət davamlıdır, yoxsa layihə üzrə aparılır?
Axtarışın müddəti, əhatəsi və nəticələri hər layihənin məqsədlərinə uyğun müəyyən edilir.