Əsas fikir
Məktəbin kibertəhlükəsizliyi məsuliyyət bölgüsünü, məlumatların harada saxlandığını və necə ötürüldüyünü anlamağı, şübhəli proqramların təhlilini və davamlı monitorinqi birləşdirir. Bu beş addımı əlaqəli iş kimi planlaşdırın: insident planı, məlumat axınlarının xəritəsi, təcrid, EDR və monitorinq. Məqsəd həm həssas məlumatları, həm də tədrisin davamlılığını qorumaqdır.
Məktəbdə hansı risklərdən başlamaq lazımdır
Məktəb şəbəkəsi dərs prosesini, işçi cihazlarını və şagirdlər haqqında məlumatları birləşdirir. Mühafizə planı həm məlumatların məxfiliyini, həm də gündəlik işin davamlılığını nəzərə almalıdır. Şəbəkəyə qoşulan hər cihazın və kənar xidmətin yaratdığı riski ayrıca qiymətləndirin.
Tədris və gündəlik xidmətlər
Sistemlərin dayanması dərs materiallarına, distant dərslərə və hətta yeməkxana xidmətlərinə çıxışı poza bilər. Bu asılılıqları insident planında nəzərə alın.
Şəxsi məlumatlar
Şagirdlər, müəllimlər və məktəblə əlaqəli şəxslər haqqında məlumatların harada saxlandığını müəyyənləşdirin. Həssas məlumatlara girişin və onların paylaşılmasının məhdudlaşdırılması ayrıca iş tələb edir.
Cihazlar və kənar xidmətlər
Məktəbdən kənarda istifadə olunmuş noutbuklar yenilənmədən şəbəkəyə qayıda bilər. İşçilərin istifadə etdiyi kənar xidmətləri və təchizatçıların məlumatlara çıxışını da nəzərdən keçirin.
İnsident zamanı kimin nə edəcəyini müəyyənləşdirin
Hücum baş verəndə məsul şəxsləri axtarmağa vaxt itirməmək üçün onların adlarını, vəzifələrini və əsas hərəkətlərini əvvəlcədən qeyd edin. Plan həm ilkin müdaxiləni, həm də insidentdən sonra görüləcək işi əhatə etməlidir.
Vəziyyəti qiymətləndirin
İlkin əlamətləri araşdırın, hücumun təsirini müəyyənləşdirin və onun davam edib-etmədiyini yoxlayın. Bu məlumatlar növbəti tədbirlərin seçilməsinə kömək edir.
Yayılmanı məhdudlaşdırın
Zərərin genişlənməsini məhdudlaşdırın və insidentin ilkin səbəbini araşdırın. Təkcə görünən əlamətlərlə kifayətlənməyin.
Zərərli proqramı və zəiflikləri aradan qaldırın
Zərərli proqramı silin və şəbəkədə aşkarlanan zəiflikləri aradan qaldırın. Bu işlər insidentin səbəbi barədə əldə olunan məlumatlara əsaslanmalıdır.
Nəticələri nəzərdən keçirin
İnsident başa çatdıqdan sonra prosesləri, texnologiyaları və alətləri yenidən qiymətləndirin. Təkrar hücum riskini azaltmaq üçün hansı dəyişikliklərin lazım olduğunu müəyyənləşdirin.
Məlumatların harada olduğunu və necə ötürüldüyünü xəritələşdirin
Məlumat axınlarının xəritəsi yalnız şəbəkə qurğularının siyahısı deyil. O, məlumatın istifadəçilər, cihazlar, sistemlər və kənar xidmətlər arasında keçdiyi yolu göstərir. Xəritəni hazırlayarkən İT komandası ilə yanaşı, məlumatdan istifadə edən bölmələri də cəlb edin.
Harada və necə yaranır
Məlumatın necə toplandığını və ya yaradıldığını, harada saxlandığını qeyd edin. Bu inventar həssas məlumatların qorunmasını planlaşdırmaq üçün əsas verir.
Kim və nə üçün istifadə edir
İstifadəçiləri, onların ehtiyaclarını və məlumatın həssaslığını müəyyənləşdirin. Giriş qaydalarını və paylaşma məhdudiyyətlərini bu ehtiyaclarla əlaqələndirin.
Hara ötürülür
Daxili sistemlər və kənar xidmətlər arasındakı ötürmələri göstərin. Məktəbin məlumatlarına çıxışı olan təchizatçıları və tərəfdaşları xəritədən kənarda qoymayın.
Şübhəli proqramı təcrid olunmuş mühitdə təhlil edin
Şübhəli icra olunan faylın davranışını görmək üçün onu birbaşa iş sistemində açmaq zərər riski yaradır. Təcrid olunmuş mühit proqramın quraşdırılmasını və işləməsini müşahidə etməyə, sistem faylları və parametrlərlə nə etdiyini araşdırmağa imkan verir.
Belə təhlilin məqsədi proqramın davranışı haqqında qərar verməkdir. Naməlum faylın etibarlılığı müəyyənləşənədək onunla ehtiyatlı davranmaq lazımdır; təcrid, təhlil və nəticənin qiymətləndirilməsi birlikdə işləyir.
Cihazlardakı hadisələri EDR ilə araşdırın
Cihazlarda təhdidlərin aşkarlanması və onlara cavab (EDR) hücumun necə başladığını, hansı cihazlara keçdiyini və hansı məlumatlara toxunduğunu araşdırmağa kömək edir. Hadisələrin davamlı izlənməsi İT komandasına hadisələrin ardıcıllığını anlamaq və müdaxiləni planlaşdırmaq üçün məlumat verir.
Bütün insidentlər zərərli proqramla başlamır. Məsələn, səlahiyyətlərdən sui-istifadə edən şəxs qanuni tətbiqdən başqa sistemə keçmək və məlumat götürmək üçün istifadə edə bilər. Buna görə cihazdakı hərəkətləri də araşdırmaq lazımdır; tətbiqin tanış olması onun təhlükəsiz istifadə olunduğunu göstərmir.
Aşkarlama nəticələri yoxlanmalıdır: həm yanlış xəbərdarlıqlar, həm də gözdən qaçan təhdidlər mümkündür. Buna görə aşkarlamanı təcrid və araşdırma ilə birlikdə tətbiq edin.
Monitorinqi gündəlik işin bir hissəsinə çevirin
Daxili və xarici şəbəkə trafikinin qeydləri qeyri-adi istifadəçi davranışını və şübhəli fəaliyyəti görməyə kömək edir. Cihazların vəziyyətini, yeniləmələri və zəiflikləri də izləyin: birdəfəlik yoxlama sonrakı dəyişiklikləri göstərmir.
Monitorinqdən sonra iş bitmir. Aşkarlanan zəiflikləri prioritetləşdirmək, düzəlişlər etmək və insident əlamətlərini araşdırmaq üçün məsul şəxslər lazımdır. Məktəbin İT komandasında davamlı izləmə üçün resurs çatmırsa, idarə olunan aşkarlama və cavab xidmətinin (MDR) hansı işləri üzərinə götürəcəyini və məktəb komandası ilə necə işləyəcəyini müəyyənləşdirin.