Главная мысль
Определите, какие записи подтверждают применение мер защиты и как их использовать при аудите, разборе инцидентов и повседневной работе.
Наблюдение и доказательства
Оповещения и показатели мониторинга сами по себе не доказывают, что защитная мера ограничила атаку. Xcitium предлагает дополнить сведения об обнаруженных событиях записями о том, какие действия кода были запрещены при выполнении.
Принципы управления выполнением кода
Xcitium описывает три принципа: задавать границы выполнения кода, применять ограничения во время выполнения и принимать решения о доступе по установленным правилам. Команды могут сопоставить эти принципы с действующими политиками, сроками применения решений и возможностью последующей проверки.
Отчетность и сопоставление
Xcitium выделяет пять направлений оценки защитных мер: измерение примененных ограничений, проверку работы политик, записи для аудита, отчетность о выполнении кода и сведения об изоляции. В документе также сравнивается учебный сценарий атаки программы-шифровальщика в двух архитектурах и рассматривается связь подхода с NIST, ISO 27001, CMMC, SOC 2 и HIPAA.
Практические вопросы
CISO и команда по рискам могут определить, какие записи будут понятны страховщику и совету директоров. Аудиторы могут проверить полноту записей за выбранный период, охват систем и событий, временные метки и возможность проследить решения о применении ограничений.