Europejska Komisja ds. Bezpieczeństwa Sieci i Informacji opublikowała raport dotyczący metod wykrywania sieciowych incydentów bezpieczeństwa. Raport opracowany został przez specjalistów z CERT Polska, zespołu działającego w ramach NASK.
Proaktywne wykrywanie incydentów w sieci, za którą dany CERT jest odpowiedzialny, to odnajdywanie złośliwej aktywności jeszcze zanim właściciele atakowanych sieci staną się tego świadomi. Proces ten odbywa się przy pomocy narzędzi monitorujących lub z wykorzystaniem zewnętrznych usług dostarczających informacje o wykrytych incydentach. Zwiększenie efektywności takich działań jest podstawą prężnego funkcjonowania zespołów typu CERT i zwiększenia ich możliwości obsługi incydentów.
Opublikowany dokument to wnikliwa analiza sposobów, w jaki zespoły CERT, w szczególności narodowe i rządowe, wykrywają incydenty w swoich obszarach działalności. Badania przeprowadzone zostały pośród 45 zespołów. Raport zawiera także wykaz najlepszych praktyk i użytecznych narzędzi dla nowo powstałych zespołów reagujących, analizę problemów, jakim muszą stawić czoła i rekomendacje, jak usprawnić obsługę incydentów. Przy tworzeniu raportu brali udział również praktycy z europejskich zespołów CERT, a także uznani eksperci z dziedziny bezpieczeństwa.
Podczas analizy materiałów do raportu zidentyfikowano i przeanalizowano 16 poważnych przeszkód w procesie wykrywania incydentów, dotyczących zarówno kwestii technicznych, jak i prawno-organizacyjnych. Utrudnieniem technicznym były przede wszystkim słaba jakość danych, a także brak automatyzacji w ich przetwarzaniu i korelacji. W kwestiach prawnych częstym problemem były regulacje dotyczące prywatności i ochrony danych osobowych, które uniemożliwiają wymianę danych. Dla każdego ze zidentyfikowanych problemów zaproponowany został szereg potencjalnych rozwiązań i rekomendacji dla podmiotów dostarczających dane o incydentach, dla ich odbiorców i dla organizacji europejskich lub krajowych.
Raport spotkał się z uznaniem i dużym zainteresowaniem zespołów CERT i specjalistów ds. bezpieczeństwa. Zaprezentowane w nim wnioski z przeprowadzonych badań będą pomocne dla zespołów reagujących w wykorzystaniu ważnych, nowych źródeł informacji i dodatkowych narzędzi w swojej organizacji. Usprawnienie proaktywnego wykrywania i przetwarzania danych o incydentach wpływa na sprawność funkcjonowania nie tylko pojedynczego CERT-u, ale również wszystkich, których dane te dotyczą. To z kolei pozwala zacieśniać współpracę i wymianę informacji pomiędzy zespołami CERT, które dużo szybciej są w stanie reagować i rozwiązywać problemy, zwiększając tym samym bezpieczeństwo Internetu.
Raport w języku angielskim dostępny jest pod adresem: http://www.enisa.europa.eu/act/cert/support/proactive-detection |
