Lühidalt: IT tabletop-harjutus mängib turvaintsidendi laua taga läbi: juhendaja toob samm-sammult sisse uut olukorrateavet, osalised otsustavad nagu hädaolukorras ja lõpuks on konkreetsete parenduste nimekiri. Veebiserverite jaoks sobib PHP2Shelli eeskujul stsenaarium, sest see puudutab korraga tehnikat, otsuseid ebakindluses, andmekaitset ja kommunikatsiooni.
Miks plaan hakkab mõjuma alles harjutamisega
Paljudel ettevõtetel on nüüdseks hädaolukorra plaan. Kas see toimib, selgub aga alles siis, kui keegi seda ajasurve all kasutab. Kas selles on õige telefoninumber? Kas juhtkond teab, et peab väljalülitamise üle otsustama? Kas teenusepakkuja tunneb ligipääse? Selliseid küsimusi selgitab laua taga harjutus mõne tunniga.
- aasta oktoobri nädal näitas, kui kiiresti võib olukord eskaleeruda: php.net-i eelteade 20.10., paigad 21.10. kell 16 Saksamaa aja järgi, BSI (Saksamaa föderaalne infoturbeamet) hoiatustase oranž, avalike veebisaitide väljalülitamised meediaaruannete kohaselt. Kes oli seda järjestust ühe korra enne harjutanud, pidi vähem improviseerima. Kulgu üksikasjalikult kirjeldab PHP2Shelli kronoloogia. Kuidas plaan ise üles ehitada, selgitab artikkel Veebiserveri IT-hädaolukorra plaani koostamine; siin on jutt harjutamisest.
Tabletop-harjutus IT-s: rollid ja ettevalmistus
Hea harjutus vajab vähe materjali, kuid selgeid rolle. Juhendaja viib stsenaariumist läbi, toob sisse teavet ja jälgib aega. Ta ei arutle kaasa, vaid esitab küsimusi. Protokollija märgib üles otsused, lahtised küsimused ja iga koha, kus keegi ütleb „seda ma praegu ei teaks“. Soovi korral jälgib veel üks isik, kuidas kommunikatsioon kulgeb.
Osalejad on inimesed, kes hädaolukorras tegelikult tegutsevad: juhtkond, sisemine IT või väline teenusepakkuja, andmekaitsespetsialistid, kommunikatsioon, vajaduse korral hanked või õigusosakond. Oluline on, et kohal oleksid ka asendajad, sest intsidendid ei pea kinni puhkuseplaanidest.
Ettevalmistusse kuuluvad: ajakohane hädaolukorra plaan paberil, kontaktide nimekiri, ülevaade veebisaitidest ja serveritest ning katkestusteta ruum. Leppige eelnevalt kokku, et tegemist on õppimisega, mitte hinnetega. Kes kardab end ära teha, ei ütle, mida ta ei tea.
Valmis stsenaarium: kriitiline PHP turvaauk reede pärastlõunal
Järgnev stsenaarium on väljamõeldud, kuid põhineb päris olukorra mustril. Kohandage süsteemid ja nimed oma keskkonnale. Iga sissetoomine saab kümme kuni kakskümmend minutit arutelu.
| Samm | Juhendaja sissetoomine | Juhtküsimus ringile |
|---|---|---|
| 1 | Erialaajakirjandus teatab kriitilisest turvaaugust PHP-s, paigad on välja kuulutatud, kuid veel mitte olemas. | Kes saab sellest esimesena teada ja keda tuleb teavitada? |
| 2 | Paigad ilmuvad pärastlõunal. BSI soovitab kohest uuendust, muidu ajutist väljalülitamist. | Millised meie süsteemid on mõjutatud ja kust me seda teame? |
| 3 | Veebimajutaja ei anna endast märku. Oma server töötab PHP versiooniga ilma ametliku uuenduseta. | Paigata, välja lülitada või oodata, ja kes seda otsustab? |
| 4 | Poes peab nädalavahetusel olema kampaania. Müük nõuab, et midagi välja ei lülitataks. | Kuidas kaalume käivet ja riski ning kuidas otsust dokumenteerime? |
| 5 | Administraator leiab esmaspäeval üleslaadimiskaustast tundmatu PHP faili. | Mida teeme kõigepealt, mida jätame teadlikult tegemata? Kes kindlustab tõendid? |
| 6 | Ebaselge on, kas kliendiandmed on lekkinud. | Kes hindab võimalikku teavitamiskohustust ja millal kulgeb tähtaeg? |
| 7 | Ajakirjanik küsib, miks veebisait on võrgust väljas. | Kes räägib väljapoole ja mida ütleme, kuni teame vähe? |
- samm puudutab IKÜM-i. Harjutuses piisab kulgu selgitamisest: kes kaasab andmekaitsespetsialistid ja millal. Õiguslik hindamine jääb spetsialistidele; tähtaja põhijooned on IKÜM art 33.
Tüüpilised tähelepanekud ja kuidas need fikseerida
Teatud lüngad ilmnevad peaaegu igal esimesel harjutusel. Puudub täielik nimekiri, millised veebisaidid töötavad millistes serverites millise PHP versiooniga. Veebimajutaja kontaktandmed on vananenud või salvestatud ainult postkasti, mis hädaolukorras ei ole kättesaadav. Keegi ei tea kindlalt, kas juhtkond tohib väljalülitamise ise korraldada või peab keegi nõusoleku andma.
Fikseerige iga tähelepanek kolmes osas: mida me tuvastasime, mida muudame ja kes selle millal ära teeb. Tähelepanek ilma vastutajata jääb kogemuse põhjal pooleli. Järjestage punktid mõju järgi: puuduv hädaabinumber on kiiresti lahendatud ja aitab kohe, uus monitooringulahendus vajab planeerimist.
Harjutuse järgseks struktureeritud hindamiseks sobib sama lähenemine nagu pärast päris intsidenti. Seda kirjeldab artikkel Lessons learned: pärast intsidenti paremaks saamine. Kontaktide nimekirja, mis harjutuses tavaliselt nõrkusi näitab, käsitleb Hädaolukorra kontaktid: kes tuleb millal teavitada?.
Korrake harjutust kuue kuni kaheteistkümne kuu pärast teise stsenaariumiga, näiteks häkitud veebisaidiga, mis suunab võõrastele lehtedele. Nii kontrollite, kas esimese vooru meetmed said tõesti ellu viidud.
Kuidas PHP SOS konkreetselt aitab?
- Kohandame stsenaariumi teie tegelikele veebisaitidele, serveritele ja teenusepakkujatele ning valmistame sissetoomised ette.
- Juhendame harjutust kaugtööna või videokonverentsi kaudu ning hoidume hinnangutest, kuni ring on otsustanud.
- Anname pärast protokolli tähelepanekute, meetmete, vastutajate ja tähtaegadega.
- Soovi korral harjutame seejärel tehnilist osa, see tähendab olukorra kaardistamist, paika ja jälgede otsimist, nii nagu meie intsidendile reageerimine selle hädaolukorras läbi töötab.
Kokkuvõte
Laua taga hädaolukorra harjutus on kõige soodsam viis hädaolukorra plaani nõrkuste leidmiseks enne, kui päris intsident seda teeb. Algajale piisab ühest pärastlõunast, realistlikust stsenaariumist ja ausast hindamisest. Otsustav on, et igast tähelepanekust saab ülesanne nime ja kuupäevaga.
Korduma kippuvad küsimused
Mis on tabletop-harjutus?
Harjutus, kus osalised arutavad intsidenti koos laua taga läbi, töötamata päris süsteemidega. Juhendaja toob samm-sammult sisse uut teavet, rühm otsustab ja põhjendab. Nii muutuvad nähtavaks lüngad plaanis, vastutusaladel ja kontaktide nimekirjades.
Kes peaks hädaolukorra harjutusest osa võtma?
Kõik, kes hädaolukorras otsustavad või tegutsevad: juhtkond, IT või teenusepakkuja, andmekaitse, kommunikatsioon ja, kui olemas, kindlustusküsimuste eest vastutav isik. Rohkem kui kaheksa kuni kümme inimest teeb ringi logiseks.
Kui kaua tabletop-harjutus kestab?
Esimeseks läbimänguks piisab kahest kuni kolmest tunnist koos hindamisega. Pikkusest olulisem on, et tulemused fikseeritakse ning meetmetele antakse vastutaja ja tähtaeg.
Kas stsenaarium peab olema realistlik?
See peaks sobima teie keskkonnaga, kuid ei pea olema detailideni täpne. Päris olukorra, näiteks PHP2Shelli eeskujul koostatud stsenaarium mõjub usutavalt ja suunab arutelu otsustele, mitte tehnilistele detailidele.