Computer security incident management
कंप्यूटर सुरक्षा और सूचना प्रौद्योगिकी के क्षेत्र में, कंप्यूटर सुरक्षा घटना प्रबंधन में कंप्यूटर या कंप्यूटर नेटवर्क पर सुरक्षा घटनाओं की निगरानी और पता लगाना और उन घटनाओं के लिए उचित प्रतिक्रियाओं का निष्पादन शामिल है। कंप्यूटर सुरक्षा घटना प्रबंधन घटना प्रबंधन का एक विशेष रूप है, जिसका प्राथमिक उद्देश्य हानिकारक घटनाओं और कंप्यूटर घुसपैठ के लिए एक अच्छी तरह से समझी गई और अनुमानित प्रतिक्रिया का विकास है। घटना प्रबंधन के लिए एक प्रक्रिया और एक प्रतिक्रिया दल की आवश्यकता होती है जो इस प्रक्रिया का पालन करता है। कंप्यूटर सुरक्षा घटना प्रबंधन की यह परिभाषा राष्ट्रीय घटना प्रबंधन प्रणाली (एन. आई. एम. एस.) में वर्णित मानकों और परिभाषाओं का पालन करती है। घटना समन्वयक एक आपातकालीन सुरक्षा घटना की प्रतिक्रिया का प्रबंधन करता है। प्राकृतिक आपदा या आपातकालीन सेवाओं से प्रतिक्रिया की आवश्यकता वाली अन्य घटना में, घटना समन्वयक आपातकालीन सेवा घटना प्रबंधक के लिए एक संपर्क के रूप में कार्य करेगा। कंप्यूटर सुरक्षा घटना प्रबंधन कंप्यूटर परिसंपत्तियों, नेटवर्क और सूचना प्रणालियों के प्रबंधन और सुरक्षा का एक प्रशासनिक कार्य है। ये प्रणालियाँ हमारे समाज के व्यक्तिगत और आर्थिक कल्याण के लिए अधिक महत्वपूर्ण होती जा रही हैं। संगठनों (सार्वजनिक और निजी क्षेत्र के समूहों, संघों और उद्यमों) को सार्वजनिक भलाई और अपनी सदस्यता और हितधारकों के कल्याण के लिए अपनी जिम्मेदारियों को समझना चाहिए। यह जिम्मेदारी "क्या करना है, जब चीजें गलत हो जाती हैं" के लिए एक प्रबंधन कार्यक्रम होने तक फैली हुई है। घटना प्रबंधन एक ऐसा कार्यक्रम है जो एक प्रक्रिया को परिभाषित और लागू करता है जिसे एक संगठन अपने स्वयं के कल्याण और जनता की सुरक्षा को बढ़ावा देने के लिए अपना सकता है। एक घटना एक प्रणाली, पर्यावरण, प्रक्रिया, कार्यप्रवाह या व्यक्ति (घटकों) के सामान्य व्यवहार में एक अवलोकन योग्य परिवर्तन है। तीन बुनियादी प्रकार की घटनाएँ होती हैंः सामान्य-एक सामान्य घटना महत्वपूर्ण घटकों को प्रभावित नहीं करती है या संकल्प के कार्यान्वयन से पहले परिवर्तन नियंत्रण की आवश्यकता नहीं होती है। सामान्य आयोजनों में वरिष्ठ कर्मियों की भागीदारी या आयोजन की प्रबंधन अधिसूचना की आवश्यकता नहीं होती है। वृद्धि-एक बढ़ी हुई घटना महत्वपूर्ण उत्पादन प्रणालियों को प्रभावित करती है या एक संकल्प के कार्यान्वयन की आवश्यकता होती है जिसे परिवर्तन नियंत्रण प्रक्रिया का पालन करना चाहिए। बढ़े हुए आयोजनों में वरिष्ठ कर्मियों की भागीदारी और कार्यक्रम के हितधारक अधिसूचना की आवश्यकता होती है। आपात स्थिति-एक आपात स्थिति एक ऐसी घटना है जो मनुष्य के स्वास्थ्य या सुरक्षा को प्रभावित कर सकती है जो महत्वपूर्ण प्रणालियों के प्राथमिक नियंत्रणों को भौतिक रूप से घटक प्रदर्शन को प्रभावित कर सकती है या घटक प्रणालियों के प्रभाव के कारण उन गतिविधियों को रोक सकती है जो व्यक्तियों के स्वास्थ्य या सुरक्षा की रक्षा करती हैं या प्रभावित कर सकती हैं, जिन्हें नीति के रूप में या उपलब्ध घटना समन्वयक द्वारा घोषणा द्वारा आपातकालीन माना जाता है, कंप्यूटर सुरक्षा और सूचना प्रौद्योगिकी कर्मियों को अच्छी तरह से परिभाषित कंप्यूटर सुरक्षा घटना प्रतिक्रिया योजना के अनुसार आपातकालीन घटनाओं को संभालना चाहिए। घटना एक ऐसी घटना है जो मानव मूल कारण के कारण होती है। यह अंतर विशेष रूप से महत्वपूर्ण है जब घटना नुकसान करने के दुर्भावनापूर्ण इरादे का उत्पाद है। एक महत्वपूर्ण टिप्पणीः सभी घटनाएँ घटनाएँ हैं लेकिन कई घटनाएँ घटनाएँ नहीं हैं। आयु या दोष के कारण एक प्रणाली या अनुप्रयोग विफलता एक आपातकालीन घटना हो सकती है लेकिन एक यादृच्छिक दोष या विफलता एक घटना नहीं है। घटना प्रतिक्रिया दल सुरक्षा घटना समन्वयक प्रतिक्रिया प्रक्रिया का प्रबंधन करता है और टीम को इकट्ठा करने के लिए जिम्मेदार होता है। समन्वयक यह सुनिश्चित करेगा कि टीम में घटना का उचित आकलन करने और उचित कार्रवाई के संबंध में निर्णय लेने के लिए आवश्यक सभी व्यक्ति शामिल हों। घटना दल स्थिति रिपोर्ट की समीक्षा करने और विशिष्ट उपचारों को अधिकृत करने के लिए नियमित रूप से मिलता है। टीम को पहले से आवंटित भौतिक और आभासी बैठक स्थल का उपयोग करना चाहिए। घटना की जाँच घटना की परिस्थितियों को निर्धारित करने का प्रयास करती है। प्रत्येक घटना के लिए जाँच की आवश्यकता होगी या आवश्यकता होगी। हालांकि, फोरेंसिक उपकरण, गंदे नेटवर्क, संगरोध नेटवर्क और कानून प्रवर्तन के साथ परामर्श जैसे जांच संसाधन एक आपातकालीन घटना के प्रभावी और तेजी से समाधान के लिए उपयोगी हो सकते हैं। प्रक्रिया प्रारंभिक घटना प्रबंधन प्रक्रिया कर्मचारी, विक्रेता, ग्राहक, भागीदार, उपकरण या संवेदक हेल्प डेस्क को घटना की रिपोर्ट करते हैं। टिकट बनाने से पहले, हेल्प डेस्क घटना को गलत सकारात्मक के रूप में फ़िल्टर कर सकता है। अन्यथा, हेल्प डेस्क प्रणाली एक टिकट बनाती है जो घटना, घटना स्रोत, प्रारंभिक घटना की गंभीरता और घटना की प्राथमिकता को दर्शाती है। टिकट प्रणाली आयोजन के लिए एक अद्वितीय आईडी बनाती है। आई. टी. कर्मियों को ईमेल, आई. एम. और अन्य अनौपचारिक संचार को पकड़ने के लिए टिकट का उपयोग करना चाहिए। परिवर्तन नियंत्रण, घटना प्रबंधन रिपोर्ट और अनुपालन रिपोर्ट जैसी बाद की गतिविधियों में टिकट संख्या का संदर्भ होना चाहिए। ऐसे उदाहरणों में जहां घटना की जानकारी "प्रतिबंधित पहुंच" है, टिकट को सुरक्षित दस्तावेज़ प्रबंधन प्रणाली में प्रासंगिक दस्तावेजों का संदर्भ देना चाहिए। प्रथम स्तर का उत्तरदाता अतिरिक्त घटना डेटा लेता है और प्रारंभिक विश्लेषण करता है। कई संगठनों में कार्यक्रमों की मात्रा कर्मचारियों के सापेक्ष महत्वपूर्ण होती है। नतीजतन, स्वचालन को लागू किया जा सकता है, आमतौर पर एक एस. ओ. ए. आर. (सुरक्षा आर्केस्ट्रेशन, स्वचालन और प्रतिक्रिया) उपकरण के रूप में, एक खुफिया ए. पी. आई. के साथ एकीकृत किया जाता है। एस. ओ. ए. आर. उपकरण कार्यप्रवाह स्वचालन कार्यपुस्तिका के माध्यम से जांच को स्वचालित करता है। साइबर इंटेलिजेंस एपीआई प्लेबुक को टिकट से संबंधित अनुसंधान को स्वचालित करने में सक्षम बनाता है (संभावित फ़िशिंग यूआरएल, संदिग्ध हैश, आदि देखें)। प्रथम उत्तरदाता घटना की गंभीरता निर्धारित करता है। इस स्तर पर, यह या तो एक सामान्य या एक वृद्धि घटना है। सामान्य घटनाएँ महत्वपूर्ण उत्पादन प्रणालियों को प्रभावित नहीं करती हैं या संकल्प के कार्यान्वयन से पहले परिवर्तन नियंत्रण की आवश्यकता होती है। महत्वपूर्ण उत्पादन प्रणालियों को प्रभावित करने वाली या परिवर्तन नियंत्रण की आवश्यकता वाली घटनाओं को बढ़ाया जाना चाहिए। संगठन प्रबंधन पहले स्तर की समीक्षा के बिना तत्काल वृद्धि का अनुरोध कर सकता है-दूसरा स्तर टिकट बनाएगा। घटना हल करने के लिए तैयार है। संसाधन टिकट में समाधान और समस्या श्रेणी में प्रवेश करता है और बंद करने के लिए टिकट जमा करता है। टिकट के मालिक (कर्मचारी, विक्रेता, ग्राहक या भागीदार) को संकल्प प्राप्त होता है। वे निर्धारित करते हैं कि समस्या उनकी संतुष्टि के लिए हल हो गई है या टिकट को बढ़ा दिया गया है। इस घटना को दिखाने के लिए वृद्धि रिपोर्ट को अद्यतन किया जाता है और टिकट को घटना की जांच करने और प्रतिक्रिया देने के लिए एक दूसरे स्तर का संसाधन सौंपा जाता है। द्वितीय श्रेणी का संसाधन अतिरिक्त विश्लेषण करता है और टिकट की महत्वपूर्णता का पुनर्मूल्यांकन करता है। आवश्यकता पड़ने पर, द्वितीय स्तर का संसाधन परिवर्तन नियंत्रण को लागू करने और आयोजन के आई. टी. प्रबंधन को सूचित करने के लिए जिम्मेदार होता है। आपातकालीन प्रतिक्रियाः घटनाएँ वृद्धि श्रृंखला का अनुसरण कर सकती हैं जब तक कि यह निर्धारित नहीं किया जाता है कि आपातकालीन प्रतिक्रिया आवश्यक है। शीर्ष-स्तरीय संगठन प्रबंधन यह निर्धारित कर सकता है कि एक आपातकालीन प्रतिक्रिया आवश्यक है और इस प्रक्रिया को सीधे लागू कर सकता है। आपातकालीन प्रतिक्रिया का विवरण आपातकालीन प्रतिक्रिया एक सुरक्षा घटना के बढ़ने या सी. आई. ओ. या अन्य कार्यकारी संगठन के कर्मचारियों द्वारा प्रत्यक्ष घोषणा द्वारा शुरू की जाती है। सी. आई. ओ. घटना समन्वयक को नियुक्त कर सकता है, लेकिन डिफ़ॉल्ट रूप से, समन्वयक घटना के समय उपलब्ध सबसे वरिष्ठ सुरक्षा कर्मचारी सदस्य होगा। घटना समन्वयक घटना प्रतिक्रिया दल को इकट्ठा करता है। टीम एक पूर्व-परिभाषित सम्मेलन बैठक स्थान का उपयोग करके मिलती है। (सी. आई. ओ., सी. एस. ओ. या निदेशक आई. टी.) में से एक को प्रत्येक घटना दल की बैठक में भाग लेना चाहिए। बैठक के कार्यवृत्त में घटना की स्थिति, कार्रवाई और संकल्प (ओं) को दर्शाया जाता है। घटना समन्वयक घटना की लागत, जोखिम और निरंतर व्यावसायिक जोखिम पर रिपोर्ट करता है। घटना प्रतिक्रिया दल कार्रवाई का अगला तरीका निर्धारित करता है। तालाबंदी और मरम्मत-संगठन को और नुकसान से बचाने के लिए आवश्यक कार्य करें, प्रभावित प्रणालियों की मरम्मत करें और पुनः घटना को रोकने के लिए परिवर्तन करें। गलत सकारात्मक-घटना दल निर्धारित करता है कि इस मुद्दे पर आपातकालीन प्रतिक्रिया की आवश्यकता नहीं है। टीम वरिष्ठ प्रबंधन को एक लिखित रिपोर्ट प्रदान करती है और इस मुद्दे को या तो एक सामान्य घटना के रूप में संभाला जाता है या इसे बंद कर दिया जाता है। निगरानी और पकड़-अपराधी का पता लगाने और पकड़ने के लिए निरंतर निगरानी के साथ पूरी तरह से जांच करें। इस प्रक्रिया में निम्नलिखित वरिष्ठ और पेशेवर कर्मचारियों को अधिसूचना शामिल होनी चाहिएः सी. ई. ओ. और सी. एफ. ओ. कॉर्पोरेट अटॉर्नी और जनसंपर्क समीक्षा और घटना की प्रकृति और दायरे को निर्धारित करने के लिए लॉग डेटा का विश्लेषण करें। इस चरण में आवश्यक शमन और मरम्मत निर्धारित करने के लिए वायरस, स्पाइवेयर, रूटकिट और अन्य पहचान उपकरणों का उपयोग करना शामिल होना चाहिए। प्रणालियों की मरम्मत करें, हमले के वेक्टर (ओं) को समाप्त करें और शोषण योग्य कमजोरियों को कम करें। परीक्षण रिपोर्ट मरम्मत प्रक्रिया के सत्यापन का दस्तावेजीकरण करती है। नीति और जोखिम शमन के साथ अनुपालन सुनिश्चित करने के लिए परीक्षण प्रणालियाँ। सभी वर्तमान कमजोरियों को हल करने के लिए अतिरिक्त मरम्मत करें। हमले के स्रोत का पता लगाने और अपराधी को पकड़ने के लिए घटना की जांच करें। इसके लिए फोरेंसिक उपकरणों, लॉग विश्लेषण, स्वच्छ प्रयोगशाला और गंदे प्रयोगशाला वातावरण के उपयोग और कानून प्रवर्तन या अन्य बाहरी संस्थाओं के साथ संभावित संचार की आवश्यकता होगी। "जाँच स्थिति रिपोर्ट" घटना के संबंध में सभी वर्तमान जानकारी को पकड़ती है। घटना प्रतिक्रिया दल इस जानकारी का उपयोग कार्रवाई के अगले पाठ्यक्रम को निर्धारित करने के लिए करता है। (संदर्भ 2 और संदर्भ 3 देखें) परिभाषाएँ पहले उत्तरदाता/पहले स्तर की समीक्षा पहले व्यक्ति को घटनास्थल पर होना चाहिए या किसी घटना की सूचना प्राप्त करनी चाहिए, संगठनों को पहले उत्तरदाता को आपातकालीन परिस्थितियों को पहचानने और ठीक से प्रतिक्रिया करने के लिए प्रशिक्षण प्रदान करना चाहिए। हेल्प डेस्क टिकट (कंट्रोल) एक इलेक्ट्रॉनिक दस्तावेज़ जो एक डेटाबेस में कब्जा कर लिया जाता है और घटना की रिपोर्ट करने वाला व्यक्ति, घटना से जुड़ी संपत्ति का प्रमुख मालिक या सामान्य कानून या अधिकार क्षेत्र का मालिक को ट्रैकिंग/रिज़ॉल्यूशन सिस्टम जारी करता है। एस्केलेशन रिपोर्ट (कंट्रोल) टिकट बढ़ाने के लिए पहले उत्तरदाता का प्रलेखन, उत्तरदाता इस जानकारी को टिकट या कार्यक्रम के लिए डब्ल्यू. आई. के. आई. लॉग में लिखते हैं। टिकट कार्यक्रम के लिए WIKI लॉग का संदर्भ देता है। दूसरे स्तर के वरिष्ठ तकनीकी संसाधनों को एक बढ़ी हुई घटना को हल करने के लिए सौंपा गया है। घटना समन्वयक संगठन द्वारा वरिष्ठ प्रबंधन द्वारा घटना प्रतिक्रिया दल को इकट्ठा करने, प्रबंधन करने और घटना की प्रतिक्रिया का दस्तावेजीकरण करने के लिए सौंपा गया व्यक्ति। वर्तमान जांच परिणामों की जांच स्थिति रिपोर्ट (नियंत्रण) प्रलेखन, समन्वयक इस सामग्री को टिकट, डब्ल्यू. आई. के. आई. या किसी इंजीनियर की पत्रिका में प्रलेखित कर सकता है। घटना दल की बैठक के कार्यवृत्त (नियंत्रण) प्रलेखन, कार्यवृत्त उपस्थित लोगों, घटना की वर्तमान प्रकृति और अनुशंसित कार्यों का दस्तावेजीकरण करते हैं। समन्वयक इस सामग्री को टिकट, डब्ल्यू. आई. के. आई. या किसी इंजीनियर की पत्रिका में दर्ज कर सकता है। तालाबंदी परिवर्तन नियंत्रण एक प्रक्रिया जिसे घटना के समाधान के रूप में आदेश दिया गया है। यह प्रक्रिया आपातकालीन परिवर्तन नियंत्रण के समान प्राधिकरण और प्रतिक्रिया आवश्यकताओं का पालन करती है। परीक्षण रिपोर्ट (नियंत्रण) यह रिपोर्ट पुष्टि करती है कि आई. टी. व्यक्तिगत ने प्रणालियों को ऑनलाइन वापस लाने से पहले सभी आवश्यक और उपलब्ध मरम्मत की है। युद्ध कक्ष गोपनीय सामग्री की समीक्षा और सुरक्षा घटना की जांच के लिए एक सुरक्षित वातावरण है। वरिष्ठ प्रबंधन (नियंत्रण) को रिपोर्ट करें घटना समन्वयक एक वरिष्ठ प्रबंधन रिपोर्ट का मसौदा तैयार करने के लिए जिम्मेदार है। समन्वयक इस सामग्री को टिकट, डब्ल्यू. आई. के. आई. या एक इंजीनियर की पत्रिका इंसिडेंट रेस्पॉन्स स्टेप्स डिटेक्शन में दस्तावेज कर सकता है-एक घटना का पता एक संवेदक, एक नेटवर्क विश्लेषक या एक उपयोगकर्ता द्वारा अपने पीसी के साथ कुछ असामान्य रिपोर्ट करके लगाया जा सकता है। नियंत्रण-दुर्भावनापूर्ण नेटवर्क यातायात या कंप्यूटर वायरस की स्थिति में, घटना प्रतिक्रिया प्रबंधक को कंप्यूटर को नेटवर्क से हटा कर यातायात को रोकना चाहिए। साफ करें-वायरस को हटाने के लिए एक वायरस स्कैन चलाएं या कंप्यूटर को साफ करें और मशीन को फिर से छवि दें। रिवर्स इंजीनियरिंग-यह समझने के लिए कि दुर्भावनापूर्ण यातायात क्यों हुआ, कंप्यूटर फोरेंसिक उपकरणों का उपयोग करें। एक बार जब घटना पूरी तरह से समझ में आ जाए तो अपने भविष्य के जोखिम को कम करने की योजना बनाएं। कंप्यूटर आपातकालीन प्रतिक्रिया दल सक्रिय साइबर रक्षा संयुक्त राज्य अमेरिका की राष्ट्रीय घटना प्रबंधन प्रणाली संदर्भ आगे पढ़ने के लिए कंप्यूटर सुरक्षा घटना प्रतिक्रिया दल (सी. एस. आई. आर. टी.) http://www.sei.cmu.edu/library/abstracts/reports/03hb002.cfm कंप्यूटर सुरक्षा घटना प्रबंधन पुस्तिका देखें।