Computer security incident management
کمپیوٹر سیکیورٹی اور انفارمیشن ٹکنالوجی کے شعبوں میں، کمپیوٹر سیکیورٹی واقعے کے انتظام میں کمپیوٹر یا کمپیوٹر نیٹ ورک پر حفاظتی واقعات کی نگرانی اور پتہ لگانا، اور ان واقعات پر مناسب ردعمل کا نفاذ شامل ہے۔ کمپیوٹر سیکیورٹی واقعے کا انتظام واقعے کے انتظام کی ایک خصوصی شکل ہے، جس کا بنیادی مقصد نقصان دہ واقعات اور کمپیوٹر کی دراندازی کے لیے اچھی طرح سے سمجھے جانے والے اور پیش گوئی کے قابل ردعمل کی نشوونما ہے۔ واقعے کے انتظام کے لیے ایک عمل اور ایک رسپانس ٹیم کی ضرورت ہوتی ہے جو اس عمل کی پیروی کرتی ہے۔ کمپیوٹر سیکورٹی انسیڈنٹ مینجمنٹ کی یہ تعریف نیشنل انسیٹنٹ مینجمنٹ سسٹم (این آئی ایم ایس) میں بیان کردہ معیارات اور تعریفوں پر عمل کرتی ہے۔ واقعے کا رابطہ کار ہنگامی حفاظتی واقعے کے ردعمل کا انتظام کرتا ہے۔ قدرتی آفات یا کسی دوسری صورت میں جس میں ہنگامی خدمات سے ردعمل کی ضرورت ہوتی ہے، انسیڈنٹ کوآرڈینیٹر ہنگامی خدمات کے انسیڈنٹ منیجر کے لیے رابطہ کار کے طور پر کام کرے گا۔ کمپیوٹر سیکیورٹی واقعے کا انتظام کمپیوٹر کے اثاثوں، نیٹ ورکس اور انفارمیشن سسٹمز کے انتظام اور حفاظت کا ایک انتظامی کام ہے۔ یہ نظام ہمارے معاشرے کی ذاتی اور اقتصادی فلاح و بہبود کے لیے مزید اہم ہوتے جا رہے ہیں۔ تنظیموں (سرکاری اور نجی شعبے کے گروپوں، انجمنوں اور کاروباری اداروں) کو عوامی بھلائی اور اپنی رکنیت اور اسٹیک ہولڈرز کی فلاح و بہبود کے لیے اپنی ذمہ داریوں کو سمجھنا چاہیے۔ یہ ذمہ داری "کیا کرنا ہے، جب چیزیں غلط ہو جائیں" کے لیے ایک انتظامی پروگرام رکھنے تک پھیلی ہوئی ہے۔ انسیڈنٹ مینجمنٹ ایک ایسا پروگرام ہے جو ایک ایسے عمل کی وضاحت کرتا ہے اور اسے نافذ کرتا ہے جسے ایک تنظیم اپنی فلاح و بہبود اور عوام کی سلامتی کو فروغ دینے کے لیے اپنا سکتی ہے۔ ایک واقعہ کسی نظام، ماحول، عمل، ورک فلو یا شخص (اجزاء) کے معمول کے رویے میں قابل مشاہدہ تبدیلی ہے۔ واقعات کی تین بنیادی قسمیں ہیں: عام-ایک عام واقعہ اہم اجزاء کو متاثر نہیں کرتا ہے یا قرارداد کے نفاذ سے پہلے تبدیلی کے کنٹرول کی ضرورت ہوتی ہے۔ عام تقریبات میں سینئر اہلکاروں کی شرکت یا ایونٹ کے انتظامی نوٹیفکیشن کی ضرورت نہیں ہوتی ہے۔ اضافہ-ایک بڑھتا ہوا واقعہ اہم پیداواری نظام کو متاثر کرتا ہے یا اس قرارداد کے نفاذ کی ضرورت ہوتی ہے جو تبدیلی پر قابو پانے کے عمل کی پیروی کرے۔ بڑھے ہوئے ایونٹس میں سینئر اہلکاروں کی شرکت اور اسٹیک ہولڈرز کو ایونٹ کی اطلاع دینے کی ضرورت ہوتی ہے۔ ایمرجنسی ایک ایسا واقعہ ہے جو انسانوں کی صحت یا حفاظت کو متاثر کر سکتا ہے جو اہم نظاموں کے بنیادی کنٹرول کی خلاف ورزی کر سکتا ہے جو اجزاء کی کارکردگی کو مادی طور پر متاثر کرتا ہے یا اجزاء کے نظام پر اثرات کی وجہ سے ایسی سرگرمیوں کو روکتا ہے جو افراد کی صحت یا حفاظت کو تحفظ فراہم کرتی ہیں یا متاثر کر سکتی ہیں جسے پالیسی کے معاملے کے طور پر یا دستیاب واقعے کے کوآرڈینیٹر کے اعلان کے ذریعے ایمرجنسی سمجھا جاتا ہے۔ کمپیوٹر سیکیورٹی اور انفارمیشن ٹیکنالوجی کے اہلکاروں کو اچھی طرح سے طے شدہ کمپیوٹر سیکیورٹی واقعے کے رسپانس پلان کے مطابق ہنگامی واقعات کو سنبھالنا چاہیے۔ واقعہ ایک ایسا واقعہ ہے جو انسانی بنیادی وجہ سے منسوب ہوتا ہے۔ یہ فرق خاص طور پر اس وقت اہم ہوتا ہے جب واقعہ نقصان پہنچانے کے بدنیتی پر مبنی ارادے کی پیداوار ہو۔ ایک اہم نوٹ: تمام واقعات واقعات ہیں لیکن بہت سے واقعات واقعات نہیں ہیں۔ عمر یا عیب کی وجہ سے سسٹم یا ایپلیکیشن کی ناکامی ایک ہنگامی واقعہ ہو سکتا ہے لیکن بے ترتیب خامی یا ناکامی کوئی واقعہ نہیں ہے۔ انسیڈنٹ رسپانس ٹیم سیکیورٹی انسیڈنٹ کوآرڈینیٹر رسپانس کے عمل کا انتظام کرتا ہے اور ٹیم کو جمع کرنے کا ذمہ دار ہوتا ہے۔ کوآرڈینیٹر اس بات کو یقینی بنائے گا کہ ٹیم میں وہ تمام افراد شامل ہوں جو واقعے کا مناسب اندازہ لگانے اور مناسب کارروائی کے بارے میں فیصلے کرنے کے لیے ضروری ہیں۔ واقعے کی ٹیم صورتحال کی رپورٹوں کا جائزہ لینے اور مخصوص علاج کی اجازت دینے کے لیے باقاعدگی سے ملتی ہے۔ ٹیم کو پہلے سے مختص جسمانی اور ورچوئل میٹنگ کی جگہ کا استعمال کرنا چاہیے۔ واقعے کی تفتیش واقعے کے حالات کا تعین کرنے کی کوشش کرتی ہے۔ ہر واقعہ تحقیقات کی ضمانت دے گا یا اس کی ضرورت ہوگی۔ تاہم، تفتیشی وسائل جیسے فارنسک ٹولز، گندا نیٹ ورک، قرنطینہ نیٹ ورک اور قانون نافذ کرنے والے اداروں کے ساتھ مشاورت کسی ہنگامی واقعے کے موثر اور تیز رفتار حل کے لیے مفید ثابت ہو سکتے ہیں۔ عمل ابتدائی واقعے کے انتظام کا عمل ملازم، وینڈر، کسٹمر، پارٹنر، ڈیوائس یا سینسر ہیلپ ڈیسک کو واقعہ کی رپورٹ کرتا ہے۔ ٹکٹ بنانے سے پہلے، ہیلپ ڈیسک ایونٹ کو فالس مثبت کے طور پر فلٹر کر سکتا ہے۔ بصورت دیگر، ہیلپ ڈیسک سسٹم ایک ٹکٹ بناتا ہے جو ایونٹ، ایونٹ سورس، ابتدائی ایونٹ کی شدت اور ایونٹ کی ترجیح کو ظاہر کرتا ہے۔ ٹکٹ کا نظام تقریب کے لیے ایک منفرد شناختی کارڈ بناتا ہے۔ آئی ٹی اہلکاروں کو ای میل، آئی ایم اور دیگر غیر رسمی مواصلات حاصل کرنے کے لیے ٹکٹ کا استعمال کرنا چاہیے۔ اس کے بعد کی سرگرمیاں جیسے تبدیلی پر قابو پانا، واقعے کے انتظام کی رپورٹیں اور تعمیل کی رپورٹیں ٹکٹ نمبر کا حوالہ ضرور دیں۔ ایسی صورتوں میں جہاں ایونٹ کی معلومات "محدود رسائی" ہے، ٹکٹ کو محفوظ دستاویز کے انتظام کے نظام میں متعلقہ دستاویزات کا حوالہ دینا چاہیے۔ فرسٹ لیول ریسپونڈر ایونٹ کا اضافی ڈیٹا حاصل کرتا ہے اور ابتدائی تجزیہ انجام دیتا ہے۔ بہت سی تنظیموں میں واقعات کا حجم عملے کے مقابلے میں اہم ہوتا ہے۔ نتیجے کے طور پر، آٹومیشن کا اطلاق کیا جا سکتا ہے، عام طور پر ایک ایس او اے آر (سیکیورٹی آرکیسٹریشن، آٹومیشن اور رسپانس) ٹول کی شکل میں، جو ایک انٹیلی جنس اے پی آئی کے ساتھ مربوط ہوتا ہے۔ ایس او اے آر ٹول ورک فلو آٹومیشن ورک بک کے ذریعے تحقیقات کو خودکار بناتا ہے۔ سائبر انٹیلی جنس اے پی آئی پلے بک کو ٹکٹ سے متعلق تحقیق کو خودکار بنانے کے قابل بناتا ہے (ممکنہ فشنگ یو آر ایل، مشکوک ہیش وغیرہ تلاش کریں)۔ پہلا جواب دہندہ واقعہ کی تنقید کا تعین کرتا ہے۔ اس سطح پر، یہ یا تو ایک نارمل یا ایک ایسکلیشن ایونٹ ہے۔ عام واقعات اہم پیداواری نظام کو متاثر نہیں کرتے ہیں یا کسی قرارداد کے نفاذ سے پہلے تبدیلی کے کنٹرول کی ضرورت نہیں ہوتی ہے۔ ایسے واقعات جو اہم پیداواری نظام کو متاثر کرتے ہیں یا جن میں تبدیلی کے کنٹرول کی ضرورت ہوتی ہے، کو بڑھانا ضروری ہے۔ تنظیم انتظامیہ پہلی سطح کے جائزے کے بغیر فوری اضافے کی درخواست کر سکتی ہے-دوسرا درجہ ٹکٹ بنائے گا۔ واقعہ حل کرنے کے لیے تیار ہے۔ ریسورس ریزولوشن اور مسئلہ کے زمرے کو ٹکٹ میں داخل کرتا ہے اور بند کرنے کے لیے ٹکٹ جمع کراتا ہے۔ ٹکٹ کے مالک (ملازم، فروش، گاہک یا پارٹنر) کو قرارداد موصول ہوتی ہے۔ وہ اس بات کا تعین کرتے ہیں کہ مسئلہ ان کے اطمینان کے مطابق حل ہو گیا ہے یا ٹکٹ کو بڑھا دیا گیا ہے۔ اس واقعہ کو دکھانے کے لیے کشیدگی کی رپورٹ کو اپ ڈیٹ کیا جاتا ہے اور ٹکٹ کو واقعے کی تحقیقات اور جواب دینے کے لیے دوسرے درجے کا وسیلہ تفویض کیا جاتا ہے۔ دوسرے درجے کا وسیلہ اضافی تجزیہ انجام دیتا ہے اور ٹکٹ کی اہمیت کی دوبارہ تشخیص کرتا ہے۔ جب ضروری ہو تو، دوسرے درجے کا وسائل تبدیلی کے کنٹرول کو نافذ کرنے اور ایونٹ کے آئی ٹی مینجمنٹ کو مطلع کرنے کے لیے ذمہ دار ہوتا ہے۔ ہنگامی ردعمل: واقعات کشیدگی کے سلسلے کی پیروی کر سکتے ہیں جب تک کہ یہ طے نہ ہو جائے کہ ہنگامی ردعمل ضروری ہے۔ اعلی درجے کی تنظیم کا انتظام اس بات کا تعین کر سکتا ہے کہ ہنگامی ردعمل ضروری ہے اور اس عمل کو براہ راست استعمال کر سکتا ہے۔ ایمرجنسی رسپانس کی تفصیل ایمرجنسی رسپانس کا آغاز سیکیورٹی ایونٹ میں اضافے یا سی آئی او یا دیگر ایگزیکٹو تنظیم کے عملے کے ذریعے براہ راست اعلان کے ذریعے کیا جاتا ہے۔ سی آئی او واقعے کے کوآرڈینیٹر کو تفویض کر سکتا ہے، لیکن پہلے سے طے شدہ طور پر، کوآرڈینیٹر واقعے کے وقت دستیاب سب سے سینئر حفاظتی عملے کا رکن ہوگا۔ انسیٹنٹ کوآرڈینیٹر انسیٹنٹ رسپانس ٹیم کو جمع کرتا ہے۔ ٹیم پہلے سے طے شدہ کانفرنس میٹنگ کی جگہ کا استعمال کرتے ہوئے ملتی ہے۔ (سی آئی او، سی ایس او یا ڈائریکٹر آئی ٹی) میں سے کسی ایک کو ہر واقعے کی ٹیم کی میٹنگ میں شرکت کرنی چاہیے۔ میٹنگ کے منٹس واقعے کی حیثیت، اقدامات اور قراردادوں کو بیان کرتے ہیں۔ واقعے کا رابطہ کار واقعے کی لاگت، نمائش اور جاری کاروباری خطرے کے بارے میں رپورٹ کرتا ہے۔ انسیڈنٹ رسپانس ٹیم اگلی کارروائی کا تعین کرتی ہے۔ لاک ڈاؤن اور مرمت-تنظیم کو مزید نقصان سے بچانے، متاثرہ نظاموں کی مرمت اور دوبارہ ہونے سے روکنے کے لیے تبدیلیاں کرنے کے لیے ضروری اقدامات انجام دیں۔ غلط مثبت-واقعے کی ٹیم اس بات کا تعین کرتی ہے کہ اس مسئلے نے ہنگامی ردعمل کی ضمانت نہیں دی۔ ٹیم سینئر مینجمنٹ کو ایک تحریری رپورٹ فراہم کرتی ہے اور اس مسئلے کو یا تو ایک عام واقعہ کے طور پر سنبھالا جاتا ہے یا اسے بند کر دیا جاتا ہے۔ نگرانی اور گرفتاری-مجرم کا پتہ لگانے اور اسے پکڑنے کے لیے مسلسل نگرانی کے ساتھ مکمل تحقیقات انجام دیں۔ اس عمل میں درج ذیل سینئر اور پیشہ ور عملے کو اطلاع شامل ہونی چاہیے: سی ای او اور سی ایف او کارپوریٹ اٹارنی اور تعلقات عامہ کا جائزہ اور واقعے کی نوعیت اور دائرہ کار کا تعین کرنے کے لیے لاگ ڈیٹا کا تجزیہ۔ اس مرحلے میں ضروری تخفیف اور مرمت کا تعین کرنے کے لیے وائرس، اسپائی ویئر، روٹ کٹ اور دیگر پتہ لگانے والے ٹولز کا استعمال شامل ہونا چاہیے۔ نظام کی مرمت کریں، حملے کے ویکٹر کو ختم کریں، اور استحصال کے قابل خطرات کو کم کریں۔ ٹیسٹ رپورٹ مرمت کے عمل کی توثیق کی دستاویز کرتی ہے۔ پالیسی کی تعمیل اور خطرے کو کم کرنے کو یقینی بنانے کے لیے ٹیسٹ سسٹم۔ تمام موجودہ کمزوریوں کو حل کرنے کے لیے اضافی مرمت کریں۔ حملے کے ماخذ کا تعین کرنے اور مجرم کو پکڑنے کے لیے واقعے کی تحقیقات کریں۔ اس کے لیے فارنکس ٹولز، لاگ تجزیہ، صاف لیب اور گندا لیب ماحول اور قانون نافذ کرنے والے اداروں یا دیگر بیرونی اداروں کے ساتھ ممکنہ رابطے کی ضرورت ہوگی۔ "انویسٹی گیشن اسٹیٹس رپورٹ" کے طور پر واقعے سے متعلق تمام موجودہ معلومات حاصل کرتی ہے۔ انسیڈنٹ رسپانس ٹیم اس معلومات کا استعمال اگلی کارروائی کا تعین کرنے کے لیے کرتی ہے۔ (حوالہ 2 اور حوالہ 3 دیکھیں) تعریفیں پہلے جواب دہندہ/پہلے درجے کا جائزہ پہلا شخص جو جائے وقوعہ پر ہو یا کسی واقعہ کی اطلاع حاصل کرے، تنظیموں کو پہلے جواب دہندہ کو ہنگامی حالات کو پہچاننے اور مناسب طریقے سے رد عمل ظاہر کرنے کے لیے تربیت فراہم کرنی چاہیے۔ ہیلپ ڈیسک ٹکٹ (کنٹرول) ڈیٹا بیس میں پکڑی گئی ایک الیکٹرانک دستاویز اور ایشو ٹریکنگ/ریزولوشن سسٹم ٹکٹ کا مالک واقعہ کی اطلاع دینے والا شخص، واقعہ سے وابستہ اثاثوں کا اصل مالک یا عام قانون یا دائرہ اختیار کا مالک۔ ایسکلیشن رپورٹ (کنٹرول) ٹکٹ کے اضافے کے لیے پہلے جواب دہندہ کی دستاویزات، جواب دہندہ اس معلومات کو ٹکٹ یا ایونٹ کے لیے ڈبلیو آئی کے آئی لاگ میں لکھتا ہے۔ ٹکٹ ایونٹ کے لیے ویکی لاگ کا حوالہ دیتا ہے۔ دوسرے درجے کے سینئر تکنیکی وسائل ایک بڑھے ہوئے واقعہ کو حل کرنے کے لیے تفویض کیے گئے ہیں۔ انسائیڈنٹ کوآرڈینیٹر فرد جو تنظیم کے سینئر مینجمنٹ کے ذریعہ تفویض کیا گیا ہے کہ وہ انسائیڈنٹ رسپانس ٹیم کو جمع کرے، واقعے کے ردعمل کا انتظام اور دستاویز کرے۔ موجودہ تفتیشی نتائج کی تفتیشی اسٹیٹس رپورٹ (کنٹرول) دستاویزات، کوآرڈینیٹر اس مواد کو ٹکٹ، ڈبلیو آئی کے آئی یا انجینئر کے جریدے میں دستاویز کر سکتا ہے۔ میٹنگ منٹ (کنٹرول) واقعے کی ٹیم کی میٹنگ کی دستاویزات، منٹ حاضرین، واقعے کی موجودہ نوعیت اور تجویز کردہ اقدامات کو دستاویز کرتے ہیں۔ کوآرڈینیٹر اس مواد کو ٹکٹ، ویکی یا انجینئر کے جریدے میں دستاویز کر سکتا ہے۔ لاک ڈاؤن چینج کنٹرول ایک ایسا عمل ہے جس کا حکم واقعے کے حل کے طور پر دیا گیا ہے۔ یہ عمل ایمرجنسی چینج کنٹرول کی طرح ہی اجازت اور ردعمل کی ضروریات کی پیروی کرتا ہے۔ ٹیسٹ رپورٹ (کنٹرول) یہ رپورٹ اس بات کی توثیق کرتی ہے کہ آئی ٹی پرسنل نے سسٹمز کو آن لائن واپس لانے سے پہلے ان کی تمام ضروری اور دستیاب مرمت کی ہے۔ وار روم خفیہ مواد کے جائزے اور حفاظتی واقعے کی تحقیقات کے لیے ایک محفوظ ماحول ہے۔ سینئر مینجمنٹ (کنٹرول) کو رپورٹ کریں واقعہ کوآرڈینیٹر سینئر مینجمنٹ رپورٹ تیار کرنے کا ذمہ دار ہوتا ہے۔ کوآرڈینیٹر اس مواد کو ٹکٹ، ویکی یا انجینئر کے جریدے انسیڈنٹ رسپانس اسٹیپس ڈیٹیکشن میں دستاویز کر سکتا ہے-کسی واقعے کا پتہ سینسر، نیٹ ورک تجزیہ کار یا صارف کے ذریعے لگایا جا سکتا ہے جو اپنے پی سی کے ساتھ کچھ غیر معمولی اطلاع دے رہا ہو۔ کنٹینمنٹ-بدنیتی پر مبنی نیٹ ورک ٹریفک یا کمپیوٹر وائرس کی صورت میں، انسیڈنٹ رسپانس مینیجر کو کمپیوٹر کو نیٹ ورک سے ہٹا کر ٹریفک کو روکنا چاہیے۔ صاف کریں-وائرس کو ہٹانے کے لیے وائرس اسکین چلائیں یا کمپیوٹر کو صاف کریں اور مشین کی دوبارہ تصویر بنائیں۔ ریورس انجینئرنگ-یہ سمجھنے کے لیے کمپیوٹر فارنکس ٹولز کا استعمال کریں کہ بدنیتی پر مبنی ٹریفک پہلی جگہ کیوں ہوا۔ ایک بار جب واقعہ کو مکمل طور پر سمجھ لیا جائے تو اپنے مستقبل کے خطرے کو کم کرنے کے لیے منصوبے بنائیں۔ یہ بھی دیکھیں کہ کمپیوٹر ایمرجنسی رسپانس ٹیم پرو ایکٹیو سائبر ڈیفنس یونائیٹڈ اسٹیٹس کا نیشنل انسائیڈنٹ مینجمنٹ سسٹم حوالہ جات مزید پڑھنے والی ہینڈ بک فار کمپیوٹر سیکیورٹی انسائیڈنٹ رسپانس ٹیمیں (CSIRTs) http://www.sei.cmu.edu/library/abstracts/reports/03hb002.cfm کمپیوٹر سیکیورٹی انسائیڈنٹ مینجمنٹ