29. Обработка инцидентов с неавторизованным доступом. Обнаружение и анализ инцидентов с неавторизованным доступом

В таблице 1 перечисляются возможные предвестники атаки неавторизованного доступа, объясняется причина, почему может быть выполнено каждое действие, и дается рекомендуемый ответ, чтобы потенциально предотвратить появление последующего инцидента

Предвестник	Действия по предотвращению
Инцидентам с неавторизованным доступом часто предшествует разведывательная активность с целью составления структуры узлов и услуг и идентификации уязвимостей. Активность может включать просмотры портов, уязвимостей, тесты по методу запрос-ответ, трассировку маршрутов, и захват заголовков, банеров. Такая активность обнаруживается, главным образом, с помощью СОВ и с помощью анализа журналов регистрации.	Обработчики инцидентов должны выявить особые изменения при зондировании – например, неожиданный интерес к конкретному номеру порта или узлу. Если эта активность указывает на уязвимость, которая может быть использована, организация может иметь время заблокировать будущие атаки путем уменьшения этой уязвимости (например, блокирование услуги, модифицирование правил сетевого экрана).
О возможности неавторизованного доступа сообщается публично и это представляет значительную угрозу для организации.	Организация должна расследовать возможности неавторизованного доступа и, если возможно, изменить средства управления ИБ, чтобы минимизировать потенциальное воздействие этого инцидента на организацию.
Лицо или система может наблюдать попытку физического доступа (например, злоумышленник пытается открыть запертую дверь критичного (охраняемого) помещения или использует заблокированный идентификатор).	Служба безопасности должна задержать нарушителя. Должна быть определена цель этой активности и проведена проверка устойчивости физических и компьютерных средств управления безопасностью к данной угрозе.

Указатели неавторизованного доступа

Злоумышленное действие	Возможные указатели
Компрометация узла	Существование (наличие) неавторизованного инструментария, связанного с безопасностью. Необычный трафик к узлу и из узла (например, атакующий может использовать хост для атаки других систем). Изменения в конфигурации систем, включающие: ‑ модификации или дополнения процессов/услуг; ‑ неожиданные открытые порты; ‑ изменения в состоянии систем (повторные старты, закрытия); ‑ изменения в политиках журнала регистрации и данных; ‑ новая учетная запись пользователя или группы на административном уровне.
Неавторизованная модификация данных (например, порча Web-сервера, FTP warez server)	Оповещение об обнаружении вторжения в сеть. Увеличенное использование ресурсов. Сообщение пользователей о модификации данных (например, искаженный Web-сайт). Модификации критичных файлов (например, Web страниц).
Неавторизованное использование учетной записи пользователя	Попытки доступа к критичным файлам (например, файлам паролей). Неправильное использование учетных записей (например, применяется неиспользуемая учетная запись, учетная запись используется многими пользователями, большое число заблокированных учетных записей).
Физические нарушения	Сообщения пользователя о недоступности системы или сети. Изменения состояния системы (повторный запуск, закрытие). Аппаратные средства полностью или частично отсутствуют (то есть, система была вскрыта и конкретный компонент изъят).
Неавторизованный доступ к данным (например, к базе данных информации пользователя, к файлам паролей)	Оповещения об обнаружении вторжения, чтобы получить доступ к данным через FTP, HTTP и другие протоколы. Попытки доступа к критичным файлам узла.