كيف يجب على مسؤول المؤسسة التحقيق في الأنشطة المشبوهة أو غير المصرح بها؟
يجب التحقيق في الأنشطة المشبوهة أو غير المصرح بها بسرعة وبشكل منهجي.
يمكن أن تشمل الحوادث الأمنية المحتملة الوصول غير المتوقع إلى الحسابات، أو تغييرات التكوين غير المصرح بها، أو أنشطة التكامل غير العادية، أو العمليات التي تبدو غير متسقة مع الأذونات المعمول بها.
يمكن أن تساعد معلومات الحوكمة والتدقيق من Polyosync Enterprise المسؤولين في التحقيق في الأحداث المسجلة ذات الصلة.
ومع ذلك، يجب اعتبار المعلومات المتاحة للتدقيق جنبًا إلى جنب مع إجراءات الأمان الأوسع نطاقًا للمنظمة.
أمثلة على الأنشطة التي تتطلب التحقيق
1. تغييرات غير متوقعة في أذونات المستخدمين.
2. نشاط إداري غير معترف به.
3. محاولات وصول غير عادية.
4. تعديلات غير متوقعة على تكوين الأعمال.
5. عمليات الذكاء الاصطناعي خارج مسؤولياتها المقصودة.
6. نشاط تكامل خارجي لا يمكن تفسيره.
7. تغييرات غير متوقعة على السجلات التجارية الهامة.
8. فشل متكرر في التفويض.
9. إجراءات حساسة تم تنفيذها دون الإشراف المتوقع.
10. نشاط مرتبط بحساب لا ينبغي أن يكون له وصول بعد الآن.
عملية التحقيق الموصى بها
الخطوة 1: تقييم التأثير المحتمل.
تحديد ما إذا كانت الأنشطة تتضمن معلومات حساسة، أو عمليات تجارية مهمة، أو خطر أمني نشط.
الخطوة 2: اتباع إجراءات استجابة الحوادث الخاصة بالمنظمة.
إذا كان هناك اشتباه في الوصول غير المصرح به، يجب إعطاء الأولوية لتدابير الاحتواء المناسبة.
الخطوة 3: تحديد مساحة العمل المتأثرة.
تحديد أي بيئة أعمال Enterprise معنية.
الخطوة 4: تحديد الإطار الزمني.
تسجيل متى تم ملاحظة النشاط المشبوه ومتى قد يكون قد بدأ.
الخطوة 5: مراجعة معلومات التدقيق المتاحة.
البحث عن الأحداث المسجلة ذات الصلة وتفاصيلها المرتبطة.
الخطوة 6: مراجعة أذونات الوصول.
التحقق من الأدوار ذات الصلة للمستخدمين، والعضويات، والتغييرات الأخيرة في التفويض.
الخطوة 7: فحص سجلات التنفيذ التشغيلي.
إذا كانت هناك موظفين ذكاء اصطناعي، أو أتمتة، أو عمليات تجارية معنية، فراجع نتائج التنفيذ المتاحة.
الخطوة 8: التحقق من التكاملات الخارجية.
عند الاقتضاء، مراجعة معلومات الأمان والنشاط الخاصة بالمزود المتصل.
الخطوة 9: الحفاظ على الأدلة ذات الصلة.
تجنب التغييرات غير الضرورية التي قد تجعل التحقيق في الحادث الأصلي أكثر صعوبة.
الخطوة 10: تطبيق الإجراءات التصحيحية.
اعتمادًا على الظروف، قد يتضمن ذلك مراجعة الأذونات، وإلغاء بيانات الاعتماد المهددة، وتغيير التكوينات، أو تعليق العمليات المتأثرة.
الخطوة 11: توثيق التحقيق.
تسجيل النتائج، والإجراءات المتخذة، وأي مخاطر متبقية.
الخطوة 12: الاتصال بدعم Polyosync عند الاقتضاء.
تقديم البيئة المتأثرة، والطوابع الزمنية ذات الصلة، ومعلومات الأخطاء، ووصف واضح للمشكلة المشتبه بها.
ماذا لو كان هناك اشتباه في أن حساب مستخدم قد تم اختراقه؟
اتباع إجراءات الأمان الخاصة بالمنظمة لحماية الحساب وتقييد الوصول غير المصرح به.
مراجعة التكاملات ذات الصلة والأنظمة الأخرى التي قد تتأثر.
هل يجب تضمين كلمات المرور أو الرموز في طلب الدعم؟
لا.
لا تقم أبدًا بتضمين كلمات المرور، أو مفاتيح API، أو رموز الوصول، أو رموز التحديث، أو أي أسرار مصادقة أخرى في الاتصالات العادية للدعم.
هل غياب حدث التدقيق يثبت أنه لم يحدث أي حادث؟
لا.
تعتمد تغطية التدقيق على آليات جمع الأحداث والاحتفاظ بها المطبقة.
لا ينبغي أن تعتمد التحقيقات فقط على وجود أو عدم وجود إدخال سجل واحد.
النهج الموصى به
إعطاء الأولوية للاحتواء عندما يكون هناك خطر نشط، والحفاظ على الأدلة ذات الصلة، والتحقيق في الحادث باستخدام مصادر متعددة متاحة.
يجب التعامل مع الحوادث الأمنية من خلال عملية استجابة تنظيمية راسخة.