Каталог плейбуков инцидентов ИБ: как выбрать сценарий
Выберите плейбук по типу инцидента и не сочиняйте порядок в момент атаки. Общий ритм суток — другой текст: первые 24 часа. Пять самых частых типов уже собраны в одном обзоре: пять playbook’ов. Ниже каталог: эти пять плюс двадцать отдельных сценариев, которых в обзоре нет.
Статья опирается на логику направления «Управление инцидентами» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. CIS Control 17 требует заранее иметь процедуры реагирования, роли и связь: cisecurity.org/controls. Процесс — NIST SP 800-61 Rev. 3: SP 800-61. Это не российский закон. Шагов атаки и обхода защиты в каталоге нет.
Как выбрать
- Сначала остановите ущерб по общим правилам суток, не перезагружая узел «на всякий».
- По таблице ниже возьмите один плейбук. Если сомневаетесь — обзорный тип, не два сразу.
- Подозрение без подтверждения ведите в канале, не в карточке инцидента: канал сообщений.
- Персональные данные в объёме утечки — сразу сроки регулятора: уведомление Роскомнадзора.
Пять обзорных (уже на сайте)
| Тип | Когда брать |
|---|---|
| Учётка | Фишинг, подбор, чужие входы, правила пересылки |
| Шифровальщик | Массовое шифрование файлов, записка с выкупом |
| Сайт | Чужие файлы, редирект, спам с вашей страницы |
| Утечка сотрудником | Письмо не туда, открытая ссылка, выгрузка |
| Потеря устройства | Ноутбук или телефон пропал |
Отдельные URL на эти пять не плодим: один обзор, якоря внутри.
Двадцать отдельных
| Плейбук | Не путать с |
|---|---|
| Поддельное платёжное поручение | Компрометация учётки: здесь деньги и реквизиты |
| Отказ в обслуживании своего сайта | Взлом сайта и веб-оболочка |
| Вредонос на станции | Шифровальщик |
| Подбор паролей VPN и SSH | Уже успешный вход в учётку |
| Утечка ключа или секрета | Поиск секретов в git как профилактика |
| Инцидент у подрядчика | Поручение 152-ФЗ как договор |
| Съёмный носитель | Потеря ноутбука |
| Доступ уволенного не отозван | Ежемесячный поиск неактивных учёток |
| Критичная уязвимость на периметре | Цикл «от скана до закрытия» и пентест |
| Компрометация почты домена | Настройка SPF и почтовый шлюз |
| Открытая шара или бакет | Письмо не туда и внедрение DLP |
| Вредоносное обновление ПО | Источники ПО, золотой образ, вредонос на станции |
| Компрометация CI/CD | Один утёкший ключ в git |
| Резервные копии недоступны | Схема 3-2-1 и шифровальщик |
| Поддельный сайт под бренд | DDoS своего сайта и чужой MX |
| Неизвестное приложение в почте | Фишинг пароля учётки |
| Подозрение на контроллер домена | Неактивные учётки и одна скомпрометированная учётка |
| Ваши данные в паблике | Письмо не туда и открытая шара |
| Подмена SIM или MFA | Потеря ноутбука целиком |
| Теневой SaaS с ПДн | Выбор облака заранее и DLP |
Процесс рядом, не типы: классификация и порог расследования, карточка, внутренние уведомления, разбор после инцидента.
Диагностика
| Симптом | Причина и что делать |
|---|---|
| Открыли все двадцать сразу | Нет выбора. Один тип, остальные как проверка масштаба |
| Плейбук есть, роли нет | Вернитесь к суткам: кто руководитель инцидента |
| Ищут сценарий учётки в этом каталоге отдельным URL | Он в обзоре пяти. Не плодите второй |
Где это в модели зрелости
Материал относится к направлению «Управление инцидентами» (хаб: инциденты, карта: карта зрелости). Сутки дают ритм. Обзор пяти закрывает частые типы. Каталог — указатель, чтобы не писать двадцать одинаковых «первых шагов» в одном файле.
Как проверить
- Сотрудник ИБ за 30 секунд находит нужный URL по таблице, без поиска по почте.
- Пять обзорных открываются якорями, двадцать — своими страницами.
- Бумажная копия каталога лежит вне основной сети.
- Это не IRP-продукт и не повтор пяти сценариев.
Источники
- CIS Control 17: cisecurity.org/controls.
- NIST SP 800-61 Rev. 3: csrc.nist.gov. Не закон РФ.
