حادثه روی رایانه و سرور ، اقدام یا بی‌عملی
معمای پاسخ به حوادث در سیستم‌های Live
در مدیریت حوادث امنیتی، همواره این بحث مطرح است که آیا باید به صورت زنده روی سیستم آلوده اقدام کرد یا با تهیه یک نسخه کامل از هارد دیسک، تحلیل را به صورت آفلاین (Postmortem) انجام داد.
بسیاری نگران‌اند که اقدامات زنده، وضعیت سیستم را تغییر داده و شواهد را مخدوش کند. اما نکته‌ای حیاتی که اغلب نادیده گرفته می‌شود این است که بی‌عملی نیز به همان اندازه سیستم را تغییر می‌دهد.
یک سیستم کامپیوتری، حتی در حالت بیکار، دائماً در حال فعالیت است. پردازش‌ها اجرا می‌شوند و اقدامات پس‌زمینه به طور خودکار رخ می‌دهند. برای مثال:
احتمالا ویندوز پس از ۲۴ ساعت به طور خودکار یک نقطه بازیابی (System Restore Point) ایجاد می‌کند.
پس از چند روز، ممکن است عملیات یکپارچه‌سازی دیسک (Defragmentation) به صورت محدود اجرا شود.
سیستم‌عامل می‌تواند به روزرسانی‌های جدید را دانلود و نصب کند.
هر یک از این فعالیت‌های عادی می‌تواند داده‌ها و شواهد دیجیتالی ارزشمندی را که برای تحلیل حادثه حیاتی هستند، برای همیشه بازنویسی (Overwrite) و از بین ببرد.
علاوه بر این، اگر یک مهاجم در حال سرقت و خروج داده‌ها از شبکه شما باشد، هر لحظه تأخیر و بی‌عملی به او فرصت می‌دهد تا اطلاعات بیشتری را به سرقت ببرد.
بنابراین، سوال اصلی برای یک تیم پاسخ به حادثه این نیست که “آیا اقدامی انجام دهیم یا نه؟” بلکه این است:
۱. آیا هیچ کاری نکنیم و ریسک از دست رفتن شواهد و سرقت بیشتر داده‌ها را بپذیریم؟
۲. یا با توجه به شرایط، بهترین اقدامات ممکن را برای محافظت از سازمان خود انجام دهیم؟
در نهایت، بی‌عملی یک استراتژی منفعلانه نیست، بلکه تصمیمی فعال با عواقب بالقوه ویرانگر است.
بخشی از درس سنز 608
معمای پاسخ به حوادث در سیستم‌های Live
در مدیریت حوادث امنیتی، همواره این بحث مطرح است که آیا باید به صورت زنده روی سیستم آلوده اقدام کرد یا با تهیه یک نسخه کامل از هارد دیسک، تحلیل را به صورت آفلاین (Postmortem) انجام داد.
بسیاری نگران‌اند که اقدامات زنده، وضعیت سیستم را تغییر داده و شواهد را مخدوش کند. اما نکته‌ای حیاتی که اغلب نادیده گرفته می‌شود این است که بی‌عملی نیز به همان اندازه سیستم را تغییر می‌دهد.
یک سیستم کامپیوتری، حتی در حالت بیکار، دائماً در حال فعالیت است. پردازش‌ها اجرا می‌شوند و اقدامات پس‌زمینه به طور خودکار رخ می‌دهند. برای مثال:
احتمالا ویندوز پس از ۲۴ ساعت به طور خودکار یک نقطه بازیابی (System Restore Point) ایجاد می‌کند.
پس از چند روز، ممکن است عملیات یکپارچه‌سازی دیسک (Defragmentation) به صورت محدود اجرا شود.
سیستم‌عامل می‌تواند به روزرسانی‌های جدید را دانلود و نصب کند.
هر یک از این فعالیت‌های عادی می‌تواند داده‌ها و شواهد دیجیتالی ارزشمندی را که برای تحلیل حادثه حیاتی هستند، برای همیشه بازنویسی (Overwrite) و از بین ببرد.
علاوه بر این، اگر یک مهاجم در حال سرقت و خروج داده‌ها از شبکه شما باشد، هر لحظه تأخیر و بی‌عملی به او فرصت می‌دهد تا اطلاعات بیشتری را به سرقت ببرد.
بنابراین، سوال اصلی برای یک تیم پاسخ به حادثه این نیست که “آیا اقدامی انجام دهیم یا نه؟” بلکه این است:
۱. آیا هیچ کاری نکنیم و ریسک از دست رفتن شواهد و سرقت بیشتر داده‌ها را بپذیریم؟
۲. یا با توجه به شرایط، بهترین اقدامات ممکن را برای محافظت از سازمان خود انجام دهیم؟
در نهایت، بی‌عملی یک استراتژی منفعلانه نیست، بلکه تصمیمی فعال با عواقب بالقوه ویرانگر است.
بخشی از درس سنز 608
Comments
Be the first to add a comment
Log in to comment