جایگاه فارنزیک در ISO/IEC 27001
در ISO 27001:2022، فارنزیک عمدتاً از سه منظر پوشش داده می‌شود:
آمادگی برای Incident Response، قابلیت جمع‌آوری شواهد قابل اتکا، و حفظ اعتبار حقوقی شواهد. این سه محور در Annex A پخش شده‌اند و اگر سازمان آن‌ها را درست پیاده نکند، هرگونه DFIR بعدی از نظر فنی و حقوقی ضعیف خواهد بود.
کنترل‌های کلیدی ISO 27001 مرتبط با فارنزیک
A.5.24 – Information security incident management planning and preparation
این کنترل پایه‌ای‌ترین ارتباط با فارنزیک را دارد. ISO انتظار دارد سازمان قبل از وقوع رخداد مشخص کرده باشد که در صورت Incident، شواهد چگونه جمع‌آوری، نگهداری و تحلیل می‌شوند. بدون این آمادگی، هر اقدامی بعد از رخداد می‌تواند Chain of Custody را بشکند. این کنترل نقطه اتصال ISO 27001 به DFIR واقعی است.
A.5.25 – Assessment and decision on information security events
در این کنترل، سازمان باید بتواند تشخیص دهد کدام Event یک Incident واقعی است. این دقیقاً همان جایی است که تحلیل Timeline، Correlation و Artifact Analysis وارد بازی می‌شود. اگر شواهد قابل تحلیل وجود نداشته باشد، این کنترل فقط روی کاغذ اجرا شده است.
A.5.26 – Response to information security incidents
پاسخ به رخداد بدون شواهد قابل اتکا، بیشتر شبیه واکنش احساسی است تا Incident Response. این کنترل به‌طور ضمنی نیازمند لاگ‌ها، Artifactها و داده‌هایی است که بعداً بتوان آن‌ها را به‌صورت فارنزیکی تحلیل کرد.
A.8.15 – Logging
این کنترل ستون فقرات فارنزیک است. ISO صراحتاً از Logging صحبت می‌کند، اما از دید فنی، منظور صرفاً فعال بودن لاگ نیست، بلکه کیفیت، جامعیت و هم‌زمانی زمانی لاگ‌هاست. بدون لاگ‌های مناسب، ابزارهایی مثل Plaso، SIEM Timeline یا Memory Forensics عملاً کور می‌شوند.
A.8.16 – Monitoring activities
مانیتورینگ مناسب باعث می‌شود نقاط شروع Timeline مشخص باشند. فارنزیک بدون knowing when to look، هزینه‌بر و ناقص می‌شود. این کنترل پیش‌نیاز کشف نقطه ورود و Scope Incident است.
A.8.17 – Clock synchronization
این کنترل اغلب دست‌کم گرفته می‌شود، اما از دید فارنزیک حیاتی است. اگر NTP و Time Sync درست نباشد، Timeline Analysis می‌تواند کاملاً گمراه‌کننده باشد. اختلاف چند دقیقه‌ای بین سیستم‌ها می‌تواند ترتیب واقعی حمله را مخدوش کند.
A.5.28 – Collection of evidence
این تنها کنترلی است که مستقیماً به Evidence اشاره می‌کند. ISO انتظار دارد شواهد به‌گونه‌ای جمع‌آوری شوند که از نظر حقوقی و انضباطی معتبر باشند. این کنترل مستقیماً به مفاهیمی مثل Chain of Custody، Integrity، Hashing و Repeatability گره خورده است و قلب فارنزیک رسمی محسوب می‌شود.
از دید ISO 27001، فارنزیک یک ابزار اختیاری نیست، بلکه نتیجه طبیعی اجرای صحیح مجموعه‌ای از کنترل‌ها است. اگر سازمانی بگوید «ISO 27001 داریم» اما لاگ مناسب، Time Sync، فرآیند Evidence Collection و Incident Handling تعریف‌شده نداشته باشد، در عمل قابلیت فارنزیک ندارد، حتی اگر گواهی هم گرفته باشد.
نکته مهمی که معمولاً Auditorها هم دچار خطا می‌شوند این است که ISO 27001 چارچوب قابلیت‌سازی است، نه دستورالعمل DFIR. ابزارهایی مثل SANS SIFT، Plaso یا Volatility زمانی ارزش دارند که این کنترل‌ها از قبل درست پیاده شده باشند.
#آکادمی_روزبه
مرکز تخصصی آموزش و مهارت افزایی مدیر امنیت CISO
در ISO 27001:2022، فارنزیک عمدتاً از سه منظر پوشش داده می‌شود:
آمادگی برای Incident Response، قابلیت جمع‌آوری شواهد قابل اتکا، و حفظ اعتبار حقوقی شواهد. این سه محور در Annex A پخش شده‌اند و اگر سازمان آن‌ها را درست پیاده نکند، هرگونه DFIR بعدی از نظر فنی و حقوقی ضعیف خواهد بود.
کنترل‌های کلیدی ISO 27001 مرتبط با فارنزیک
A.5.24 – Information security incident management planning and preparation
این کنترل پایه‌ای‌ترین ارتباط با فارنزیک را دارد. ISO انتظار دارد سازمان قبل از وقوع رخداد مشخص کرده باشد که در صورت Incident، شواهد چگونه جمع‌آوری، نگهداری و تحلیل می‌شوند. بدون این آمادگی، هر اقدامی بعد از رخداد می‌تواند Chain of Custody را بشکند. این کنترل نقطه اتصال ISO 27001 به DFIR واقعی است.
A.5.25 – Assessment and decision on information security events
در این کنترل، سازمان باید بتواند تشخیص دهد کدام Event یک Incident واقعی است. این دقیقاً همان جایی است که تحلیل Timeline، Correlation و Artifact Analysis وارد بازی می‌شود. اگر شواهد قابل تحلیل وجود نداشته باشد، این کنترل فقط روی کاغذ اجرا شده است.
A.5.26 – Response to information security incidents
پاسخ به رخداد بدون شواهد قابل اتکا، بیشتر شبیه واکنش احساسی است تا Incident Response. این کنترل به‌طور ضمنی نیازمند لاگ‌ها، Artifactها و داده‌هایی است که بعداً بتوان آن‌ها را به‌صورت فارنزیکی تحلیل کرد.
A.8.15 – Logging
این کنترل ستون فقرات فارنزیک است. ISO صراحتاً از Logging صحبت می‌کند، اما از دید فنی، منظور صرفاً فعال بودن لاگ نیست، بلکه کیفیت، جامعیت و هم‌زمانی زمانی لاگ‌هاست. بدون لاگ‌های مناسب، ابزارهایی مثل Plaso، SIEM Timeline یا Memory Forensics عملاً کور می‌شوند.
A.8.16 – Monitoring activities
مانیتورینگ مناسب باعث می‌شود نقاط شروع Timeline مشخص باشند. فارنزیک بدون knowing when to look، هزینه‌بر و ناقص می‌شود. این کنترل پیش‌نیاز کشف نقطه ورود و Scope Incident است.
A.8.17 – Clock synchronization
این کنترل اغلب دست‌کم گرفته می‌شود، اما از دید فارنزیک حیاتی است. اگر NTP و Time Sync درست نباشد، Timeline Analysis می‌تواند کاملاً گمراه‌کننده باشد. اختلاف چند دقیقه‌ای بین سیستم‌ها می‌تواند ترتیب واقعی حمله را مخدوش کند.
A.5.28 – Collection of evidence
این تنها کنترلی است که مستقیماً به Evidence اشاره می‌کند. ISO انتظار دارد شواهد به‌گونه‌ای جمع‌آوری شوند که از نظر حقوقی و انضباطی معتبر باشند. این کنترل مستقیماً به مفاهیمی مثل Chain of Custody، Integrity، Hashing و Repeatability گره خورده است و قلب فارنزیک رسمی محسوب می‌شود.
از دید ISO 27001، فارنزیک یک ابزار اختیاری نیست، بلکه نتیجه طبیعی اجرای صحیح مجموعه‌ای از کنترل‌ها است. اگر سازمانی بگوید «ISO 27001 داریم» اما لاگ مناسب، Time Sync، فرآیند Evidence Collection و Incident Handling تعریف‌شده نداشته باشد، در عمل قابلیت فارنزیک ندارد، حتی اگر گواهی هم گرفته باشد.
نکته مهمی که معمولاً Auditorها هم دچار خطا می‌شوند این است که ISO 27001 چارچوب قابلیت‌سازی است، نه دستورالعمل DFIR. ابزارهایی مثل SANS SIFT، Plaso یا Volatility زمانی ارزش دارند که این کنترل‌ها از قبل درست پیاده شده باشند.
#آکادمی_روزبه
مرکز تخصصی آموزش و مهارت افزایی مدیر امنیت CISO
Comments
Be the first to add a comment
Log in to comment