Tabletop-harjutuseks on vaja ruumi, stsenaariumi, kahte tundi ja kedagi, kes kirjutab üles, mis valesti läheb. Teil ei ole vaja teenusepakkujat, eelarvet ega valmis intsidentidele reageerimise plaani. Mõte on selgeks teha siis, kui midagi ei põle, kes tegelikult otsustab serveri võrgust eemaldada ja kus telefoninumbreid hoitakse.
Valige üks stsenaarium ja õiged inimesed
Valige üks stsenaarium. Väikese tiimi jaoks on kõige kasulikumad lunavara failiserveris ja rahandusosakonna postkasti konto ülevõtmine, sest mõlemad sunnivad otsustama isoleerimise, suhtluse ja taastamise üle. Ärge püüdke katta mõlemat ühe sessiooniga.
Stsenaariumi ei pea nullist kirjutama. NCSC Exercise in a Box on tasuta, sisaldab tabletop-harjutusi sellistel teemadel nagu lunavara ja andmepüük ning annab materjali harjutuse ettevalmistamiseks, planeerimiseks, läbiviimiseks ja harjutusjärgsete tegevuste kindlaksmääramiseks. CISA Tabletop Exercise Packages pakuvad näidiseesmärke, aruteluküsimusi, tagasisidevormi ja After Action Reporti, sealhulgas lunavara ja kohaliku omavalitsuse stsenaariume. Kasutage neid tugikonstruktsioonina ja kohandage üksikasjad oma süsteemidele.
Kutsuge need inimesed, kes päriselt kõnes osaleksid:
- see, kes haldab kataloogiteenust ja varukoopiaid
- inimene, kes saab kinnitada seisaku (juht, mitte ainult IT)
- keegi, kes tegeleb väliskommunikatsiooniga, kasvõi kontorihaldur
- üks facilitaator, kes ei mängi kaasa ega vasta küsimustele
Facilitaator on oluline. Kui sama inimene juhib stsenaariumi ja kaitseb oma seadistust, muutub harjutus demoks.
Kaheetapiline... kaheahetunnine päevakava
| Aeg | Plokk | Tulemus |
|---|---|---|
| 0:00 - 0:10 | Reeglid, ulatus, eeldused | Kokku lepitud lähtefaktid |
| 0:10 - 0:40 | Avastamine ja triaaž | Kes sai teavet ja millises järjekorras |
| 0:40 - 1:10 | Tõrje (containment) | Isoleerimisotsused ja nende tegijad |
| 1:10 - 1:30 | Taastamine ja kommunikatsioon | Varukoopiate seis, teated töötajatele ja klientidele |
| 1:30 - 2:00 | Puudujääkide ülevaatus | Puudujääkide logi koos vastutajatega |
Kehtestage alguses üks reegel: vastused peavad olema see, mida te täna olemasolevate õiguste ja tööriistadega päriselt teeksite, mitte see, mida poliitika ütleb. Kui keegi ütleb "vaatame logid üle", küsib facilitaator, millised logid, kust ja kellel on neile esmaspäeval kell 07:40 juurdepääs.
Lunavaraversiooni injectid
Andke stsenaarium ette samm-sammult, mitte korraga. Toimiv järjestus:
- Kasutaja teatab, et jagatud kettal olevate dokumentide laiend on muutunud ja igas kaustas on lunanõudega tekstifail.
- Veel kaks kasutajat teatavad sama. Failiserver on aeglane.
- Varunduskonsool näitab, et viimane töö lõppes, kuid varundusserver on domeeni liidetud.
- Ründaja teade ähvardab andmed 72 tunni pärast avalikustada.
- E-post ei tööta, sest meiliühendus töötab mõjutatud hostis.
Igal sammul on küsimus. Kes saab hosti isoleerida ja kas selleks on vaja kinnitust? Kas varukoopiad on kättesaadavad samade admin-volitustega, mis võivad olla ründaja käes? Kus on kontaktiloend, kui kataloog ja e-post pole kasutatavad? Kes otsustab, kas kaasata politsei või reguleerija, ja kes võtab ühendust teie kindlustajaga?
Kontoülevõtmise versiooni injectid
Alustage rahandusosakonna kasutajaga, kes teatab korduvatest MFA-päringutest, mida ta ise ei käivitanud. Seejärel lisage sisselogimine tundmatust riigist, siis avastus postkasti reeglist, mis suunab kirjad välisele aadressile, ja lõpuks kliendile saadetud arve muudetud pangarekvisiitidega. Küsige, kuidas te tühistate sessioonid ja tokenid, mitte ainult ei lähtesta parooli. Küsige, kui kaugele minevikku teie sisselogimislogid ulatuvad ja kes kontrollib postkasti reeglite ning delegeeritud juurdepääsu osas. Kui soovite enne harjutust kiiresti kontrollida, kas töötajate volitused on juba avalikes andmeleketes, on selleks mõistlik samm meie lekkinud paroolide kontroll.
Kirjutage puudujäägid üles, kuni need on värsked
Kirjutaja peab lihtsat logi. Ärge seda sessiooni ajal ilustage. Rida näeb välja selline:
Inject 3 | Backups reachable with domain admin | Gap: backup server domain-joined,
no offline copy confirmed | Owner: infra lead | Fix by: 30 days | Severity: highIgal puudujäägil peab olema vastutaja ja tähtaeg, muidu on see soov. Järjestage need selle järgi, mis oleks teie töö peatanud, mitte selle järgi, kui piinlikud need olid. Tüüpilised leiud on igapäevased: keegi ei teadnud registripidaja kontoandmeid, valvetelefoni number oli aegunud, tootmise sulgemise volitusega inimene oli puhkusel ja tal polnud asendajat.
Paluge osalejatelt enne lahkumist kirjalikku tagasisidet. CISA pakett sisaldab tagasisidevormi malli ja After Action Reporti, nii et te ei pea kumbagi ise looma.
Muutke logi runbookiks
Muutke logi nädala jooksul lühikeseks runbookiks. Ühe stsenaariumi kohta piisab ühest kuni kahest leheküljest. Runbook, mida keegi intsidendi ajal ei loe, on halvem kui mitte ühtegi.
Lisage:
- Esimene tund: nummerdatud tegevused, igaühel nimetatud roll, mitte inimese nimi.
- Otsustusõigused: kes tohib süsteeme isoleerida, kes kinnitada välisabi eest tasumist, kes räägib klientidega.
- Kontaktid: prinditud või hoitud võrguühenduseta, hõlmates töötajaid, tarnijaid, teie internetiteenuse pakkujat, kindlustajat ja väliseid reageerijaid.
- Tõendite käsitlemine: mida mitte kustutada ega taaskäivitada enne, kui keegi on teinud kettatõmmised ja salvestanud logid.
- Taastamise järjekord: millised süsteemid tulevad esimesena tagasi ja mis tõendab, et need on puhtad.
Laiema struktuuri jaoks on laialdaselt kasutusel NIST-i Computer Security Incident Handling Guide, SP 800-61 Rev. 2, kuid NIST võttis selle 3. aprillil 2025 tagasi ja asendas versiooniga Rev. 3, seega kasutage viiteallikana kehtivat redaktsiooni. Kui soovite runbooki kohta välist hinnangut või abi sessiooni läbiviimisel, vaadake meie intsidentidele reageerimise ja konsultatsiooni teenuseid.
Seejärel planeerige kordus. Viige teine stsenaarium läbi kolme kuni kuue kuu pärast ja testige uuesti esimese puudujääkide logi parandusi.
Kust alustada
- Broneerige sel nädalal kaks tundi ja blokeerige nelja-viie inimese kalendrid, kes kõnes osaleksid.
- Laadige Exercise in a Boxist või CISA paketist alla lunavara või andmepüügi stsenaarium ja kohandage see oma tegelikele süsteemidele.
- Nimetage facilitaator, kes kaasa ei mängi, ja kirjutaja, kes peab puudujääkide logi.
- Viige sessioon läbi päris tööriistad avatud: varunduskonsool, kataloogiteenus, sisselogimislogid, kontaktiloend.
- Määrake igale puudujäägile vastutaja ja tähtaeg enne, kui ruum tühjaks läheb.
- Kirjutage ühelehekülgne runbook seitsme päeva jooksul valmis ja hoidke koopiat kohas, mis töötab ka siis, kui teie võrk ei tööta.
