Интернетмагазин

 
69
Следующим в управлении жизненным циклом угроз является этап обнару-
жения. Он идет после того, как организация устанавливает процедуру обнару-
жения и благодаря этому достаточно рано может обнаружить атаки. Эта фаза 
может быть достигнута двумя способами.
Первый из них – поисковая аналитика. Именно здесь IT-специалисты орга-
низации проводят программную аналитику. Они могут просматривать отчеты 
и выявлять любые известные или зарегистрированные исключения из сетевых 
и антивирусных средств безопасности. Это трудоемкий процесс, поэтому он не 
должен быть единственным методом аналитики, на который должна полагать-
ся вся организация.
Второй способ – использование машинной аналитики. Это аналитика, ко-
торая выполняется исключительно компьютерами / программным обеспече-
нием. Программное обеспечение обычно имеет возможности машинного обу-
чения и, следовательно, искусственного интеллекта, что позволяет автономно 
сканировать большие объемы данных и предоставлять людям краткие и упро-
щенные результаты для дальнейшего анализа. Машинное обучение упрощает 
процесс обнаружения угроз, поскольку оно автоматизировано и постоянно из-
учает новые угрозы самостоятельно.
Далее следует этап классификации, когда угрозы, обнаруженные на пре-
дыдущем этапе, оцениваются с целью выявления их потенциального воздей-
ствия, срочности разрешения и способов их нейтрализации. Эта фаза чувстви-
тельна ко времени, поскольку выявленная атака может созреть быстрее, чем 
ожидалось.
Что еще хуже, это вовсе не просто, требует ручного труда и времени. На этом 
этапе ложные срабатывания представляют собой серьезную проблему, и их 
необходимо идентифицировать, чтобы организация не использовала ресурсы 
по отношению к несуществующим угрозам. Неэффективная классификация 
может привести к пропуску истинных угроз и включению ложных. Таким об-
разом, реальные угрозы могут остаться незамеченными. Как видите, это чув-
ствительный этап в процессе управления угрозами.
Следующий этап – этап расследования, на котором угрозы, отнесенные к ка-
тегории актуальных, полностью расследуются, чтобы определить, являются ли 
они причиной инцидента в области информационной безопасности.
Этот этап требует постоянного доступа к данным компьютерной кримина-
листики и сведениям об очень многих угрозах. В основном он автоматизиро-
ван, и это упрощает процесс поиска определенной угрозы среди миллионов 
известных угроз. На этом этапе также рассматривается любой потенциаль-
ный ущерб, который угроза могла причинить организации, прежде чем была 
идентифицирована средствами безопасности. Основываясь на информации, 
собранной на этом этапе, IT-отдел организации может действовать соответ-
ствующим образом.
Далее следует фаза нейтрализации. Здесь применяются соответствующие 
меры для устранения или уменьшения воздействия выявленной угрозы на ор-
ганизацию. Организации стремятся достичь этого этапа как можно быстрее, 

---

70  Жизненный цикл атаки
поскольку угрозы, связанные с использованием программ-вымогателей или 
учетными записями привилегированных пользователей, могут нанести непо-
правимый ущерб за короткий период времени.
Таким образом, каждая секунда имеет значение при устранении выявлен-
ных угроз. Этот процесс также автоматизирован, чтобы обеспечить более 
высокую пропускную способность удаления угроз, а также облегчить обмен 
информацией и сотрудничество между несколькими отделами в органи-
зации.
Последний этап – это восстановление, которое наступает только после того, 
как организация убедится, что выявленные угрозы были нейтрализованы и лю-
бые риски, с которыми она сталкивается, находятся под контролем. Цель этого 
этапа – вернуть организацию в состояние, в котором она находилась до напа-
дения. Восстановление требует меньше времени и сильно зависит от типа про-
граммного обеспечения или службы, которые снова становятся доступными. 
Этот процесс, однако, требует осторожности. Изменения, которые могли быть 
внесены во время инцидента с атакой или во время реагирования, нужно от-
слеживать. Эти два процесса могут привести к нежелательным конфигурациям 
или действиям, предпринятым для того, чтобы либо поставить под угрозу си-
стему, либо предотвратить ее дальнейшее повреждение. Крайне важно, чтобы 
системы были приведены именно в то состояние, в котором они находились до 
момента совершения атаки. Существуют средства автоматического восстанов-
ления, которые могут автоматически возвращать системы в состояние, в кото-
ром была сделана резервная копия. Следует действовать осмотрительно, чтобы 
гарантировать отсутствие старых или появление новых лазеек для злоумыш-
ленников.