CISA D5 資安事件管理:應變、鑑識、監控最常錯的 10 個觀念

D5 後半段考的是資安事件的前前後後:應變、鑑識、測試、監控,還有人員訓練與攻擊手法。這一塊的陷阱,多半不在技術細節,而是誘你搶一個不該搶的步驟:還沒圍堵就重灌、稽核人員自己動手清、還沒保全就分析。

下面 10 個觀念,各講題目怎麼考、最常被騙的選項、怎麼分辨。例題改寫自我們自己寫的練習題。

事件應變:順序與角色

1. 先圍堵,再根除,最後才復原

順序是確認、圍堵、根除、復原、檢討。題目寫「攻擊還在進行」,考的就是這個順序。最誘人的錯是先復原、先重灌:攻擊還在,救回來也會再被感染。先對外公告、先通知客戶或保險、先查根本原因,也都排在圍堵後面。

分辨:不知道哪幾台中招,先找出受影響的,不要全面封鎖;範圍清楚了,選項有「啟動應變計畫」就選它,沒有才選拔網路線隔離。資安事件通常由應變團隊圍堵處理,不必啟動營運持續計畫(BCP)。檢討放最後,目的是改善控制、避免再發生,不是追究責任。

2. 稽核人員撞見事件:只通報,不動手

主角換成稽核人員,答案就變了。他立刻通知應變團隊、系統負責人或管理階層,不自己查、不自己清、不下令。「自己移除惡意程式」「要求關機或停用帳號」「指揮技術人員改設定」全是越權,還可能拖慢隔離、破壞證據。只是起疑,或撞見疑似犯罪,也只通報,不碰證物。

證據與鑑識:先保全,再分析

3. 證據的價值,在於「沒被動過」

鑑識的步驟是辨識、保全、分析、呈現。給你一台疑似涉案的電腦,對的做法是:接上寫入阻斷器,做位元流映像(連已刪除的檔案一起複製,一般的檔案複製會漏掉),用雜湊值確認副本與原件一致,之後只分析副本。每個經手的人、時間與處置都記進監管鏈,證據才具可採性。

最常被騙:直接在原系統上查、查完就刪,或是先報警、先找根本原因,這些不是破壞證據,就是排在保全後面。

4. 別關機,先抓最容易消失的

執行中的程序、網路連線、登入中的使用者只存在記憶體,一關機就沒了,所以「關機」是蒐證題常見的誘餌。順序是斷網、傾印記憶體,再做磁碟映像。圍堵要拔的是網路線,不是電源:斷網既止血,又不毀證據,不必為了保全而延後圍堵。

安全測試:掃描、滲透、授權

5. 弱點掃描不等於滲透測試

弱點掃描用自動化工具比對已知弱點,找出缺漏的修補與錯誤設定,不實際利用;有誤報,要由人複核。題目若問能不能證明弱點可被利用,掃描給不了這個證明。滲透測試經授權、真的動手利用弱點,用來驗證控制有沒有效、系統能被入侵到什麼程度,比較深入,但可能影響系統運作。

6. 沒有書面授權和範圍,測試就是攻擊

測試前要先取得管理階層的書面核准,寫明範圍、時間、方法與緊急聯絡方式,並約定測試的來源 IP,才分得出哪些是真攻擊。規劃階段的第一件事是界定範圍。

類型要分清楚:盲測是測試者事先不知道目標資訊;雙盲連組織的資安人員也不知情,所以能同時檢驗偵測與應變能力,但管理階層仍要書面核准。紅隊演練的重點不是找出所有弱點,而是看防守方能不能發現並回應。

日誌與監控:有警示不等於有處置

7. SIEM、IDS、IPS 抓關鍵字

• SIEM:「多來源日誌」「關聯分析」就是它。它是彙整分析平台,集中收集日誌、即時告警,並支援調查與稽核。
• IDS:只偵測、不阻擋。特徵式容易漏掉新攻擊,異常式誤報較多;放在防火牆內側,才抓得到穿過防火牆的攻擊。
• IPS:串在流量路徑上,能即時阻擋,代價是誤判會擋掉正常流量、影響可用性。

網路型偵測看不到加密的內容和主機內部的攻擊;主機型看得到,但每台都要安裝維護。

8. 警示要有人處置,日誌要平時就收

監控工具只負責發出警示;沒有人分析、沒有處置流程,警示就只是雜訊,這正是需要安全營運中心(SOC)的原因。漏報(真攻擊沒被看到)比誤報危險,選項比輕重時選漏報;但誤報太多會讓人習慣性忽略,所以要持續調校。日誌要平時就收、即時另存到別的系統,事後才有東西可查。

人與攻擊手法:考的是配對

9. 訓練成效看行為,匯款詐騙靠流程

上課人數和測驗分數,只證明人有來上課;成效看行為,例如釣魚演練的點擊率下降、主動通報的事件增加。釣魚演練的目的是降低資安事故,點擊的人要再教育,不是懲處。例外:題目問有沒有遵循「新進人員必須受訓」的政策,就看完訓比率。

社交工程利用的是人性,單靠技術擋不住。防釣魚最有效的是使用者訓練加上多因子驗證;防冒充主管或供應商的匯款詐騙,要靠獨立於來信管道的回撥確認和付款雙人核准。

10. 先認出攻擊的是誰,再配防線

攻擊題多半給症狀,問原因或防線。先問:它打的是資料庫、使用者的瀏覽器、可用性,還是通訊內容?