Comment simuler une réponse à un incident ?

A well-designed simulation should expose weaknesses in your response. Look for things like: - Single points of failure - Gaps in process - Bad process (this is even worse than no process) - Communication breakdowns - Misalignment - Broken escalation paths - Slowdowns

Core Simulation – Includes planning, facilitation and reporting, with cyber incident response experts (Gold Teaming) Optional Legal – Includes privacy and breach counsel expertise Optional PR – Includes public relations, crisis and reputation management Optional Security – Includes vulnerability and penetration testing (Red, Blue and Purple Teaming) Start by asking yourself the following questions... What is our current level of maturity within the Incident Response lifecycle? Do we have an up to date Incident Response Plan? Have we recently tested our Incident Response Plan? Have we conducted a post-incident review of any previous incidents, applied lessons learned and made improvements to our plan?

Das Ziel ist eine Organisation auf die Bewältigung eines Cyberangriffs vorzubereiten. Innerhalb einer Übung oder eines Tests sollten sowohl alle Rollenträger als auch die einzelnen Prozesse berücksichtigt werden. Um die Funktionsfähigkeit von Prozessen und Abläufen zu überprüfen können einzelne Tests wie z.B. eine Alarmierung des BlueTeams durchgeführt werden. Für die Zusammenarbeit des IT-Stabes und des Krisenstabes sind vielleicht Stabsrahmenübungen notwendig. Insgesamt sollte vor jeder Konzeptionierung überlegt werden, welche einzelnen Ziele verfolgt werden. Der CISO muss dann nur sicherstellen, dass durch den Mix vieler Übungen zum Schluss alle Prozesse, Abläufe und Rollen in Übungen überprüft werden konnten.

Szenarien sollten anhand bestehender Risiken und bereits geübter Vorfälle ausgerichtet werden. Im Cyberkontext sollte z.B. initial die Bewältigung eines Ransomwarevorfalles geübt werden, da hier die Eintrittswahrscheinlichkeit sehr hoch ist. Weiterhin sollten unbedingt beteiligte Bereiche mit hinzugezogen werden. Beispielsweise übt die IT und ein kritischer Fachbereich oder der Krisenstab und der IT-Stab die Bewältigung der ersten 3 Tage.

Simulation environments need to be prepared to practice various scenarios you have imagined. A cyber range is a good example of a platform to implement the use case scenarios and learn from them. You can also have separate infrastructure either on-prem or on the cloud for environment preparation. Necessary tools and training also play and important role.

Incident simulations can be a huge part of building a positive culture of reliability and resilience in your organization. Part of preparing the environment should also include setting the right tone for participants before the simulation. Make sure participants know this isn’t a pass/fail test or a performance exercise. It’s designed to push systems and processes to their limits. This should be done in a way that leaves people feeling more confident and prepared for the real thing. Demanding perfection is a good way to create a culture of fear around incidents and encourage people to hide their mistakes rather than learn from them openly.

IT-Umgebungen können beispielsweise zur Überprüfung einzelner Abläufe oder Erkennungsmuster vorbereitet werden. Darüber hinaus können Tools aus Penetrationstests eingesetzt werden um in einer Echtumgebung das Eindringen von Angreifern zu simulieren. Grundsätzlich scheitert es häufig schon an den einfachen organisatorischen und prozessualen Punkten. Aus diesem Grund würde ich empfehlen die Überprüfung in Tools erst nach den Grundlagen wie z.B. - Welches Team wird aktiv und sind die Rollenträger geschult - Wie arbeitet man wenn die IT-Landschaft bewusst runtergefahren wurde - Wie werden Schichten eingeteilt - Welche Dienstleister kann ich im Cyberangriff hinzuziehen und welche Daten brauchen diese um effektiv zu arbeiten.

Die Begleitung sollte immer durch Spezialisten durchgeführt werden. Cyberangriffe treten selten auf, folglich können hier normalerweise keine Erfahrungen in der Praxis gewonnen werden. Die Übungen oder Tests sollten dann sehr real anhand der bestehenden Risiken ausgerichtet werden. Beispielsweise, kann ich mein BlueTeam am Freitagabend aktivieren und wie lange dauert es bis die Mitarbeiter effektiv einen Vorfall eindämmen können.

#️⃣0️⃣3️⃣ 🙃 Host a Question and Answer session, plus tell a story, and add in some humor: Q: How did the hacker get in? A: Someone left their Windows open. Q: How did hacker get away? A: Used the backdoor and ransomware. Q: Why couldn't the witness identify the hacker? A: Used Spyware and Subnet Mask to hide identity. Q: How did the hacker get caught? A: CSIRT used a Bug, to lure in Scattered Spider, and they got stuck in the Web. A2: The CSIRT used Python to Byte...well, let's just say that a little bird (a.k.a. Parrot) did some squawking, but now they are done talking. Q: What happened to the hacker after getting caught? A: Police made them WannaCry by clearing their cookies. A2: FBI made their Heartbleed by deleting their cache.

Wichtig, in der Nachbesprechung/Auswertung geht es nicht darum die Entscheidungen hinsichtlich Richtig oder Falsch einzuwerten. Es geht darum ob durch die Methoden, Prozesse, Vorbereitungen die Ziele erreicht werden können. Eine Nachbereitung ist immer elementarer Bestandteil einer Übung oder eines Tests. Innerhalb dieser Nachbesprechung sollte sowohl qualitativ erfasst werden, ob die Ziele (z.B. die Fähigkeit zur Bewältigung von Cybervorfällen) auch erreicht wurden. Darüber hinaus sollte eine qualitative Steigerung gefordert werden (Reifegraddenken).

Simulate incident response through exercises like tabletop scenarios, simulated phishing, and red teaming to enhance organizational readiness and capabilities.

Tienen el mismo efecto(reporte de hallazgos) en realizar un Table Top que una simulacion tecnica que incluya personas procesos y tecnologia? Cuales serian las diferencias en los resultados si dejamos de lado las debilidades tecnicas de la infraestructura? Existe algun link que puedan compartir para estos ejercicios tipo Table Top?