Bir ihlal istihbaratı akışı satın almak kolaydır. Onu ölçülebilir bir risk azaltımına çevirmek ise bir programdır ve programların bir işleyiş ritmine ihtiyacı vardır. İşe yarayan ritim şu.
1. İzlemeye başlamadan önce referans alın
Sürekli izlemeyle ve boş bir kuyrukla başlamak gerçek durumunuzu gizler. Önce geçmiş dizini varlıklarınızla karşılaştırarak çalıştırın. Referans nokta genellikle rahatsız edicidir — ve geri kalan her şeyi kıyaslayacağınız sayı odur.
2. Varlık kapsamını düzgün tanımlayın
Kaçırılan maruziyetin çoğu, varlığı kimse kaydetmediği için kaçırılır. Satın alınan markaları, bölgesel alan adlarını, eski portalları ve çalışanlarınızın hesap tuttuğu tedarikçi sistemlerini dahil edin. Çalışanlarınızdan birinin kimliğini doğrulayabiliyorsa, kapsam içindedir.
3. Önce kimlik türüne, sonra önem derecesine göre triyaj edin
Hacim bir öncelik sinyali değildir. Önce kimliğin kime ait olduğuna göre sıralayın — çalışan, üçüncü taraf, müşteri — sonra kimlik bilgisinin neyin kapısını açtığına göre. Bir SSO uç noktasındaki yönetici hesabı, on bin bülten kaydının her zaman önündedir.
4. Remediasyonu saate bağlayın
İlk bulgu gelmeden önce her önem seviyesi için bir SLA üzerinde anlaşın ve buna göre ölçün. Saat olmadan kuyruk bir birikmiş işe, program da kimsenin okumadığı bir rapora dönüşür.
Doğrulanmış bir çalışan maruziyetinde remediasyon genellikle şudur: parola sıfırlamasını zorunlu kıl, tüm aktif oturumları iptal et, o penceredeki anormal etkinliği kontrol et ve — cihaz tespit edilebiliyorsa — makineyi hizmet dışına al.
5. Döngüyü kullanıcıyla kapatın
Bir maruziyet neredeyse her zaman dikkatsiz bir parolayı değil, ele geçirilmiş bir cihazı işaret eder. Makineyi ele almadan kimlik bilgisini sıfırlamak, bir sonraki logda yenisinin çıkması demektir. Çoğu programın atladığı adım budur; bazı organizasyonların aynı kişiyi tekrar tekrar bulmasının nedeni de.
6. İşin diliyle raporlayın
Üst yönetimin kayıt sayısına ihtiyacı yok. Maruziyetin artıyor mu azalıyor mu olduğunu, hangi kararların beklediğini ve programın neyi önlediğini bilmeye ihtiyacı var. Aylık raporlayın, bir sayfada tutun ve kararlarla başlayın.
Altı ay sonra iyi görünen ne
- Maruziyetin görünmesinden oturumun iptaline kadar geçen süre — saatlerle ölçülür.
- Tekrar tekrar açığa çıkan kimliklerin sayısında düşüş — cihaz remediasyonunun işe yaradığının işareti.
- Tedarikçi maruziyetinin yalnızca gözlemlenmesi değil, gündeme getirilip takip edilmesi.
- Üst yönetimin çeviri istemeden okuduğu aylık tek sayfalık özet.