راهنمای جامع واکنش به حوادث امنیتی (Responding to Security Incidents)

حادثه امنیتی یا رویداد امنیتی، هرگونه نقض دیجیتال یا فیزیکی است که اصول محرمانگی، یکپارچگی یا دسترس‌پذیری سیستم‌های اطلاعاتی یا داده‌های حساس یک سازمان را تهدید می‌کند. حوادث امنیتی می‌توانند از حملات سایبری عمدی توسط هکرها یا کاربران غیرمجاز تا نقض‌های غیرعمدی خط‌مشی امنیت فناوری اطلاعات توسط کاربران را شامل شوند. برخی از رایج‌ترین حوادث امنیتی به شرح زیر هستند:

• باج‌افزار: نوعی نرم‌افزار مخرب یا بدافزار است که داده‌ها یا دستگاه‌ها را قفل می‌کند و تهدید می‌کند مادامی که باج مربوطه پرداخت نشود دسترسی به سیستم یا فایل‌ها امکان‌پذیر نخواهد بود. آخرین گزارش تهدید اطلاعات دپارتمان X-Force شرکت آی‌بی‌ام نشان می‌دهد، 20 درصد از حملاتی که زیرساخت‌های شبکه‌ یک سازمان را هدف قرار می‌دهند از نوع باج‌افزار هستند و عمدتا باهدف اخاذی انجام می‌شوند. در ادامه، حملات از نوع سرقت و نشت داده‌ها قرار دارند.
• فیشینگ و مهندسی اجتماعی: حملات فیشینگ ممکن است پیام‌های دیجیتالی یا صوتی باشند که سعی می‌کنند گیرندگان را برای به اشتراک گذاشتن اطلاعات حساس، دانلود نرم‌افزار مخرب، انتقال پول یا دارایی‌ها به سمت مجرمان سایبری یا انجام برخی اقدامات باهدف آسیب‌رساندن به دیگران ترغیب کنند. مهاجمان، پیام‌های فیشینگ را طوری طراحی می‌کنند که به نظر می‌رسد از یک سازمان یا فرد قابل اعتماد یا معتبر ارسال شده است، گاهی اوقات ممکن است پیام‌ها از سمت فردی ارسال شده باشد که گیرنده آن شخص را می‌شناسد. فیشینگ و اعتبارنامه‌های سرقت شده یا به خطر افتاده، دو مورد از رایج‌ترین بردارهای حمله هستند. برآورد شده است که هزینه یک نقض داده که به واسطه یک حمله فیشینگ انجام می‌شود گاهی اوقات به میلیون‌ها دلار نیز می‌رسد. لازم به توضیح است که فیشینگ رایج‌ترین شکل مهندسی اجتماعی است – نوعی حمله که به جای آسیب‌پذیری‌ رساندن به دارایی‌های دیجیتال، بیشتر متمرکز بر افراد و کارمندان یک سازمان است تا آن‌ها را ترغیب کند به مهاجم دسترسی غیرمجاز به داده‌ها یا دارایی‌های شخصی یا سازمانی حساس را بدهند.
• حملات DDoS: در یک حمله انکار سرویس توزیع شده (DDoS)، هکرها کنترل تعداد زیادی کامپیوتر را به دست می‌گیرند و از آن‌ها برای از دسترس خارج کردن شبکه یا سرورهای یک سازمان با ترافیک جعلی استفاده می‌کنند تا کاربران عادی قادر به دسترسی به اطلاعات نباشند.
• حملات زنجیره تامین: حملات زنجیره تامین، حملات سایبری هستند که فروشندگان و شبکه همکاران یک سازمان را باهدف نفوذ به زیرساخت‌های سازمانی هدف قرار می‌دهند. به عنوان مثال، این حمله می‌تواند شامل سرقت داده‌های حساس از سیستم‌های یک تامین‌کننده یا استفاده از خدمات یک تامین‌کننده برای توزیع بدافزار باشد.
• تهدیدات داخلی: دو نوع تهدید داخلی وجود دارد. کارمندان درون سازمانی، شرکا یا سایر کاربران مجاز که به طور عمدی یا سهوی امنیت اطلاعات یک سازمان را به خطر می‌اندازند. کارمندان سهل‌انگار به طور ناخواسته با عدم رعایت شیوه‌های امنیتی، مانند استفاده از رمزهای عبور ضعیف یا ذخیره داده‌های حساس در مکان‌های ناامن، امنیت را به خطر می‌اندازند. شرکا و پیمانکاران نیز به واسطه عدم مقید دانستن خود به رعایت خط‌مشی‌های امنیتی یک سازمان، ناخواسته راه را برای نفوذ هکرها به شبکه‌های سازمانی هموار می‌کنند.
• حملات افزایش امتیاز: این مورد شامل تلاش هکرهایی است که سعی می‌کنند ابتدا امتیازات محدودی را در یک سیستم به دست ‌آورند و از آن‌ها برای حرکت جانبی استفاده کنند، امتیازات بالاتری دریافت کنند و در طول مسیر به داده‌های حساس‌تر دسترسی پیدا ‌کنند. اعتبارنامه‌های سرقت شده می‌توانند به مهاجم در ورود اولیه یا افزایش امتیازات خود کمک کنند. طبق گزارش‌ X-Force، سو استفاده از حساب‌های معتبر رایج‌ترین راهی است که مهاجمان از طریق آن به سیستم‌ها نفوذ می‌کنند.
• حملات مرد میانی (MITM): در یک حمله MITM، هکر سعی در رهگیری ارتباطات دارد که اغلب یک ایمیل شامل اطلاعات حساس مانند نام کاربری یا رمز عبور یا شنود ارتباط میان دو طرف است. مهاجم یا از اطلاعات سرقت شده مستقیما استفاده می‌کند یا بدافزار را برای ارسال به گیرنده مورد نظر تزریق می‌کند.