Сдерживание инцидента
Incident Containment
Сдерживание инцидента — этап реагирования, ограничивающий распространение атаки и доступ нарушителя до устранения причины, с сохранением данных для расследования.
Сдерживание инцидента — набор временных мер реагирования, направленных на ограничение последствий инцидента информационной безопасности. Его задача — прекратить или сократить возможность дальнейшего перемещения нарушителя, утечки данных либо распространения вредоносного кода.
Меры могут включать изоляцию узла от сети, блокирование учётной записи, отзыв токенов, изменение правил межсетевого экрана или отключение скомпрометированного сервиса. Выбор меры зависит от критичности системы, характера атаки и необходимости сохранить оперативные данные и следы для анализа.
Сдерживание применяется в процедурах реагирования SOC, ИТ-эксплуатации и планах восстановления после инцидентов. Оно должно фиксироваться в журнале работ и согласовываться с владельцами критичных сервисов, когда изоляция влияет на доступность.
Термин отличается от ликвидации инцидента: сдерживание останавливает развитие атаки, но не обязательно удаляет её первопричину. Восстановление возвращает штатную работоспособность после ликвидации и проверки.
Синонимы и варианты написания:
локализация инцидента
Просмотров: 16