事件响应

Sophos 事件响应计划概述

Sophos 的使命是通过开发强大而直观的产品和服务，为任何规模的企业提供全球最有效的网络安全，从而保护人们防范网络犯罪。有效应对各种潜在安全事件是 Sophos 圆满完成使命的关键所在。简单来说：我们的事件响应计划需要保护我们的产品和公司，从而保护客户。

Sophos 采用 NIST 800-61 对安全事件的定义：“已经违反或即将违反计算机的安全政策、可接受的使用政策或标准安全规范。”这是一个特意设定的宽泛定义，以便我们能够优化以加快响应时间，辨识需要改进的地方并提升客户透明度。此定义还有助于识别任何数据泄露，而这可能未包含在侧重于已确认攻击的定义中。

我们如何识别事件

Sophos 采用多种方法来识别或发现安全事件。包括：

• 安全监控能力，通常内建于我们的产品中，或者我们开发的补充方法中。
• 漏洞赏金报告。
• 渗透测试结果。
• 漏洞分析。
• 代码和应用程序分析。
• 研究和威胁情报分析。
• 客户通知。

要报告潜在的安全事件，请查看我们的负责任披露计划。

调查和分析

我们侦测到或核实事故的报告后，首先会利用现有通信渠道来促进事件响应团队之间共享信息。

事件响应调查和分析会议的标准最低议程如下：

• 确立当前事实。
• 更新行动状态。
• 就下一步行动达成一致。
• 确认对事件严重性状态的评估：Sev1/2/3。
• 就下次会议的时间达成一致。
• 记录事件时间线的会议纪要，包括行动和决定。

严重性评估

事件严重性分为四个级别。

事件严重性级别

我们的事件响应经理根据对公司和客户的潜在影响来设定事件的严重性。我们采用各种威胁评估标准来确定事件的严重性，包括客户影响、功能影响、信息影响、可恢复性、数据量和分类、威胁行为者以及业务影响。在整个响应过程的关键点重新评估事件严重性，必要时调整严重性。

角色和职责

在事件发生时，根据指派的事件严重性级别确定一名事件响应经理。如果需要全天候处理事件，此角色可轮换。单一事件响应经理可为我们提供明确的指导，以便我们能够立即采取行动并进行有效沟通。

根据事件的性质，我们需要不同的角色。一些最常见的角色包括：

事件角色和职责

遏制、根除和恢复

遏制的目的是在事件造成进一步危害之前，阻止其影响范围扩大。一旦事件得到控制，我们就可以用必要的时间全面解决问题。

事件得到控制后，我们可能需要采取根除措施，以消除事件要素和副作用。对于针对 Sophos 的安全事件，我们需要考虑公司资产以及产品资产，包括云服务。

常见的根除任务包括：

• 配置或代码更改/热修复。
• 更换或禁用系统。
• 移除功能。
• 数据质量清理。
• 停用遭入侵的用户帐户。
• 识别并缓解所有被利用的漏洞。

恢复过程中，Sophos 工程师会将系统恢复到正常运行状态，确认系统正常运行，并（如适用）修复漏洞，以防止类似事件发生。作为一家安全和云计算公司，我们的企业文化和创新作法有助于我们快速恢复。跨业务部门的持续集成和部署能力则是我们强有力的后盾。我们不断大规模、快速地重新部署系统。

客户通知

诚信是 Sophos 奉行的价值观之一。这一价值观与 Sophos 的“保护”使命相辅相成，这意味着，如果我们已证实某事件或入侵涉及客户的数据，将会尽快通知他们。

事件后续活动

我们在处理和解决事件后，会专注于从中汲取经验教训。我们会举行事件后反思会议，讨论我们的事件处理方式以及引发事件的根本原因。然后，我们会根据讨论结果，调整和改善事件处理程序，并改进安全配置文件，以防止未来发生类似事件，并力求更快地侦测类似事件。