Об инцидентах

Что такое инцидент

Инцидент в контексте информационной безопасности – это любое непредвиденное или нежелательное событие, которое может нарушить нормальную деятельность или безопасность информации.

Событие – это идентифицированные внешние признаки определенного состояния системы, сервиса или сети.

К основным критериям принятия решений в рамках Kaspersky MDR о том, что наблюдаемая активность является инцидентом, относится возможность принять эффективные меры по противодействию, предотвращению или уменьшению возможного ущерба от последствий этой активности. В таблице ниже приведены примеры возможных критериев инцидента и мер реагирования в зависимости от источника события.

Примеры критериев обнаружения инцидентов и мер реагирования

Сценарии обнаружения инцидентов

Сценарий 1. Обнаружение инцидентов с помощью решения Kaspersky MDR

В этом сценарии инцидент информационной безопасности обнаружен в результате работы Kaspersky MDR. Инцидент регистрируется в системе отслеживания инцидентов автоматически. Приоритет инцидента по умолчанию можно изменить позже, но для этого потребуется указать причину изменения в соответствии с таблицей приоритетов инцидента (см. ниже). Kaspersky MDR обрабатывает зарегистрированные инциденты, чтобы оперативно получать информацию о состоянии ИТ-инфраструктуры клиента.

Если в результате анализа выявляются первопричины инцидента, клиенту предоставляются рекомендации по реагированию. Если информации для определения первопричины инцидента недостаточно, вся доступная информация и результаты анализа предоставляются клиенту для независимого исследования.

Сценарий 2. Обнаружение инцидентов клиентом (создание пользовательских инцидентов недоступно для некоторых типов коммерческой лицензии)

В этом сценарии инцидент информационной безопасности обнаружен клиентом независимо от работы Kaspersky MDR. Если инцидент требует обработки в Kaspersky MDR, клиент может зарегистрировать инцидент вручную и предоставить всю доступную информацию об обнаруженном инциденте с помощью функций Kaspersky MDR. Для приоритета инцидента установлено значение по умолчанию Низкий, если иное не указано клиентом при регистрации инцидента.

Дальнейшие этапы обработки инцидента аналогичны сценарию 1.

Уровни приоритета инцидентов

Приоритеты инцидентов и их описания

Приоритет инцидента по умолчанию – Низкий.

Целевые показатели предоставления решения

Целевое время реакции и целевой показатель предоставления Kaspersky MDR в зависимости от приоритета инцидента

Инцидент считается решенным, если клиенту были предоставлены рекомендации по мерам реагирования.

*Время реакции – это время между обнаружением инцидента (время создания) и его публикацией в Консоли MDR (время обновления).

**Целевой показатель – процент инцидентов, у которых время реакции соответствует указанным в таблице значениям.