事件回應團隊：定義以及如何建立？

試想這樣的情境：你到公司上班時，聽到你的系統已經離線。如果沒有可靠的事件回應團隊，你的復原作業可能會受到影響。

災難隨時都可能發生；設計以身分識別為核心的事件回應作戰手冊，有助於防止資料外洩。

每個擁有大量網路資產的組織，都應考慮投資建立事件回應團隊（IRT）。這通常是組織對抗網路安全威脅的第一道防線，也可能成為將威脅消弭於萌芽階段與演變成全面性資料外洩之間的關鍵差異。

那麼，該如何為組織建立一支穩健的 IRT？本文將說明 IRT 是什麼、為何你需要它，以及如何為你的組織建立合適的 IRT。

什麼是事件回應團隊？

一個事件回應團隊（IRT）是 IT 部門內負責準備與回應網路安全威脅的一群人員。事件回應團隊會設計組織的網路安全架構、訓練員工如何辨識潛在威脅，並監控組織網路中的異常狀況。

那麼，為什麼我需要 IRT？

在當今持續演變的網路安全環境中，威脅正變得日益複雜且愈發常見。IRT 包含專門設計用來找出您網路中弱點並致力於加以緩解的專家。優秀的事件回應團隊可協助您保護敏感資料，從而將成本降至最低，並確保貴組織的網路安全政策符合政府法規。這包括設定存取控制，以確保只有適當的人員能夠存取資料，以及部署防火牆和其他入侵防護系統（IPS），以防止惡意行為者進入網路。根據 UpGuard，2023 年資料外洩事件平均使企業損失約 435 萬美元。這包括資料遺失、產生的罰款，以及潛在的法律費用。擁有 IRT 可讓組織在外洩發生前加以阻止，從而避免這些損失。

資料外洩也是導致客戶信任流失的主要原因之一，高達 65%客戶在資料外洩事件後對組織失去信任。具前瞻性的組織了解，其 IRT 不僅是資安團隊，也是維持客戶滿意度的關鍵工具。此外，在多個地區，政府法規也要求包括醫療保健與銀行業在內的許多產業嚴格遵循資安政策。事件回應團隊有責任確保符合這些法規，從而避免潛在後果。

事件回應團隊的職責是什麼？

事件回應團隊在 IT 部門內肩負多項職責。

IRT 最重要的職責是為威脅做好準備並監控組織網路。準備工作包括評估目前網路中的弱點，並利用現有資訊為潛在威脅制定行動計畫。

團隊也負責監控網路並掃描異常狀況。這通常會使用像 SentinelOne 這類自動化工具來完成。這類工具會 24/7 自動監控組織的網路，包括所有連線裝置、伺服器，甚至雲端連線。每當偵測到異常活動時，它們就會通知 IRT，以便團隊啟動預先制定的計畫。

事件回應團隊會設定防火牆、存取控制、防毒軟體及其他 IPS，以防止入侵者進入系統，但他們也負責訓練非 IT 相關員工遵循自身網路安全的最佳實務。雖然病毒是常見的攻擊媒介，但大多數資料外洩發生的原因，是組織員工透過網路釣魚或其他社交工程手法，有意或無意地將資訊提供給攻擊者。

事件回應團隊的角色與職責

事件回應團隊具有以下角色與職責：

• 設計可即時回應事件的主動式計畫
• 追蹤並修復系統弱點
• IRT 成員專注於實施最佳的事件回應政策與實務
• 他們也會對事件進行分類並決定處理方式
• IRT 成員會建立清楚的客戶溝通機制、對事件進行分類，並為專業人員擬定最新的訓練計畫，讓他們為未來的網路事件做好準備。

事件回應團隊的結構與角色

正如 Zenduty 所說，IRT「需要明確定義的結構，並由個人擔任特定角色與職責。」他們概述了 IRT 內的四個關鍵角色：

• 事件經理本質上就是 IRT 的管理者。他們是維繫團隊運作的核心，負責協調事件回應、在團隊內傳遞資訊，以及分配團隊內部資源。他們的工作還包括確保事件回應計畫被適當遵循；若未被遵循，則由其決定應進行哪些偏離與調整。
• 溝通負責人是 IRT 的發言人。他們負責 IRT 與各類利害關係人之間的溝通。溝通負責人的任務是就事件提供及時溝通，並回答各類利害關係人的問題，包括組織外部的人員。
• 技術負責人深入處理細節。這是負責診斷事件根本原因並實施遏制步驟的 IT 人員（或人員團隊）。這個群組通常包括鑑識專家，負責分析事件並找出事件發生的原因。技術團隊也可能包括安全分析師，其職責是保護並監控網路是否有異常。他們會選擇監控軟體並進行滲透測試，以找出保護網路的最佳方式。
• 法務顧問的職責是就 IRT 行動所涉及的法律影響提供專業指導。由於 IRT 會處理敏感的客戶資料，因此必須遵守多項法規。法務顧問的任務是確保 IRT 遵循這些法規。

事件回應團隊如何運作？

1. 準備

此階段包括評估你的網路是否存在弱點。團隊必須針對系統面臨的各種威脅制定行動計畫，並建立團隊內部及對利害關係人的溝通策略。

這也是 IRT 設定其監控軟體並確保符合資料隱私法規的階段。

2. 偵測與識別

利用預先建立的監控工具，團隊可識別網路異常。一旦網路安全專家偵測到問題，他們會將資訊傳達給技術負責人，消除或控制該問題，並在必要時通知更廣泛的組織。

3. 控制與根除

控制將防止事件惡化並隔離威脅。根除階段則著重於從受影響的系統中移除威脅。

4. 復原與事件後活動

復原著重於在事件發生後恢復資料、將損失降到最低，以及蒐集證據。這也包括演練組織的災難復原能力。事件後活動包括更新業務持續營運計畫，並與利害關係人召開會議，以報告並討論所獲得的經驗教訓。

如何建立事件回應團隊？

並非每個 IRT 的建立方式都相同。不同組織必須評估其獨特需求，以決定在組建團隊時如何分配資源。有時，你可能希望聘請外部承包商來代為處理部分職責；其他時候，你可能希望完全在內部建立團隊。話雖如此，仍有一些核心概念會存在於每一個 IRT 中。

團隊

每個 IRT 都必須擁有穩固的技術團隊。技術團隊是整個 IRT 建立所依賴的骨幹，且應包含具備資安專業知識的人員。事件經理也可能是技術團隊的成員。在較小型的組織中，技術團隊可能由同時擔任事件經理的單一人員組成。其他情況下，事件回應團隊可能由少數幾人組成，同時擔任安全成員與鑑識分析師。鑑識分析師也可能是外部承包商。

設備

此外，您必須投資於合適的設備。根據團隊的回饋，您需要投資監控工具，包括安全資訊與事件管理（SIEM）系統、入侵防護系統（IPS），以及入侵偵測系統（IDSs）。

有些組織從零開始建置其監控工具，而有些則使用第三方監控工具。從零開始建置的工具可能較難被入侵，但第三方工具導入所需時間較短、取得成本較低，且具備專門的客戶服務可協助疑難排解。在決定要使用哪些工具時，請考量團隊的建議以及預算限制。

訓練

有時候，新的 IT 技術人員需要接受貴組織內部程序的訓練。如果您使用的是內部開發的工具，這點尤其重要。您的事件經理和／或技術主管應負責招募並培訓 IRT 的新成員，而您的通訊主管（在小型組織中也可能同時擔任事件經理）應建立一條通訊鏈，讓團隊能夠藉此傳遞資訊。這也包括為團隊使用 Slack 等訊息軟體。

事件回應團隊的優勢

適當的事件回應團隊可以讓您的公司免於資料外洩、監管處罰與法律罰款。

IRT 能迅速識別、遏制並移除對您網路的威脅。他們也會測試弱點，以了解攻擊者可能透過哪些途徑攻擊您的組織。這可將貴公司面臨的事件數量降至最低，並減少其造成的損害。透過迅速遏制惡意軟體或提醒員工注意網路釣魚事件，可減少受其影響的人數，從而將資料損失降至最低。IRT 應建立網路安全意識，即使是非 IT 員工也不例外。這也會進一步提升組織的聲譽。

IRT 也能確保符合產業法規。這點至關重要，因為若公司未遵守其所屬領域中的網路安全與資料隱私法規，可能會遭到罰款或被提告。適當的 IRT 在法律顧問的協助下，會透過確保公司遵守這些法規來避免這些問題。

事件回應團隊也站在提升組織網路安全意識的最前線。對利害關係人透明揭露事件（尤其是處理得當的事件）可建立對組織的信任，進而提高客戶留存率。

給事件回應團隊成員的建議

以下是給所有 IRT 成員的一些實用建議：

• 成為優秀事件回應團隊的第一步，是確保您能以最快速度對威脅做出反應。即使在入侵期間，您可以封鎖威脅，但僅止於此並不足夠。找出威脅的根本原因並修補這些弱點非常重要，否則將會產生更多安全缺口。此外，這些缺口也有可能在一段時間後導致新的威脅出現。
• 為了了解攻擊的完整根本原因，重要的是不要只看初始症狀。其中一個很好的例子是 Sophos MDR 團隊回應潛在勒索軟體事件的案例，他們後來發現其實沒有相關證據。當團隊持續調查時，發現了一個歷史性的 banking trojan。同樣重要的是識別遭入侵的管理員帳戶、移除多個惡意檔案，並封鎖攻擊者命令與 C2 command-and-control 通訊。
• 完整掌握您的威脅偵測可視性至關重要。對雲端環境的可視性有限，勢必會錯失關鍵攻擊。如果您正在處理混合雲環境，您需要確保從各種不同來源蒐集到正確且高品質的資料，並使用最佳的工具、戰術與程序。您也需要為組織降低雜訊與警示疲勞。套用情境脈絡很重要，因為雖然威脅情報是關鍵，但錯誤類型的威脅情報並不是您想要的。
• 您會希望精確找出攻擊訊號的來源、攻擊目前所處階段、相關事件，以及對業務的潛在影響與未來意涵。如果您的團隊因缺乏具備技能的資源而難以調查與回應事件，您可以聘請外部資源。
• 有許多 MDR 服務可供您依賴，以外包您的安全營運，而這些服務通常由您的資安專家團隊提供。這些服務包括威脅狩獵、即時監控、事件回應，以及由人員主導的調查。當您將安全自動化與人類洞察結合時，作為事件回應團隊成員，您就能獲得最佳成果。

事件回應團隊範例

常見事件回應團隊的一些範例如下：

• 電腦緊急應變團隊（CERT）
• 安全營運中心（SOC）
• 資安分析師

此外，也有專門負責資料還原與復原工作、建立文件，以及在系統或網路遭入侵後清除攻擊者存在痕跡的專家。

事件回應團隊：您組織的網路防護者

如您所見，事件回應團隊是您組織中至關重要的一環。透過使用各式工具，他們會評估、監控並保護您的網路架構，以確保日益狡猾的攻擊者無法存取您的資料。他們的工作既關鍵又複雜，而在組建團隊時，您也必須考量是要自行建置工具，還是使用像 SentinelOne 這樣的第三方監控工具。 立即與 SentinelOne 專家預約示範。