Transcript 2.3.1 การวางแผนสำรองฉุกเฉิน

การวางแผนสารองฉุกเฉิน
CONTINGENCY PLANNING
แผนสารองฉุกเฉิน(Contingency Plan)




แผนในภาพรวมในการรับมือกับเหตุการณ์ฉุกเฉินทีเ่ กิดขึน้ นอกเหนือจาก
คาดหมาย
มีรายละเอียดเกีย่ วกับ การตรวจสอบ การตอบสนอง การกอบกูร้ ะบบงาน
แนวทางในการรับมือเหตุการณ์ทส่ี ร้างความเสีย่ งให้กบั ระบบและสินทรัพย์
ต่างๆ
ทาให้กลับสูภ่ าวะปกติโดยมีการสูญเสียน้อยทีส่ ดุ
การดาเนินการเมือ่ เกิดเหตุฉุกเฉิน
Disaster Recovery Plan
Business Continuity Plan
Incident
Primary
System
Incident Response Plan
Secondar
y System
องค์ประกอบของแผนสารองฉุกเฉิน
แผนรับมือเหตุฉกุ เฉิน(Incident
Response Plan)
แผนรับมือภัยพิบตั ิ
(Disaster Recovery Plan)
แผนการดาเนินธุรกิจอย่างต่อเนื่อง
(Business Continuity Plan)
• มุ่งเน้นการดาเนินการเมื่อเกิดเหตุฉุกเฉิ นโดยทันที
• มุ่งเน้นการกอบกูร้ ะบบหลักให้เป็ นปกติหลังเกิดภัย
พิบตั ิต่างๆ
• มุ่งเน้นการทางานที่ระบบสารองให้ทดแทนระบบ
หลักได้
Contingency Planning
แผนรับมือเหตุฉุกเฉิน
(INCIDENT RESPONSE PLAN)
Incident Response Plan

เมือ่ เกิดเหตุการณ์ (event) ในระบบ จะมีการกาหนดว่าเป็ นเหตุฉุกเฉิน
(incident) เมือ่
• เหตุการณ์ดงั กล่าวก่อให้เกิดความเสียหายต่อทรัพย์สนิ สารสนเทศ
• เหตุการณ์ดงั กล่าวมีโอกาสสาเร็จสูง


รายการกระบวนการและขัน้ ตอนเพือ่ รับมือและลดผลกระทบจากเหตุ
ฉุกเฉิน
เป็ นการดาเนินการแบบตอบสนอง (reactive) ไม่ใช่การป้องกัน
(preventive)
ระดับของเหตุการณ์



เหตุการณ์ (Event)
เหตุฉุกเฉิน (Incident)
ภัยพิบตั ิ (Disaster)
การดาเนินการตามแผนรับมือเหตุฉุกเฉิน
ก่อนเกิดเหตุ
ฉุกเฉิ น
เมื่อเกิดเหตุ
ฉุกเฉิ น
หลังจากเกิด
เหตุฉุกเฉิ น
ก่อนเกิดเหตุฉุกเฉิน

ร่างกระบวนการทางานที่
• สามารถลดความเป็ นไปได้ในการเกิดเหตุ
• ช่วยให้การระงับเหตุทาได้งา่ ยขึน้
• ลดความเสียหายจากเหตุฉุกเฉินทีจ่ ะเกิดขึน้

เช่น
•
•
•
•
•
กาหนดตารางการสารองข้อมูล
เตรียมการกูค้ นื ระบบจากภัยพิบตั ิ
การฝึกอบรม
ทบทวน และทบสอบแผน
จัดทา business continuity plans
เมือ่ เกิดเหตุฉุกเฉิน




กาหนดกระบวนการทีส่ ามารถระงับเหตุฉุกเฉินหรือลดความเสียหายจาก
เหตุฉุกเฉิน
บันทึกเป็ นลายลักษณ์อกั ษร
ดาเนินการแบ่งแยกงานออกเป็ นส่วนๆ
กาหนดงานให้แก่บุคคลทีเ่ กีย่ วข้อง
หลังจากเกิดเหตุฉุกเฉิน



จัดทาเอกสารขัน้ ตอนการตอบสนองต่อเหตุฉุกเฉินทีเ่ กิดขึน้
จัดแบ่งหน้าทีต่ ่างๆ ในการแก้ไขเหตุฉุกเฉินทีเ่ กิดขึน้ อย่างชัดเจน เป็ น
ลาดับ
บันทึกการดาเนินการทีเ่ กีย่ วกับการติดต่อกับหน่วยงานภายนอกอย่าง
ละเอียด
การตรวจหาเหตุฉุกเฉิน


เหตุการณ์ต่างๆ ทีเ่ กิดขึน้ ในระบบเป็ นได้ 2 กรณี
• เหตุการณ์ปกติทเ่ี กิดขึน้ เป็ นประจา
• เหตุฉุกเฉินทีเ่ กิดขึน้ เป็ นบางครัง้
เหตุฉุกเฉินจะพบได้จาก
• รายงานจากผูใ้ ช้งานระบบ ระบบ IDS
• ระบบสแกนไวรัส
• ผูด้ แู ลระบบ
การระบุเหตุฉุกเฉิน

ตัวชีว้ ดั ทีม่ คี วามเป็ นไปได้
ว่าจะเกิดปญั หา
•
•
•
•
ไฟล์ทไ่ี ม่คุน้ เคย
โพรเซสทีไ่ ม่คนุ้ เคย
การใช้ทรัพยากรทีผ่ ดิ ปกติ
ระบบหยุดทางานแบบ
ผิดปกติ
• การทางานผิดช่วงเวลา
• บัญชีผใู้ ช้ใหม่ทไ่ี ม่รทู้ ม่ี า
• รายงานการโจมตี

ตัวชีว้ ดั ทีแ่ จ้งปญั หาชัดเจน

มีการใช้งานบัญชีผใู้ ช้ทถ่ี กู ระงับใช้

การเปลีย่ นแปลง logs
แตกต่างจากปกติ
มีโปรแกรม hacker tools ใน
ระบบ
มีการแจ้งเตือนจากผูร้ ว่ มงาน
การแสดงตัวของ hacker



ผลกระทบจากเหตุฉุกเฉิน
ขาด confidentiality
ขาด integrity
ขาด availability
เกิดการทางานทีฝ่ า่ ฝินนโยบาย
เกิดการทางานทีฝ่ า่ ฝืนกฎหมาย
ความรุนแรงของเหตุฉุกเฉิน


เหตุฉุกเฉินจะมีผลกระทบต่อระบบมากขึน้ เมือ่ ไม่สามารถควบคุมเหตุได้
จากข้อมูลของการทา business impact analysis จะบอกได้วา่ เหตุฉุกเฉิน
นัน้ มีระดับความรุนแรงเป็ นภัยพิบตั หิ รือไม่
การบันทึกเหตุฉุกเฉิน




เมือ่ เกิดเหตุฉุกเฉินในระบบให้บนั ทึกตามหลักการ who, what, when,
where, why and how
จดบันทึกเพือ่ เป็ นกรณีศกึ ษา
บันทึกข้อมูลหลังจากทีพ่ บสาเหตุของปญั หา มีการดาเนินงานทีถ่ ูกต้อง
และได้ผลลัพธ์ของการดาเนินงาน
มีรายละเอียดเพียงพอให้นาไปใช้งานเมือ่ เกิดเหตุการณ์ดงั กล่าวอีกครัง้ ได้
อย่างรวดเร็ว
กลยุทธในการควบคุมเหตุฉุกเฉิน
ปิ ดการเชื่อมต่อเครื อข่าย
ระงับใช้บางบัญชีผใู้ ช้
เพิ่มกฎในการเข้าถึงเครื อข่ายบางเครื อข่าย หรื อบางโพรโตคอลใน Firewall
ตั้งค่า Firewall เพื่อปิ ดกั้นการเชื่อมต่อที่มีปัญหา
ปิ ดการใช้งานบริ การหรื อโพรเซสที่มีปัญหาชัว่ คราว
ปิ ดบริ การเครื่ องคอมพิวเตอร์หรื อเครื อข่ายทั้งหมด
แผนรับมือภัยพิบตั ิ
DISASTER RECOVERY PLAN
การกูค้ นื ระบบจากภัยพิบตั ิ


เหตุฉุกเฉินจะกลายเป็ นภัยพิบตั เิ มือ่ :
• ไม่สามารถควบคุมผลกระทบจากเหตุฉุกเฉินนัน้ ๆ ได้
• ระดับของความรุนแรงและความเสียหายทีเ่ กิดขึน้ อยูใ่ นระดับสูง
• ไม่สามารถกูค้ นื ระบบได้อย่างรวดเร็ว
DRP : การจัดเตรียมสาหรับภัยพิบตั ทิ จ่ี ะเกิดขึน้ กาหนดวิธกี ารกูค้ นื ระบบ
และกระบวนการทางาน
การวางแผนสาหรับภัยพิบตั ิ


ั
ใช้เหตุการณ์สมมุตแิ ละการประเมินผลกระทบเพือ่ แยกแยะระดับปญหา
ต่างๆ
รายละเอียดใน DRP:
• บทบาท หน้าทีแ่ ละความรับผิดชอบต้องชัดเจน
• การดาเนินการกับการแจ้งเตือนต่างๆ และการแจ้งต่อผูท้ เ่ี กี่ยวข้อง
ทราบ
• ลาดับการสังการในเหตุ
่
การณ์ทช่ี ดั เจน
• การจดบันทึกเหตุภยั พิบตั ิ
• ขัน้ ตอนการดาเนินการในการลดผลกระทบ
• การดาเนินการอื่นสาหรับระบบงานเมือ่ เกิดภัยพิบตั ิ
การดาเนินการเมือ่ เกิดภัยพิบตั ิ



ถ้าภัยพิบตั ทิ าให้อุปกรณ์ หรือชิน้ ส่วนต่างๆ เสียหายให้ซ่อมแซมทันที
ถ้าภัยพิบตั ทิ าให้ระบบงานหลักไม่สามารถทางานต่อได้เลย ให้ดาเนินการ
ตามแผน BCP
สิง่ ทีเ่ กิดขึน้ มักอยูน่ อกแผนทีก่ าหนดไว้เสมอ ดังนัน้ DRP ควรมีความ
ยืดหยุน่
ตัวอย่าง Disaster Recovery Plan








ชือ่ ของหน่วยงาน
วันทีด่ าเนินงาน หรือปรับปรุงการวางแผนและวันทดสอบ
เจ้าหน้าทีห่ น่วยงานทีจ่ ะเรียกในกรณีทเ่ี กิดภัยพิบตั ิ
บริการฉุกเฉินทีจ่ ะเรียกในกรณีทเ่ี กิดภัยพิบตั ิ
สถานทีต่ งั ้ ของอุปกรณ์ฉุกเฉิน
แหล่งทีม่ าของอุปกรณ์ทใ่ี ช้งานนอกสถานที่
หน่วยงานการกูค้ นื ภัยพิบตั ิ
การประเมินการติดตาม
แผนการดาเนินธุรกิจต่อเนื่อง
BUSINESS CONTINUITY PLAN
แผนการดาเนินธุรกิจต่อเนื่อง





เพือ่ ให้มนใจว่
ั ่ าการทางานหลักสามารถดาเนินการได้เมือ่ เกิดภัยพิบตั ิ
BCP ควรบริหารจัดการโดยผูบ้ ริหารสูงสุดขององค์กร
แผนในช่วงเวลาเดียวกันกับ DRP
เป็ นการสร้างการทางานหลักในสถานทีอ่ ่นื (DRP มุง่ เน้นทีก่ ารแก้ไข
ให้ระบบเดิมกลับมาทางานได้อย่างรวดเร็ว)
การดาเนินงานหลัก คือ การกาหนดการทางานหลักของระบบงานและ
การกาหนดทรัพยากรทีจ่ าเป็ นต้องใช้ในการดาเนินการ
กลยุทธในการสร้างความต่อเนื่องของธุรกิจ


มีหลายกลยุทธ ขึน้ อยูก่ บั งบประมาณในการดาเนินการ
Three exclusive-use options:
• Hot sites
• Warm sites
• Cold sites

Four shared-use options:
•
•
•
•
Timeshare
Service bureaus
Mutual agreements
Specialized alternatives
Exclusive Use Options
Hot Sites
• สร้างระบบสารองทีเ่ หมือนกับระบบหลัก
พร้อมทางานแทนได้ทนั ที
Warm Sites
• เหมือนกับ hot site แต่มกี ารใช้งานเพียงบาง
แอปพลิเคชันเท่
่ านัน้
Cold Sites
• มีบริการพืน้ ฐานทีพ่ ร้อมใช้งานไม่มากและมี
ทรัพยากรจากัด
Shared Use Options
Timeshares
Service Bureaus
• คล้ายกับ Exclusive Use แต่มกี ารเช่าใช้งานเป็ นบาง
ช่วงเวลา
• มีหน่วยงานทีจ่ ะให้บริการด้านกายภาพทัง้ หมด
Mutual Agreements
• มีการตกลงเซ็นสัญญาระหว่าง 2 องค์กรเพือ่ ช่วยเหลือ
กันในภาวะภัยพิบตั ิ
Specialized alternatives:
• มีการเปลีย่ นสถานทีด่ าเนินงานไปเรือ่ ยๆ
• จัดเก็บข้อมูลสาคัญไว้ภายนอกระบบงานหรือต่างพืน้ ที่
การเก็บข้อมูลไว้ภายนอกองค์กร


เพือ่ ให้องค์กรสามารถกูค้ นื ข้อมูลได้อย่างรวดเร็ว
การทางานประกอบด้วย:
• Electronic vaulting: ส่งข้อมูลปริมาณมาก แบบ batch ไปยังไซต์
ภายนอก
• Remote Journaling: แอปพลิเคชันส่
่ งข้อมูลไปไซต์ภายนอกทันที
• Database shadowing: ทีฐ่ านข้อมูลทาการ duplicate ไปยังไซต์
ภายนอกแบบออนไลน์
Disaster Recovery and Business Continuity Planning
Contingency Plan Implementation Timeline
Major Tasks in Contingency Planning
การวิเคราะห์ผลกระทบต่อธุรกิจ
(Business Impact Analysis : BIA)



เมือ่ การโจมตีสาเร็จจะส่งผลอย่างไรต่อธุรกิจ
ใช้ขอ้ มูลเกีย่ วกับระบบ ภัยคุกคาม และรายละเอียดการโจมตีทส่ี ง่ ผล
กระทบต่อการทางานของระบบ
ทีมงานสารองฉุกเฉินใช้ BIA เพือ่ :
• ระบุการโจมตีต่างๆ
• วิเคราะห์หน่วยธุรกิจต่างๆ
• กาหนดลักษณะของการโจมตีทส่ี าเร็จ
• ประเมินความเสียหายทีเ่ กิดขึน้
• แยกแยะแผนสารองต่างๆ อย่างเหมาะสม
การบริหารความเสีย่ ง (RISK MANAGEMENT)
การบริ หารความเสี่ ยง
ผลลัพธ์ทต่ี อ้ งการจากการบริหารความเสีย่ งแต่ละขันตอน
้






สินทรัพย์สารสนเทศ (HW, SW, Network, Data, People, Process)
ภัยคุกคามต่างๆทีเ่ กิดขึน้ ความรุนแรง และความถีใ่ นการเกิด
ช่องโหว่
การกาหนดวิธกี ารควบคุมและ%ทีค่ วบคุมได้
การคานวณความเสีย่ ง และเรียงลาดับความเสีย่ งเพือ่
ดาเนินการตัดสินใจควบคุมความเสีย่ ง
ภัยคุกคาม

ปจั จัยอื่นๆ ทีก่ ระทบต่อระบบงาน
• ข้อผิดพลาดจากการกระทาของ
มนุษย์
• การบุกรุก
• การกรรโชกข้อมูลสารสนเทศ
• การก่อวินาศกรรมหรือการทาลาย
• การโจรกรรม
• การโจมตีซอฟต์แวร์
• ภัยธรรมชาติคุณภาพของบริการ




ข้อผิดพลาดทางเทคนิคของฮาร์ดแวร์
ข้อผิดพลาดทางเทคนิคของซอฟต์แวร์
เทคโนโลยีลา้ สมัย
การโจมตีต่างๆ เช่น Malicious
Code,Password Crack,Brute
Force,Dictionary,Denial-ofService (DoS) and Distributed
Denial-of-Service
(DDoS),Spoofing,Man-in-theMiddle,Spam เป็ นต้น
ช่องโหว่

กระบวนการทางาน กฎ ระเบียบ ซอฟต์แวร์ หรือคอมโพเนนต์ใดๆ ที่
ทาให้ภยั คุกคามต่างๆ สร้างความเสียหายได้ เช่น
•
•
•
•
ช่องโหว่ใน Web Server ทีท่ าให้แฮกเกอร์เจาะเข้าสูร่ ะบบได้
ช่องโหว่ใน Network Policy ทีท่ าให้เกิดการเชื่อมต่อทีผ่ ดิ ปกติได้
การให้สทิ ธิในระบบงานทีม่ ากเกินกว่าหน้าทีข่ องบุคลากร
การกาหนดการไหลของกระบวนการทางานทีอ่ าจทาให้เกิดคอขวด หรือมี
ผูร้ บั ผิดชอบเพียงผูเ้ ดียว
• การขาดนโยบาย หรือมีนโยบายด้านการรักษาความปลอดภัยทีห่ ละหลวม
เกินไป
• ฯลฯ
การควบคุม



การใช้ Security Infrastructure ต่างๆ ลดโอกาสการเกิดภัยคุกคาม
หรือลดความเสียหายทีอ่ าจเกิดขึน้
Assessment / Hardening ลดช่องโหว่ในระบบงาน
การทา Preventive Control เช่น
• กาหนด Maintenance Plan
• Security Awareness Training
• การกาหนดนโยบายต่างๆ ตาม ISO/IEC 27001
การตอบสนองต่อภัยคุกคามต่างๆ
ปญั หาความปลอดภัยในระบบ

การเกิดปญั หาความปลอดภัยในระบบต้องมีองค์ประกอบทัง้ 2 ส่วน
อย่างครบถ้วน
• เหตุ คือ ช่องโหว่ในระบบ
• ปจั จัย คือ การโจมตีไปยังช่องโหว่ของระบบ
ปญั หาความปลอดภัยในระบบ

ช่องโหว่ + การโจมตีชอ่ งโหว่ = ปญั หาความปลอดภัยระบบ
System
System Problem
ช่องโหว่
ภัยคุกคาม
การลดปญั หาในระบบ




มักใช้หลักการของ PDR ในการสร้าง Availability
ลดช่องโหว่ในระบบ
การควบคุมเพือ่ คัดกรองการโจมตีไม่ให้เข้าสูร่ ะบบ
การตอบสนองต่อปญั หาอย่างรวดเร็ว
กระบวนการในการลดปญั หาในระบบ




ทา Assessment เพือ่ ทราบปริมาณของช่องโหว่ในระบบ
ทา Hardening เพือ่ ลดปริมาณช่องโหว่ในระบบ
ทาการ Filter การโจมตีทเ่ี ข้ามาในระบบ
ทาการ Monitoring เพือ่ ให้ทราบถึงการโจมตีชอ่ งโหว่ในระบบ