Подготовку к DDoS удобно начать с решений, которые команда сможет использовать в момент сбоя: какой сервис восстанавливать первым, как увидеть отклонение, кто вправе менять защиту и кто подтвердит возвращение к нормальной работе. Для заполнения рабочей карточки потребуется владелец сервиса, технический ответственный и представитель ИБ.
1. Какую работу сервиса нужно сохранить?
Выберите один критичный сервис и опишите действие его пользователя: например, вход в личный кабинет или отправку заявки. Это условные примеры; выберите действие, важное для вашего сервиса. Рядом перечислите зависимости, без которых действие не выполнится, и последствия недоступности для организации.
Владелец сервиса определяет приоритет восстановления и допустимые ограничения работы. Техническая команда проверяет, какие компоненты и внешние поставщики обеспечивают этот сценарий. Если приоритеты ещё не согласованы, отметьте это как открытое решение с ответственным.
сервис, критичное действие, зависимости, владелец и приоритет восстановления.
2. Какие данные помогут заметить проблему?
Опишите нормальную работу сервиса и место, где команда видит её показатели. В методичке рассматриваются объём и характеристики сетевого трафика, частота запросов и использование системных ресурсов. Для карточки подготовки добавьте проверку выбранного пользовательского действия: команда должна понимать, доступен ли нужный результат.
Порог срабатывания и интервал наблюдения определите для своего сервиса. В статье нет универсального значения запросов в секунду или срока реакции. При сигнале мониторинга предусмотрите анализ трафика и состояния систем: сама аномалия ещё требует проверки.
показатели, источник данных, условия оповещения, получатель и способ проверить пользовательское действие.
3. Кто принимает решения и держит связь?
Укажите координатора инцидента и замену на время его отсутствия. Разделите полномочия: кто меняет правила фильтрации или маршрутизацию, кто обращается к провайдеру, кто сообщает о состоянии сервиса внутри организации. Участники должны знать, где находится актуальный план и каким каналом пользоваться, если основной канал связи недоступен.
Для действий, которые могут затронуть доступ пользователей, заранее запишите условия согласования и ответственного за возврат прежних настроек. Порядок согласования и возврата настроек проверьте с учётом устройства вашей команды.
координатор, заместитель, полномочия, основной и резервный каналы связи.
4. Что именно делает провайдер защиты?
Проверьте, какие ресурсы и сценарии покрывает выбранная услуга, как подключается защита и какие действия остаются за вашей командой. Зафиксируйте порядок обращения, действующие контакты, договорённости о реакции и информацию, которую потребуется передать при инциденте. Характеристики услуги и сроки берите из вашего договора и согласованной процедуры.
Методичка предлагает оценивать производительность, поддержку, стоимость, настройку и мониторинг. Превратите это в проверку применимости к выбранному сервису. Согласуйте с провайдером порядок проверки подключения и взаимодействия до инцидента; зафиксируйте результат и обнаруженные ограничения.
границы защиты, контакт поддержки, условия активации, обязанности сторон и дата последней проверки.
5. По каким признакам работа восстановлена?
Определите порядок восстановления критичных функций и условия завершения инцидента. Вернитесь к пользовательскому действию из первого пункта: кто проверит его выполнение, по каким данным и за какой согласованный период? Отдельно назначьте человека, который подтвердит возврат к нормальной работе и завершение временных изменений.
Раздел методички о восстановлении связывает возвращение доступности с анализом инцидента и пересмотром процедур. Общий подход согласуется с NIST SP 800-61 Rev. 3: подготовка, обнаружение, реагирование и восстановление рассматриваются в рамках управления киберрисками. Это дополнительный источник, а не утверждение о соответствии организации стандарту.
проверяемый результат, порядок восстановления, подтверждающий сотрудник и условия закрытия инцидента.
6. Как команда проверит этот план?
Начните с обсуждения одного сценария за столом. Ведущий сообщает о недоступности выбранного сервиса; участники по очереди показывают, какие данные откроют, кому позвонят и какое решение примут. Нагрузку на системы в таком упражнении не создают. Такое обсуждение не проверяет пропускную способность и эффективность фильтрации.
Запишите, где не хватило контакта, полномочия или данных. Для каждой такой находки назначьте ответственного и срок, затем повторно проверьте исправление. Если нужна техническая проверка защиты, её область, условия, ограничения и остановку отдельно согласуют с владельцами систем и провайдером.
дата упражнения, участники, обнаруженные пробелы, ответственные и следующая проверка.
Первый шаг — заполнить одну карточку
Возьмите один сервис и заполните памятку вместе с его владельцем. Для неизвестных пунктов оставьте ответственного и дату решения. После обсуждения сохраните актуальную карточку там, где её найдут участники реагирования.
Скачать памятку для подготовки · PDF · 1 страница Полная методичка на Яндекс ДискеИсточники
- Методы и стратегии обороны от DDoS-атак
Артём Избаенков · 82 страницы. Номера в ссылках на разделы относятся к страницам файла PDF, начиная с первой страницы.
- NIST SP 800-61 Rev. 3
Опубликовано . Проверено .
