دور Nova DRX
ينسق Nova Detection and Response eXchange إجراءات الاستجابة المدعومة في أدوات العميل الأمنية. يتحقق DRX من الإجراء المقترح والصلاحيات والسياسات والموافقات المطلوبة قبل محاولة التنفيذ.
يسجل DRX سبب بدء الاستجابة والإجراء المقترح والفحوصات والموافقة وتقدم التنفيذ والنتيجة المسجلة. المقترح ليس إذنا بالتصرف، واجتياز الفحص ليس تنفيذا للإجراء. راجع النتيجة التي يبلغ عنها المزوّد قبل اعتبار الاستجابة مكتملة.
مجالات قدرات DRX
- Command Center
- يعرض جاهزية الاستجابة ونشاط المشغّلات والمقترحات وسلامة التنفيذ والفاعلية ضمن السياق التشغيلي.
- Automation Studio
- يتيح للفرق المصرح لها إنشاء مسارات الاستجابة وفحصها والتحقق منها.
- Action Exchange
- يوفّر دليلًا محددًا لنتائج مسمّاة وخاصة بكل مزوّد، بدلًا من أوامر مفتوحة تُنفّذ عن بُعد.
- Integration Hub
- يعرض جاهزية المزوّد والنتائج المدعومة وسلامة الاتصال قبل أن يصبح الإجراء مؤهلًا.
- مقترحات الاستجابة
- يجمع الإجراء المقترح والأنظمة المتأثرة والأدلة والسبب والموافقات المطلوبة للمراجعة.
- الفاعلية والحوكمة
- يحفظ أدلة التنفيذ والنتائج وقرارات الضبط وسجل التغييرات للمراجعة لاحقًا.
تنفيذ الاستجابة ومراجعتها
-
01
المشغّل
استقبل حدثًا أُزيل تكراره أو اقتراحًا جرت مراجعته أو طلبًا يدويًا مصرّحًا به.
-
02
التحقق
افحص Playbook والإجراء المدعوم ونطاق العميل والهدف وجاهزية التكامل.
-
03
المحاكاة
راجع المسار المقصود دون اعتبار المحاكاة إجراءً لدى المزوّد أو استجابة مكتملة.
-
04
الموافقة
طبّق السياسة المُعدّة وأي فصل مطلوب بين مقدّم الطلب والموافق عليه.
-
05
اتخاذ الإجراء
حاول فقط تحقيق نتيجة المزوّد المدعومة لنطاق العميل المتحقّق منه.
-
06
الإثبات
احفظ الطلب والقرار وأدلة التنفيذ والنتيجة المبلّغ عنها وسجل المراجعة.
ضوابط تظل سارية
- نطاق العميل المعتمد
- يظل الإجراء ضمن نطاق العميل الذي تم التحقق منه، ونطاق المؤسسة إن كان محددًا.
- دليل الإجراءات المدعومة
- لا يمكن تنفيذ سوى الإجراءات المدعومة فعليًا لدى المزوّد المحدد.
- محاكاة لا تغيّر الأنظمة
- تختبر المحاكاة مسار الإجراء المقصود، ولا تعتبر أي تغيير لدى المزوّد إجراءً منفذًا.
- سياسة الموافقة
- قد تتطلب الإجراءات عالية التأثير فصلًا موثقًا بين مقدم الطلب وصاحب الموافقة.
- منع التنفيذ عند عدم استيفاء المتطلبات
- يُمنع التنفيذ إذا كان الإجراء غير مدعوم، أو لم تتحقق الجاهزية، أو لم يتوفر الوصول المطلوب للعميل، أو لم تُستوفَ الضوابط.
- سجل الاستجابة
- تظل الضوابط التي طُبّقت والنتيجة التي أبلغ عنها المزوّد متاحة للمراجعة بعد تنفيذ الإجراء.
فئات الإجراءات المدعومة لدى المزوّدين
- إرسال ملخص أمني معتمد إلى أدوات التعاون والبريد الإلكتروني وقنوات فريق المناوبة.
- أنشئ تذاكر أو حوادث في أدوات إدارة الحالات والأمن المدعومة.
- إرسال السجلات الأمنية المعتمدة إلى الوجهات المدعومة للبيانات الأمنية.
- إثراء مؤشرات التهديد المحددة أو مشاركتها عبر مزوّدي Threat Intelligence المدعومين.
- تنفيذ إجراءات احتواء محددة للهوية وEndpoint والشبكة وأحمال العمل السحابية والتخزين والبريد الإلكتروني.
- تنفيذ إجراءات استعادة أو رفع احتواء محددة عندما يدعمها المزوّد وتسمح بها سياسة العميل.
كيفية تقييم DRX بمسؤولية
- اختر مجموعة صغيرة من إجراءات الاستجابة الفعلية وحدد موافقة العميل المطلوبة لكل إجراء.
- تحقق من المزوّد ونوع الهدف والمنطقة وخطة المنتج وصلاحيات الوصول التي يملكها العميل والمتاحة للاختبار.
- اختبر التحقق والمحاكاة والموافقة والنجاح والاكتمال الجزئي والفشل والتراجع، بحسب ما يدعمه الإجراء.
- تحقق من أن السجل النهائي يوضح النطاق والإجراء والقرار ومن نفّذه والنتيجة التي أبلغ عنها المزوّد.
- وجود صفحة عامة لتكامل معيّن لا يعني أن المزوّد مفعّل في بيئة عميل محدد.