[论文解读] Security Incident Response Criteria: A Practitioner's Perspective

George Grispos, William Bradley Glisson+1 more|arXiv (Cornell University)|Aug 11, 2015

Information and Cyber Security参考文献 14被引用 25

一句话总结

本文提出了安全事件响应标准（SIRC），这是一个由从业者制定的框架，用于评估和改进安全事件响应流程。基于对一家全球财富500强企业的访谈以及相关文献，SIRC提供了可操作的标准，用于评估现有响应解决方案，并指导未来提升事件处理效率。

ABSTRACT

Industrial reports indicate that security incidents continue to inflict large financial losses on organizations. Researchers and industrial analysts contend that there are fundamental problems with existing security incident response process solutions. This paper presents the Security Incident Response Criteria (SIRC) which can be applied to a variety of security incident response approaches. The criteria are derived from empirical data based on in-depth interviews conducted within a Global Fortune 500 organization and supporting literature. The research contribution of this paper is twofold. First, the criteria presented in this paper can be used to evaluate existing security incident response solutions and second, as a guide, to support future security incident response improvement initiatives.

研究动机与目标

• 填补在评估安全事件响应解决方案方面缺乏实用且基于实证的标准的空白。
• 识别影响企业实际环境中事件响应有效性的关键因素。
• 开发一套适用于多种事件响应方法论的标准化标准。
• 通过提供结构化的评估框架，支持未来的改进举措。
• 弥合理论模型与事件响应实际操作之间的差距。

提出的方法

• 对一家全球财富500强企业中的安全从业者进行了深入的半结构化访谈。
• 收集了关于事件响应实践、挑战和成功因素的实证数据。
• 将研究发现与现有文献相结合，推导出一套全面的响应标准。
• 将标准组织为与事件检测、分析、遏制、清除和恢复相关的主题领域。
• 通过与行业标准对齐以及从业者的反馈，验证了该标准框架。
• 将最终的标准结构化为一种决策支持工具，用于评估和提升事件响应流程。

实验结果

研究问题

• RQ1 在大型企业中，现实世界安全事件响应流程中的关键成功因素是什么？
• RQ2 现有事件响应框架在多大程度上未能解决实际操作中的现实问题？
• RQ3 可以使用哪些标准来客观评估事件响应解决方案的有效性？
• RQ4 如何系统性地将从业者的见解转化为可重复使用的评估框架？
• RQ5 所提出的标准在哪些方面可以指导未来提升事件响应能力？

主要发现

• 本研究识别出12项核心标准，这些标准直接源自一线从业者的实践经验，定义了有效的事件响应。
• 关键标准包括及时检测、准确分类、清晰沟通以及事后分析。
• 由于缺乏对实际操作工作流程的充分依据，许多现有的事件响应框架缺乏实际相关性。
• 由于流程碎片化，组织在协调、工具集成和响应时间方面面临重大挑战。
• SIRC 框架能够一致地评估不同工具和方法论下的事件响应成熟度。
• 从业者强调了文档记录、角色清晰度以及持续改进在提升响应有效性方面的重要性。