Кратко

  • RFC 2350 предлагает CSIRT раскрыть круг обслуживания, каналы, мандат, полномочия, правила и услуги.
  • Такое описание задаёт разумные ожидания. Каждый фактический результат — приём, подтверждение, атрибуция, устранение, восстановление и координация — требует отдельной записи по делу.

RFC 2350 вышел в июне 1998 года как BCP 21, чтобы уменьшить недопонимание между командами реагирования и их сообществами. Его инструментом стал публичный шаблон: название и адрес команды, часовой пояс, рабочее время, ключи, миссия, constituency, спонсирующая организация, полномочия, уровни поддержки, раскрытие информации, связь, услуги, формы и оговорки.

Шаблон делает обещание видимым до кризиса. Он не становится доказательством исполнения после сообщения.

Рабочие часы не равны времени реакции

RFC просит назвать праздники и наличие круглосуточной линии. Отсюда можно понять, входит ли немедленная реакция в ожидаемый сервис. Но отправка, доставка в указанную систему, подтверждение команды и решение о триаже — четыре разных события.

Публичный документ подтверждает канал и заявленные условия доступности. Транспортный журнал, создание тикета, ответ и отметка о классификации подтверждают конкретное дело. Сам RFC допускает изменение поддержки в зависимости от загрузки и полноты информации. «24 часа» не означает «это сообщение обработано в реальном времени».

Сообщение предшествует подтверждённому инциденту

Триаж в RFC 2350 включает интерпретацию и приоритизацию сообщений, сопоставление с текущими инцидентами и тенденциями, а затем помощь в определении, действительно ли произошёл инцидент и каков его масштаб. Проверка следует после поступления.

FIRST CSIRT Services Framework 2.1 разделяет приём сообщения, анализ инцидента и анализ артефактов и цифровых доказательств. Первичная оценка может потребовать данных, выявить ошибку настройки или аппаратный сбой, признать ложную тревогу, передать сообщение другой стороне либо начать анализ.

Номер заявки подтверждает вход утверждения в процесс, но не само утверждение. Для подтверждения нужны сведения и решение, изменившие статус дела.

Круг обслуживания не совпадает с контролем

RFC 2350 отделяет обслуживаемое сообщество от полномочий команды. Общественная CSIRT может быть консультативной. Даже внутренняя команда не обязательно вправе вмешиваться во все системы в своём периметре обслуживания.

Поэтому право принять сообщение не даёт автоматически права изолировать узел, изъять носитель, заставить поставщика, установить исправление или вернуть сервис в эксплуатацию. Команда может советовать, а владелец системы — выполнять; может координировать, не управляя ответом партнёра.

Каждое существенное действие нужно связать с уполномоченным исполнителем и наблюдаемым результатом. Рекомендация сдерживания не является сдерживанием. Просьба удалить закрепление атакующего не доказывает удаления.

Триаж, координация и разрешение — разные действия

RFC делит реагирование на триаж, координацию и разрешение. Триаж оценивает и проверяет. Координация классифицирует информацию по правилам раскрытия и уведомляет стороны по принципу необходимого знания. Разрешение обычно дополнительно или опционально: техническая помощь, устранение причины и последствий, помощь в восстановлении.

Это не автоматическая линия до закрытия. Команда может провести триаж, не управляя системой, уведомить без подтверждения или предложить устранение без проверки конечного состояния. В Security Considerations RFC прямо сказано: документ касается не конкретных реакций на инциденты, а надлежащего описания ответов, которые предлагают CSIRT.

FIRST также разделяет приём, анализ, форензику, смягчение и восстановление, координацию и поддержку кризисного управления. Рамка не оценивает возможности, пропускную способность, зрелость или качество конкретной команды. Общие термины не равны аудиту.

Координация не устанавливает виновника

Правила сотрудничества и раскрытия показывают, с кем команда обменивается сведениями. Они не идентифицируют атакующего. Атрибуция может требовать артефактов, хронологии, инфраструктурных и личностных связей, разведданных, конкурирующих гипотез и институционального либо правового порога.

RFC 3227 отдельно регулирует сбор и архивирование доказательств, включая определение систем и источников. FIRST отделяет анализ инцидента от форензики. Предложение услуги не создаёт доказательства дела.

«Мы принимаем сообщения и координируем» описывает интерфейс. «Мы отнесли это дело к субъекту X» требует датированного вывода, метода, области, уверенности и доказательств.

Восстановление подтверждается проверками

RFC 2350 называет recovery помощью в возвращении систем и сервисов к состоянию до инцидента. Помощь не обязательно передаёт CSIRT выполнение и право окончательного закрытия.

NIST SP 800-61 Rev. 3, окончательно опубликованный в апреле 2025 года, требует выбрать и выполнить меры, проверить средства восстановления, подтвердить критические услуги и штатную работу, наблюдать восстановленные системы, проверить целостность, объявить окончание по критериям и завершить документацию.

Строка в каталоге не доказывает эти шаги. Возвращение экрана входа не подтверждает устранение первопричины, отсутствие скрытой персистентности, целостность данных или согласованность зависимостей.

Источники и границы

  • RFC 2350: основной шаблон и разделение сообщества, полномочий и услуг.
  • FIRST CSIRT Services Framework 2.1: поздняя классификация возможных услуг, не оценка команды.
  • NIST SP 800-61 Rev. 3: современные доказательства выполнения и восстановления.
  • RFC 3227: отдельные рекомендации по сбору и хранению доказательств.

Материал не проверяет названную CSIRT и не утверждает, что заявленная услуга не была оказана. Он лишь отделяет описание от доказательства оказания.