Պատահական պլեյբուսներ և սցենարներ

1) Նշանակումներ

Ձևավորել մեկ, տարբերակված պլեյբուսների (runbooks) մի շարք արագ և համաձայնեցված գործողությունների համար Վիրահատությունների և Կոմպլանսի սահմաններում 'հայտնաբերումից մինչև վերականգնումը, հաղորդակցությունները, իրավաբանական ծանուցումները և բարելավումները։

2) Մոսկովյան պլեյբուկա (սցենարի քարտ)

Գյուղում յուրաքանչյուր պլեյբուկ կազմված է մեկ ձևանմուշով

ID: PB- <code >/Version: v <MAJOR. MINOR >/Owner: <role/name>
Title: <short and unambiguous>
Scope: <technology/payments/information security/compliance/PR>
Severity: S1    S2    S3    S4 (activation criteria)
Detection: <metrics/alerts/log signatures/sources>
Start triggers: <conditions and thresholds>
RACI: IC / Tech Lead / Sec Lead / Comms / Legal / Payments / CS / Data
Response steps:
0-15 min: <start actions, war room, holding statement>
15-60 min: <stabilization/bypasses/reserves/first external message>
1-4 hours: <in-depth diagnostics/fixes/targeted notifications>
Up to 24 hours: <final update/compensation/reports/retro slot>
Communications: <templates for status, players, partners, regulators, media>
Artifacts: <timeline, logs, dumps, screenshots, tickets, reports>
Legal: <to/when to notify, formats, languages>
Exit criteria: <conditions for closing the incident>
MTTD/MTTA/MTTR targets: <numerical benchmarks>
Prevention: <CAPA and backlog links to epics>
Last workout: <date/results/remarks>

3) Լրջության և եռյակի մատրիցը (ռեզյումե)

S1 (կրիտիկական) 'Peter/դրամապանակի գլոբալ արագությունը, PII/findan արտահոսքը, վճարումների զանգվածային անհասանելիությունը, կարգավորող հետազոտությունները։

Ապդեյտա '15 րոպե առաջին; 30-60 րոպե հետո։

S2 (բարձր) 'տարածաշրջանի հոսքերը, վճարումների հակադարձման նվազումը> 10 տոկոսը, ապացուցված խոցելիությունը առանց արտահոսքի։

S3 (միջին) 'առանձին պրովայդերների/ֆիչի քայքայումը, CS դիմումների աճը> 30 տոկոսը բազային։

S4 (ցածր) 'տեղական թերություններ, միասնական բողոքներ։

Եռյակը (արագ չեկ) 'փաստ։ մասշտաբով։ միջոցների/տվյալների անվտանգությունը։ իրավաբանական ժամանակներ։ պահուստային երթուղիներ։ առաջին հաղորդագրությունը և հաջորդ ապդեյթի ժամանակը։

4) Դերեր և հաղորդակցություններ

IC (Incident Commander), թայմլայնի/լուծումների սեփականատերը։

Tech Lead (MSE/Platform) 'ախտորոշում/ֆիքսներ/շրջադարձային ճանապարհներ։

Intel Lead (AppSec/Blue Team) 'ֆորենզիկա/բեռնարկղը/IB-օրգանների ծանուցումը անհրաժեշտության դեպքում։

Payments Lead: PSA/բանկեր, մուլտֆիլմեր, ձեռքով։

Legal/Compliance: կարգավորող ծանուցումներ, ձևակերպումներ, ժամկետներ։

Comics Lead: կարգավիճակ-էջ, e-mail/SMS/push, affiliats, մեդիա։

CS/CRM Lead: մակրո, փոխհատուցում, թարգեթ հատվածներ։

Մոսկվա/Analyt.ru: ազդեցության, հաշվետվությունների, MTT վերահսկողության գնահատում։

Մեկ ձայն 'ցանկացած արտաքին հաղորդագրություններ Comics + Legal-ի միջոցով։

5) Համընդհանուր չեկի թերթիկներ

5. 1 Պլեյբուկի արձակումը (0-15 րոպե)

• Նշանակված IC, բաց war room, նշանակված է ստենոգրաֆիստ։
• Բացահայտվում է լուրջ (S1-S4), ազդեցության շառավղը։
• Ընդունվել են պաշտպանիչ միջոցներ (ֆիչեֆլագներ, լիմիտներ, ռիսկի մեջ ստոպա եզրակացություններ)։
• Diholding stations և ETA հաջորդ apdeit.
• Ստեղծվել են թիկետներ արտեֆակտների ամրագրման վրա (լոգներ/տիկնայք/սկրինշոտներ)։

5. 2 Առաջին արտաքին հաղորդագրությունից առաջ

• Փաստերը ապացուցված են, գաղտնիքները/PII-ը բացառված են։
• Ձևակերպումների իրավաբանական ստուգում։
• Հստակ հրահանգներ «ի՞ նչ անել հիմա»։
• Հաջորդ ապդեյթի ժամանակը պարզ է։

5. 3 Նովոսիբիրսկ

• Արմատը վերացված է/փոխհատուցող միջոցները ներդրված են։
• Փոխհատուցումը հաշվարկված է, հակասական գործարքները մշակվում են։
• Վերջին զեկույցը/կարգավիճակը նորարարված է; ռետրո նշանակված է 387 օր։
• CAPA կետերը ստեղծվել են սեփականատերերի և ժամկետների հետ։

6) Տիպիկ պլեյբուսներ (կատալոգ)

PB-SEC-01 ՝ Տվյալների արտահոսք/վերջնական գրառումների փոխզիջում (S1)

Դետեկտիվ 'մուտքերի անոմալիաներ, EDR/WAF գործիքներ, բողոքներ հաշիվների գրավման, ֆորումի արտահոսքի մասին։

0-15 րոպե 'բարձրացված համակարգերի մեկուսացում; գաղտնիքների լուծարումը; անջատել փխրուն հոսանքները; MFA քարոզարշավը։

15-60 րոպե 'նշված ծանուցումները։ առաջին հանրային հաղորդագրությունը; արտեֆակտների ամրագրում ֆորոիդիկայի համար։

1-4 ժամ 'PII հասանելիության աուդիտ; հարցումներ պրովայդերներին/ամպերին; կարգավորող ծանուցումների պատրաստումը։

Մինչև 24 ժամ 'մանրամասն զեկույցը, կոդավորման փոփոխությունը, գաղտնաբառերի նորարարությունը, մոնիտորինգի ընդլայնումը։

Հաղորդակցություն 'կարգավիճակ-էջ, e-mail-ը, որը ազդում է, ավելացված, անհրաժեշտության դեպքում' Q&A մեդիա

Իրավաբանորեն, կարգավորիչների/բանկերի/PBS ծանուցումները ժամանակին։

Ելքի չափանիշները 'ռիսկը տեղայնացված է; բոլոր հոսանքները փոխարինվում են. խաղացողներին ուղարկվել են հրահանգներ. ապացուցված չէ/սահմանափակ վնասը։

Կանխարգելումը 'bug bounty, hardening, DLP, գաղտնի կառավարում։

PB-IV-02: Էքսպորտային ճգնաժամը (PFC/բանկը անհասանելի է) (S1/S2)

Դետեկտիվ 'auth-rate անկումը, ձախողումների աճը, եզրակացությունների հերթը։

0-15 րոպե 'PFC/երթուղիների տեղափոխումը; փափուկ դադարեցնել մեքենայի եզրակացությունները. Բանկեր «այլընտրանքային մեթոդներ» տոմսարկղում։

15-60 րոպե 'առաջին արտաքին հաղորդագրությունը (տոմսա/կարգավիճակ); VIP/խոցելի խմբերի գերակայությունը. կապը PSA-ի հետ։

1-4 ժամ 'սահմանափակումների վերահաշվարկ; փոխհատուցում անհարմարության համար. զեկույցը։

Մինչև 24 ժամ 'վերջնական զեկույցը; բարձրանալ SLA; հավասարակշռության կանոնների նորարարություն։

Կանխարգելումը 'մուլտֆիլմ-էկվեյրինգ, health-winks-, auto-rebalans։

PB-NET-03: DDoS/ցանցի զանգվածային քայքայումը (S1)

0-15 րոպե 'միացրեք anti-DDoS պրոֆիլները; rate-limits/capping; CDN/WAF պաշտպանիչ կանոնները; ժամանակավորապես անջատել ծանր էնդպոինտները։

15-60 րոպե 'գեո ֆիլտրեր/սև ցուցակներ; հաղորդակցություն պրովայդերի հետ; առաջին հաղորդագրությունը տեղադրված է ETA-ի հետ։

1-4 ժամ 'ճակատների մեծացում; Կանարյան ստուգումներ; հարձակման հեռաչափության վերլուծություն։

Կանխարգելումը 'www.DDoS ուսուցումներ; հարմարվողական պրոֆիլներ; պահեստային ASN/CDN։

PB-GAME-04: Խաղի պրովայդերի ձախողումը (S2/S3)

Դետեկտիվ 'API պրովայդերի սխալների աճը, CS կոչերի աճը ռուսական թայթլաների վրա։

Քայլերը 'ժամանակավորապես թաքցնել բարձրացված խաղերը։ ցույց տալ/փոխարինում; հավասարակշռությունների համաժամացում; պրովայդերի և խաղացողների ծանուցում։

Կանխարգելումը 'fail-open/close ռազմավարություն, կոդավորման կանխում, խաղերի health-պիտակավորում։

PB-REG-2019 ՝ Կարգավորող (S1/S2)

Քեյսին 'բոնուսային պայմանների խախտումը, KYC/KYB ձախողումները, գովազդի խախտումը։

Քայլերը 'freeze հակասական մեխանիկա; խորհրդատվություն Legal/Compliance; չեզոք ձևակերպումներ; հաշվետվություններ ըստ ձևանմուշների։

Կանխարգելումը 'pre-clearts պրոմո, ռուսական T&C աուդիտներ։

PB-FRD-06: Խարդախ օղակը/abuz (S2)

Դետեկտիվ 'մուլտիկաունտինգի աճը, բոնուս աբյուզը, հիբրիդային անոմալիաները։

Քայլերը 'դեպոզիտների ժամանակային լիմիտներ/եզրակացություններ; 07 KYC; dewais/www./IP կապի արգելափակում; ռիսկի զեկույցը։

Հաղորդակցություն 'անհատական ծանուցումներ; խուսափել հակաֆրոդ տրամաբանության բացահայտումից հրապարակայնորեն։

Կանխարգելումը 'վարքագծային մոդելներ, հաշվարկային վերլուծություն, velocity ֆիլտրեր։

PB-IV-2019 ՝ Տվյալների ամբողջականությունը/հավասարակշռությունների վերակենդանացումը (S1/S2)

Քայլերը 'դրամապանակի թարգմանությունը «safe-mode» -ում։ վտանգավոր վիրահատությունների արգելք; վերականգնումը ամսագրերից/սարքավորումներից; ագրեգատների շրջանակը; անձնական ծանուցումներ։

Կանխարգելումը 'երկչափ համայնքներ/idempotent, event-sourcing, invariants։

PB-AFF-2019 'Աֆֆիլիատների թրքինգի նվազումը (S3)

Քայլերը 'պիքսելների/հետբեկների երիկամներ; փոխհատուցման հաշվետվություններ; ծանուցումներ ժամանակավոր գործընկերության գործակիցները։

Կանխարգելումը 'հակադարձ, պահեստային կոլեկտիվներ։

PB-PR-2019 'Հեղինակության փոթորիկ (S2/S3)

Քայլերը 'միասնական դիրք; փաստարկներ; Q&A; խուսափել բանավեճերից մեկնաբանություններում. պատրաստել լոնգ ռիդ փաստերով։

Կանխարգելումը 'լրատվամիջոցները, «dark site» փաստերով։

PB-PHI-10: Fishing/կեղծ կայքեր (S2)

Քայլերը 'ապացույցների հավաքումը, գրանցողների/հանրակացարանների ծանուցում; նախազգուշացում խաղացողներին; հակաֆիշինգի էջերի նորարարությունը; DMARC/Brand Indicators.

Կանխարգելումը 'հիբրիդային նմանություններ, գործընկերություն հակաֆիշինգի պրովայդերների հետ։

7) Հաղորդագրությունների ձևանմուշները (արագ կոմպոզիցիաներ)

Holding statics (արտաքին, 242 տող)

Մանրամասն ապդեյթ (հետո)

Մոսկվան/աֆֆիլիատներին. Կարճ բրիֆը «որ/ինչպես է ազդում թրքինգի/ժամանակավոր միջոցների/ETA» վրա։

Կարգավորիչ/բանկեր/PSA: պաշտոնական ծանուցում ՝ փաստեր, միջոցներ, հաճախորդների ազդեցություն, կանխման պլան, վերջնական զեկույցի ժամանակահատվածը։

8) Մետրիկները և նպատակները

Հայտնաբերումը ՝ MTTD, ազդանշան-ազդանշան-ազդանշան ալերտներ։

Արձագանքը ՝ MTTA, TMS (Time-to-statium), SLA-ի ապդեյտների տոկոսը։

Վերականգնումը 'MTTR, RTO/RPO տուժած ծառայությունների վրա։

Ազդեցությունը 'GGR-ի, chargeback-ի վնասված խաղացողները/գործարքները։

Հաղորդակցություն ՝ բաց/click-rate, ռուսական, կրկնվող դիմումների մասը, CSAT/DSAT։

Կոմպլասենսը 'պարտադիր ծանուցումների ժամանակին, արտեֆակտների ամբողջությունը։

9) Արտեֆակտները և ապացույցների հիմքը

Նվազագույն հավաքածուն պահպանվում է թիկետի/ռեպոզորիայի մեջ։

որոշումների և գործողությունների timline (րոպեանոց ճշգրտություն);

լույսեր/տիկնայք/սկրինշոտներ/գրաֆիկների արտահանումը;

խմբակցությունների/բիլդների տարբերակները;

հաղորդագրությունների և ցուցակների պատճենները.
նշված հաշիվների/գործարքների ցուցակները.

իրավաբանական ծանուցումներ (չեռնիվներ/ուղարկում/պատասխաններ)։

10) Գործիքներ և կոմպոզիցիաներ

Բոտ '«/declare », «/severity S1.. S4', »/windate <տեքստ>, «/close»։

Կարգավիճակ-էջ 'հանրային ժապավեններ; ինտեգրումը aptaim սենսորների հետ։

Փոխհատուցում ՝ հատվածների հաշվիչ (ժամանակի, գեոյի, խաղի, բյուջեի մեթոդի)։

SEDR/WAF/SIEM/IDS; SOAR-ում։

Դիտարկումը 'logs/metrics/treiss, error budgets, SLO-dashbords։

11) Պլեյբուկի խողովակաշարի կառավարումը (governae)

Տարբերակումը 'Git-ռեպոզիտորիա, PR գործընթաց, սեմանտիկ տարբերակներ։

Պատասխանատվությունը 'յուրաքանչյուր պլեյբուկն ունի սեփականատեր և պահուստ։

Մոսկվան 'առնվազն եռամսյակային, յուրաքանչյուր S1/S2-ից հետո' չնախատեսված։

Դասընթացները 'table-top անգամ թաղամասում, 71-71-ը քննադատական սցենարներով վեց ամիս։

Համատեղելիություն 'հղում BCP/CPP, Էսկալացիայի մատրիցը, Պատասխանատու խաղը, Ծանուցման քաղաքականությունը։

12) Արագ ներդրման սկիզբը (30 օրվա ընթացքում)

1. Ձևավորել լավագույն 10 ռիսկային օբյեկտների ցուցակը և նշանակել սեփականատերերին։

2. Բոլորի համար քարտը ստանդարտ (բաժին 2) և ավանդի մեջ։

3. Միացրեք պլեյբուսները բոտին (շորտկոներ և հաղորդագրությունների ձևանմուշներ)։

4. Անցկացնել երկու table-top-top ուսուցում (վճարումներ + IB) և 1 108-210 (խաղերի պրովայդերի դեգրադացիա)։

5. Գործարկել dashbord metric (MTD/MTTA/MTTR, TLS, SLA դեղատների տոկոսը)։

6. CAPA-beklog-ի կառուցումը, համաձայնեցնել ժամանակը և RACI-ը։

7. Նետել «չոր» ուղարկումը (խաղացողներին/www.ru/կարգավորողներին) sandbox-ի միջոցով։

Հարակից բաժինները

Ճգնաժամային կառավարում և հաղորդակցություն

Բիզնեսի շարունակականության պլանը (BCP)

Disaster Recovery Plan (DRP)

Էսկալացիայի մատրիցա

Ծանուցման և ալտերտերի համակարգը

Պատասխանատու խաղը և խաղացողների պաշտպանությունը