การตรวจจับและป้องกันการบุกรุก

ประเด็นสำคัญ

1. ติดตั้ง IDS ระดับโฮสต์ (เอเจนต์ OSSEC หรือ Wazuh) ให้ส่งรายงานไปยังคอนโซลที่มีคนเฝ้าดู
2. แจ้งเตือนเมื่อพบไบนารี suid ใหม่ โปรเซสที่ถูกซ่อน และพอร์ตที่กำลังฟังโดยไม่คาดคิด
3. ตรวจสอบการเชื่อมต่อขาออกหาการเรียกกลับแบบคำสั่งควบคุมระยะไกลและการส่งสแปมเป็นชุด
4. บันทึกสถานะไฟล์ตั้งต้นและเปรียบเทียบความต่างของ /bin, /sbin, /lib และ /etc ทุกคืน
5. เชื่อมโยงการแจ้งเตือนจาก IDS เข้ากับการแบนของไฟร์วอลล์และผลตรวจพบมัลแวร์
6. ปรับกฎให้เข้ากับหน้าที่ของเซิร์ฟเวอร์แต่ละเครื่อง เพื่อให้สัญญาณชัดและเสียงรบกวนน้อย
7. เก็บบันทึกด้านความปลอดภัยไว้อย่างน้อย 90 วัน เพื่อการตรวจสอบย้อนหลังและการปฏิบัติตามข้อกำหนด
8. ซ้อมแผนแยกระบบ เก็บภาพ แล้วกู้คืนให้ช่ำช้อยู่ก่อนที่จะต้องใช้จริง

คำถามที่พบบ่อย