安全监控和响应

为事后调查活动做准备与对事件本身作出反应同样重要. 通常，组织面临着采取法律行动或与执法机构合作的决定. 目的是为了以最原始的形式保存证据的完整性, 熟练的从业者必须仔细调查, 文档, 利用专门的工具，按照严格的程序收集和检查可用的信息. 准备专家证人的证词也需要广泛的准备和对调查事件的了解.

RSM的数字取证团队将帮助识别和保存可用于调查或后续诉讼的信息，并进行进一步分析，以支持计算机系统和网络的恢复. 我们将与您合作:

• 了解适当的调查工具，以数字方式识别威胁行为者留下的指纹
• 完成证据收集，文件和保存过程
• 准备以专家证人的身份发挥作用
• 代表组织向行政领导和相关第三方通报调查情况
• 妥善收集和维护犯罪取证信息, 法律, 或根据公司政策代表组织进行安全事务
• 建立一个具有正确经验和知识的内部数字取证团队，以支持调查过程

当您的组织内检测到入侵时, 至关重要的是要立即控制和根除它. 虽然许多监视和检测工具可以帮助确定攻击链, 组织经常在事件发生后遇到问题，该工具无法令人满意地回答. 帮助组织确信他们已经把入侵抛在脑后，并开始恢复过程, 有必要让专门处理受损环境的人员参与进来. 事件响应团队通常包括安全和技术团队的核心成员，以及随时可用的专业第三方技能集.

确定导致妥协的途径和方法需要保存关键信息和对对手方法的广泛了解. 事件响应团队必须谨慎工作，避免干扰或破坏证据，并仔细记录每一步，为潜在的法律行动做准备. RSM的事件响应团队将与您的组织合作，明确检测到的入侵，并就一系列事件响应活动向您提供建议，目的是帮助控制和防止进一步的损害. 我们的团队将帮助:

• 制定考虑更广泛的业务团队参与的事件响应计划
• 记录响应场景和操作手册，以指导事件响应团队的活动
• 为沟通和公共关系计划提供指导
• 开发和交付桌面练习，旨在帮助相关各方了解他们在事件中的角色
• 获得24/7/365的事件响应和调查支持
• 用专家证人的证词支持组织
• 识别经纪人，以帮助您做出有关支付赎金的决定，并促进互动

您的组织的技术足迹产生数百万甚至数十亿的事件, 其中任何一个都可能向潜在的对手透露他们试图破坏您的环境的线索. 持续监控是必要的，可以帮助组织筛选噪音并产生有意义的见解. 当检测到事件时, 应该根据事件的严重性和对组织的风险来确定事件的优先级, 然后应该激活适当的通知和升级. 建立一个24/7/365安全运营中心的内部能力既耗时又昂贵. 组织需要权衡构建内部能力的成本与与第三方提供商合作的好处，后者可以从规模经济中获益，并以具有吸引力的成本点提供高价值.

RSM国防, 我们的托管保安行动中心(SOC), 能作为你的24小时警惕的观察者，并在接近实时的情况下对威胁做出反应吗. 我们的XDR平台和服务覆盖您的整个计算基础设施, 从从您的pc和移动设备获取遥测数据到监控您的本地数据中心和云计算环境. 我们的团队将协助您实现自己的功能以及运营您的内部监控平台. 我们将与您合作:

• 识别和分类环境中的关键资产
• 定义资产管理程序并协助部署资产管理技术
• 作为您的24/7/365安全运营中心, 交付XDR, MDR和漏洞服务
• 协助安防监控技术的选择、实施和运行
• 执行安全工程活动，如用例定义和调优
• 将决策导航到内部独立的安全操作功能或与托管安全服务提供商合作
• 提供经验丰富的安全操作分析师来支持您的现有操作
• 协助设计, 开发和启动内部安全运营中心的能力

组织利用大量的监控工具来实现操作和安全目的.  对大多数安全团队来说，及时调查和响应生成的大量警报是一项艰巨的任务. 对高保真警报的平均检测时间(MTTD)和响应时间(MTTR)是成功的安全操作的关键组成部分. 团队需要一种方法来快速过滤大量的低保真度警报，以减少MTTR，同时保持一致的分类活动. 通过使用编排和自动化工具, 分析师可以提高生产率, 允许团队使用一组预定义的操作快速识别和响应低保真度警报, 降低MTTD和MTTR, 并将精力重新集中在对组织有更大价值的任务上.

RSM的监控和响应专家将帮助您确定如何在您的环境中有效地实现自动化和编排功能. 我们的团队将在以下方面与您合作:

• 开发组织利用安全编排和自动化的策略
• 将自动化和编排概念集成到您的安全团队的日常操作中
• 选择和部署安全编排, 自动化和响应(SOAR)工具与您的需求保持一致
• 设计和构建相关的自动化用例来驱动响应活动
• 确定一系列预定义操作，以自动执行初始隔离和分类工作
• 操作和持续调整您的SOAR平台

自动检测工具让安全操作团队充斥着各种事件. 通过筛选大量的数据来识别最复杂和高级的威胁是组织的威胁猎人的工作. 编程工具只能提供潜在威胁的线索. 威胁搜寻团队一直致力于在执行攻击之前消除对手. They are the elite unit within the security program; key to their success is their ability to think like an attacker, 了解最新的攻击媒介和方法, 利用类似的工具和技术, 然后筛选所有的噪音，主要目标是在攻击发生之前识别攻击.

RSM的威胁搜寻团队一直在与我们的世界级渗透团队进行一场不断升级的猫捉老鼠游戏，以完善他们的技能. 我们的团队将在以下方面与您合作:

• 实施强大的网络范围，不断增强威胁搜索能力
• 训练和基于场景的练习，以帮助您的团队像对手一样思考
• 教育你的团队攻击趋势和现代攻击方法
• 建议正确的威胁搜寻工具和有效的必要方法
• 进行类似于相关现实场景的威胁建模练习
• 开发技术，筛选噪音，集中精力追捕高度先进的威胁
• 部署分析和统计分析工具，以更好地可视化关系数据并识别有意义的异常行为

威胁情报是有效的安全监控和响应计划的关键组成部分. 威胁情报有助于确定针对已知可疑活动的安全威胁, 将情报分享给组织的安全部门, 提供其他人已经看到该活动的确认，并帮助识别其他攻击向量. 它还包含威胁参与者的风险评分，并创建人物角色以了解攻击者的个性.

RSM的威胁情报团队将帮助调查公开和封闭来源的信息，以确定对手是否计划以您的组织或行业为目标, 如果邪恶的活动已经开始了. 我们的团队将帮助您:

• 通过结构化的研究过程识别组织的外部和内部威胁
• 根据您的业务或行业提供量身定制的威胁简报
• 识别先前被盗或受损的数据，这些数据随后泄露到开放和封闭的来源
• 对暴露的信息或闲谈进行定期或持续的尽职调查
• 调查近期网络安全事件的潜在风险
• 识别可能以您的网络为目标的外部(或内部)威胁参与者, 系统或员工
• 调查潜在的收购, 子公司或第三方供应商了解现有的网络风险
• 监控对高价值资产(如高管或董事会成员)的潜在网络威胁

您的组织环境可能会在违规或妥协后变得混乱. 刚从管理响应活动的痛苦中解脱出来, 执行委员会会问, “我们什么时候才能恢复正常?“这个问题通常是针对负责恢复关键业务系统的安全和技术团队的，因为他们正在进行调查的操作方面的工作. 了解您的优先级系统并维护干净和可用的备份是帮助促进恢复的必要条件. 与一个经验丰富的专业团队合作对于成功的恢复至关重要.

RSM的响应和恢复团队与组织合作，在事件发生后安全地恢复其技术环境，以推动正常的业务操作. 我们的团队将帮助您:

• 设计具有增强保护机制的更安全的体系结构，以减少未来的损失
• 在技术环境中重新成像和重建受感染的组件
• 在复苏之路上航行，回到正常的商业运作
• 自动化低风险响应活动，以加快分类和补救工作
• 制定和更新应急和恢复计划，以及恢复脚本和剧本
• 通过利用零/自适应信任和安全访问服务边缘(SASE)等现代概念实现安全体系结构的现代化
• 定义符合未来业务方向和技术使用计划的安全体系结构设计
• 建立有效的备份和恢复策略，旨在说明对抗技术的进步