Plán reakcie na incidenty pre Weblate

Rozsah a ciele

Tento IRP pokrýva incidenty ovplyvňujúce dôvernosť, integritu alebo dostupnosť nasadení prevádzkovaných Weblate.

Poznámka

Tento plán je špeciálne navrhnutý pre nasadenia prevádzkované spoločnosťou Weblate s.r.o. Iné nasadenia musia prispôsobiť kroky špecifické pre poskytovateľa a organizáciu svojmu vlastnému prostrediu.

Vybavovanie incidentu

Incident vybavuje jeden člen tímu a menuje dostupného kolegu ako zálohu. Koordinujú vyšetrovanie, obsiahnutie, obnovu, hlásenie a komunikáciu s používateľmi, pričom požadujú pomoc od iných kolegov alebo vonkajších špecialistov, keď je potrebné. Záloha prevezme, keď je handler nedostupný.

Použite Hlásenie incidentov pre rozhodnutia o hlásení, lehoty a súkromnú poznámku o incidente. Na začatie reakcie nie je potrebné samostatné schválenie vedením.

Logistika komunikácie

  • Interná komunikácia:

    • Primárnym kanálom je Signal na koordináciu medzi ľuďmi.

    • Technické upozornenia zostávajú mimo Signalu, aby sa predišlo rušeniu.

  • Externá komunikácia:

    • E-mail sa používa na kontaktovanie zákazníkov.

    • Zoznamy kontaktov na zákazníkov sa udržiavajú na niekoľkých miestach, aby sa zabezpečil prístup počas výpadkov služby.

  • Verejné zverejnenie:

Kategórie incidentov a závažnosť

Aktivácia incidentu

  • Vyhlásiť incident, keď je udalosť potvrdená alebo silne podozrivá z ovplyvnenia dôvernosti, integrity alebo dostupnosti služby nad rámec bežného operačného šumu.

  • Kto identifikuje incident, upozorní kolegov cez Signal. Dostupný kolega prevezme zodpovednosť, zaznamená počiatočnú závažnosť a menuje zálohu.

  • Preklasifikovať incident, ak sa počas vyšetrovania zmení rozsah alebo dopad.

Kategórie incidentov

  • Kategória 1 – Neoprávnený prístup

  • Kategória 2 – Porušenie integrity údajov

  • Kategória 3 – Výpadok alebo degradácia služby

  • Kategória 4 – Chybná konfigurácia alebo chyba nasadenia

Úrovne závažnosti a SLA

Toto sú ciele operačnej reakcie, nie vyhlásenie o nepretržitom obsadení. Posúďte hlásenie produktovej bezpečnosti samostatne pomocou Hlásenie incidentov; tieto ciele nepredlžujú lehoty hlásenia.

Závažnosť

Definícia

Cieľové potvrdenie

Cieľová počiatočná akcia

Kritická

Úplný výpadok; kompromitácia admina; Aktívny únik údajov; vyžaduje okamžité obsiahnutie.

< 30 minút

< 4 hodiny

Vysoká

Zlyhanie kľúčovej funkcie; únik PII jedného používateľa.

< 2 hodiny

12 hodín

Stredná

Degradácia výkonu; Menší bezpečnostný problém.

1 pracovný deň

3 pracovné dni

Nízka

Chyby UI; Problémy so stagingom; Nebezpečnostné chyby.

Maximálne úsilie

Maximálne úsilie

Životný cyklus reakcie na incidenty

Príprava

  • Zabezpečiť pravidelné denné zálohy databázy PostgreSQL a dátového adresára pomocou vstavaného zálohovania Weblate s rotáciou, pozri Zálohovanie a presun Weblate.

  • Zabezpečiť, aby Weblate používal správne nakonfigurovaný reverzný proxy (napr. NGINX) s HTTPS (TLS 1.2+).

  • Povoliť 2FA pre všetky účty na úrovni administrátora.

  • Udržiavať inštanciu Weblate a jej závislosti (Python, Django, Celery, databáza atď.) aktuálne.

  • Integrovať so systémami SIEM pomocou protokolu GELF na preposielanie auditných a aplikačných logov.

  • Dokončite kontrolný zoznam prípravy v Hlásenie incidentov a udržujte súkromné kontaktné a prístupové detaily aktuálne.

Identifikácia

  • Monitorovať systémové a aplikačné logy (journalctl, logy reverzného proxy, aplikačné a auditné logy Weblate).

  • Analyzujte udalosti prihlásenia, vykonania webhookov a zlyhania push/pull.

  • Konfigurovať alerting (cez Prometheus, Zabbix alebo SIEM) pre viacnásobné zlyhania prihlásenia, neočakávané reštarty alebo nepravidelné akcie VCS.

  • Zaznamenajte časy dozvedenia sa a posúďte oznámenia orgánom a používateľom pomocou Hlásenie incidentov, bez čakania na dokončené vyšetrovanie.

  • Posúďte, či bezpečnostný incident spôsobil nehodné alebo nezákonné zničenie, stratu alebo zmenu osobných údajov, alebo neoprávnené zverejnenie alebo prístup, a postupujte podľa Oznámenia o porušení osobných údajov. To zahŕňa porušenia dostupnosti alebo integrity bez zverejnenia, ako je nehodné zmazanie alebo zničenie ransomvérom. Hľadajte poradenstvo o súkromí, kde je potrebné, pričom pokračujte vo vyšetrovaní a príprave hlásenia.

Oznámenia o porušení osobných údajov

Handler incidentu určí, či Weblate koná ako správca alebo spracovateľ pre dotknuté spracovanie a zaznamená posúdenie do súkromnej poznámky o incidente. Podľa Článku 33 GDPR:

  • Ako správca, upozornite príslušný dozorový orgán bez zbytočného odkladu a, ak je realizovateľné, do 72 hodín od dozvedenia sa o porušení osobných údajov, pokiaľ je nepravdepodobné, že porušenie povedie k riziku pre práva a slobody jednotlivcov. Zaznamenajte dôvod rozhodnutia neupozorniť.

  • Ak oznámenie trvá dlhšie ako 72 hodín, zahrňte dôvody oneskorenia. Kde informácie nemôžu byť dodané spolu, poskytnite ich po etapách bez ďalšieho zbytočného odkladu.

  • Ako spracovateľ, upozornite správcu bez zbytočného odkladu po dozvedení sa o porušení osobných údajov; nečakajte na 72-hodinovú lehotu správcu.

Oznámenie správcu dozorovému orgánu musí obsahovať nasledujúce informácie podľa Článku 33(3):

  • Povaha porušenia, vrátane, kde je možné, kategórií a približných počtov dotknutých jednotlivcov a záznamov osobných údajov.

  • Meno a kontaktné detaily osoby, ktorá môže poskytnúť ďalšie informácie, ako je handler incidentu alebo úradník pre ochranu údajov, ak je menovaný.

  • Pravdepodobné dôsledky porušenia.

  • Opatrenia prijaté alebo navrhnuté na riešenie porušenia, vrátane opatrení na zníženie jeho nepriaznivých účinkov, kde je appropriate.

Identifikujte informácie, ktoré ešte nie sú dostupné, a poskytnite ich v nadväzujúcich oznámeniach bez ďalšieho zbytočného odkladu. Nečakajte na presné počty pred upozornením orgánu.

Ako správca, samostatne posúďte komunikáciu s dotknutými jednotlivcami podľa Článku 34 GDPR. Ak je pravdepodobné, že porušenie vytvorí vysoké riziko pre ich práva a slobody, informujte ich bez zbytočného odkladu, pokiaľ neplatí výnimka Článku 34(3). To platí aj bez aktívneho zneužívania alebo vážneho incidentu produktovej bezpečnosti. Oznámenie dozorovému orgánu nenahrádza túto komunikáciu.

Vysvetlite porušenie jasným jazykom, s uvedením kontaktu pre ďalšie informácie, pravdepodobných dôsledkov, prijatých alebo navrhnutých opatrení a akcií, ktoré môžu jednotlivci prijať. Zaznamenajte posúdenie a akúkoľvek výnimku, na ktorú sa spoliehate: účinnú ochranu dotknutých údajov, ako šifrovanie robí ich nečitateľnými pre neoprávnené osoby, alebo následné opatrenia zabezpečujúce, že vysoké riziko už nie je pravdepodobné. Ak by individuálna komunikácia zahŕňala neprimerané úsilie, použite verejnú komunikáciu alebo podobné opatrenie, ktoré informuje jednotlivcov rovnako účinne. Pozrite usmernenie EDPB o porušení údajov.

Zaznamenajte časové pečiatky dozvedenia sa o porušení, príjemcov a lehoty samostatne od hlásenia CRA. Odoslanie CRA nenahrádza oznámenie GDPR a dve hodiny hlásenia sa môžu začať v rôznych časoch.

Obsiahnutie

  • Udržiavajte súkromnú poznámku o incidente z Hlásenie incidentov, vrátane aktualizácií časovej osi, lehôt hlásenia a potvrdení odoslania.

  • Koordinovať ľudskú reakciu v Signale a ponechať technické alertingy v existujúcich monitorovacích systémoch.

  • Pre incidenty kategórie 1 alebo 2 vytvoriť manuálny Hetzner Cloud Snapshot pred vykonaním disruptívnych akcií, keď je to bezpečné.

    • Formát názvu: IRP-[CaseID]-[YYYYMMDD]-Evidence.

    • Tieto sú oddelené od štandardných rotačných záloh a musia sa zachovať na analýzu.

  • Izolovať postihnutého hostiteľa alebo službu podľa potreby (napríklad pomocou pravidiel firewallu alebo izolácie služby).

  • Zakázať externé integrácie (Git/webhooky), ak sú súčasťou vektora útoku.

  • Okamžite pozastaviť postihnuté používateľské účty.

  • Odvolať alebo rotovať postihnuté administrátorské, API, VCS a webhook poverenia podľa potreby.

  • Zachovať relevantné dôkazy, vrátane systémových logov, logov reverzného proxy, aplikačných a auditných logov Weblate, postihnutého stavu konfigurácie a zoznamu dotknutých poverení alebo integrácií.

Likvidácia

  • Odstrániť akýkoľvek neoprávnený kód alebo údaje.

  • Opravte známe zraniteľnosti aktualizáciou Weblate alebo komponentov servera.

  • Overiť integritu binárnych súborov a repozitára pomocou kontrolných súčtov SHA-256 alebo Git logov.

Obnova

  • Obnoviť postihnuté služby alebo údaje z najnovších známych dobrých záloh Weblate.

  • Znovu zaviesť služby fázovým prístupom.

  • Potvrdiť, že hlavná príčina bola odstránená alebo je zavedená kompenzačná kontrola, pred obnovením normálnej prevádzky.

  • Rotovať postihnuté poverenia a overiť integritu obnoveného systému, repozitárov a konfigurácie.

  • Handler zaznamená rozhodnutie vrátiť sa k normálnej prevádzke, pričom overí obnovu so zálohou alebo iným kolegom, kde je to praktické.

  • Nepretržite monitorovať logy a správanie systému aspoň 72 hodín po obnove.

Preskúmanie po incidente

  • Časová os: Uskutočnite krátke tímové preskúmanie do 5 pracovných dní od uzavretia incidentu.

  • Zostaviť úplnú časovú os incidentu a vykonané akcie.

  • Vykonать analýzu hlavnej príčiny (RCA) a zdokumentovať ju do 10 pracovných dní.

  • Aktualizujte zásady bezpečnosti a dokumentáciu IRP na základe zistení.

  • Preskúmať účinnosť mechanizmov detekcie a obsiahnutia.

  • Overiť, či eskalácia, alerting a externá komunikácia postupovali podľa Riešenie zraniteľností a incidentov podľa očakávania.

  • Skontrolujte nevybavené správy, sľúbené aktualizácie a oneskorené zverejnenia pred uzavretím poznámky o incidente.