Guida storica
CISA AA20-352A
Tradurre informazioni di campagna in valutazione e indagine.
In questa pagina
Scopo, ambito e autorità
Avviso storico di dicembre 2020, non standard permanente. Orion era una via iniziale tra altre attività descritte. Gli indicatori non sono un catalogo attuale completo. [1]
Principi e logica operativa [1]
1. Esposizione e compromissione
Verificare installazioni storiche e poi attività. Presenza non prova ogni danno, assenza non esclude tutta la campagna.
2. Identità e fiducia
Seguire credenziali e permessi oltre il primo host e i confini di rete.
3. Indicatori contestualizzati
Correlare rete, endpoint e identità; distinguere ricerca negativa e telemetria mancante.
4. Comunicazioni protette
Prevedere scambio di prove con posta o amministrazione potenzialmente osservate.
5. Direttive distinte
ED 21-01 e avviso hanno ruoli e destinatari diversi; non universalizzare obblighi federali storici.
Applicazione · raccomandazioni editoriali
Registro proposto per installazione, indicatori, identità, accesso ai dati e incognite con fonti e periodi. Attivare risposta o ulteriori indagini secondo prove. Studiare anche la guida successiva.
Prove per il CISO · dossier proposto
Inventario storico, log, permessi, cronologia, ambito e contenimento. «Patch applicata» non risponde sugli accessi precedenti.
Errori e limiti
Non attribuire uguale danno a tutti, limitarsi a indicatori o assumere che la patch elimini ogni persistenza. Validare separatamente azioni attuali.
Fonti ufficiali e percorso di lettura
Sezioni da leggere nella fonte: Summary; Technical Details; Mitigations in the linked historical bulletin.
Commento originale, non riproduzione integrale. Consultare la fonte per ogni requisito, estensione, condizione ed eccezione. L’applicabilità dipende dall’organizzazione e dai suoi obblighi.