Dorine Fouossong, IN2P3 LPC ACP, Paris,

Transcription

1 Gestion des incidents sécurité grille Procédure et conseils Dorine Fouossong, IN2P3 LPC ACP, Paris, egee.org EGEE and glite are registered trademarks

2 Acteurs: Contact sécurité du SI de l'organisme d'affiliation, LSM. Equipe d'administration du site grille, GSM. Contact sécurité du site gcsirt, responsable du traitement d'incidents grille du site. Officier de sécurité du site gsso, chargé de la coordination de la sécurité des infrastructures grille du site. Officier de sécurité du ROC rsso, évalue le niveau de sévérité de l'incident et veille à ce que la prise en charge soit appropriée. Contact OSCT d'astreinte OSCT DC, chargé de faciliter la communication avec les autres ROC. R. Rumler, Atelier Sécurité Grille,

3 Etape 1 Un incident est détecté par le LSM (directement ou non), le GSM ou une personne autre. Le gcsirt et le gsso sont alertés. Etape 2 Le rsso est alerté. Il évalue avec le gcsirt concerné le niveau de sévérité de l'incident et alerte la liste de sécurité CSIRT régionale. Il décide de communiquer ou pas avec la liste CSIRT de la grille. Etape 3 Le rsso annonce l'incident aux autres CSIRTs via la liste projectegee security csirts(at)in2p3.fr. Ceci doit être fait dans les 4 heures qui suivent la découverte de l'incident. R. Rumler, Atelier Sécurité Grille,

4 Etape 4 Le gcsirt mène l'investigation. Pendant cette étape, l'idée est de comprendre l'origine de l'incident, les credentials et services utilisés, identifier la source de tous jobs suspects ( WMS, UI, connexion SSH,...). Etape 5 Le gcsirt et le rsso préparent un rapport de fin d'incident à transmettre ( leçons apprises, solutions apportées,...) à la liste project egee security contacts. Ceci doit être fait dans le mois qui suit la fin de l'incident. R. Rumler, Atelier Sécurité Grille,

5 Support lors de la phase de traitement de l'incident. Il est souhaitable que le rsso participe à l'expertise technique. Un support peut aussi être demandé par mail à project egee securitysupport(at)cern.ch. Le rsso assistera le gcsirt dans la mise à jour du rapport de gestion d'incident qui sera communiqué à fréquence journalière (ou période appropriée à la sévérité de l'incident) aux CSIRTS. L'OSCT DC supervise la procédure et veille à ce qu'elle soit conforme aux politiques de sécurité de EGEE (en terme de délai notamment). R. Rumler, Atelier Sécurité Grille,

6 Les requêtes d'information de l'osct l'investigation doivent être traitées au plus tard un jour après sa soumission. Informer les collaborateurs est recommandé sur la réaction à avoir la seconde après la découverte de l'incident (pas de panique, débrancher le cable réseau, communiquer). Les rsso pour le ROC français sont: Rolf Rumler, rumler(at)ccin2p3.fr Thierry Mouthuy, mouthuy(at)cppm.in2p3.fr Dorine Fouossong, dorine.fouossong(at)clermont.in2p3.fr R. Rumler, Atelier Sécurité Grille,

7 Traitement d'un vol de crédentiel Etape 1: L'utilisateur ou le gcsirt contacte le VO manager adéquat et ouvre un ticket GGUS assigné à l'équipe «security support». Etape 2: Le VO manager suspend temporairement l'utilisateur. Etape 3: Le rsso demande aux CSIRTS et à la CA appropriée de bannir cet utilisateur. Il informe l'utilisateur des actions menées en lui précisant de toucher [recover] le moins possible à ses données. R. Rumler, Atelier Sécurité Grille,

8 Traitement d'un vol de crédentiel Etape 4: Le rsso s'assure que les sites accueillant les jobs non autorisés ont bien investigués (tracer les jobs, vérifier s'il y'a eu compromission du compte root). L'OSCT DC veille à ce que le rsso du ROC d'origine de l'utilisateur prend la procédure en main. R. Rumler, Atelier Sécurité Grille,

9 Quelques liens Politique de gestion d'incident EGEE df Guide sur comment reporter un incident Scénarios de gestion d'incidents: Soumettre des tickets sécurité d'incidents GGUS sur l'interface web: Ou par mail à helpdesk(at)ggus.org EGEE broadcast tool: R. Rumler, Atelier Sécurité Grille,