Kako handleate sigurnosne incidente i kršenja?

Question

Accepted Answer

**Incident response** je proces rukovanja sigurnosnim incidentima (kršenja, napadi) — detektovanje, sadržavanje, iskorenjivanje, oporavak i učenje. Pošto se kršenja mogu dogoditi unatoč odbrambenim merama, imati plan za efikasan odgovor je važno za minimiziranje štete.

## Zašto je incident response bitan

```text
Despite defenses, security incidents WILL happen (no system is perfectly secure):
  → being PREPARED to respond limits damage, downtime, and data loss
  → a poor/slow/panicked response makes breaches far worse
→ have a PLAN before you need it (you can't improvise a good response mid-crisis).
```

## Životni ciklus incident response-a

```text
1. PREPARATION → plan, tools, roles, runbooks, monitoring/logging in place beforehand
2. DETECTION & ANALYSIS → identify the incident (monitoring, alerts); assess scope/severity
3. CONTAINMENT → stop the spread/limit damage (isolate affected systems, revoke access)
4. ERADICATION → remove the threat (close the vulnerability, remove malware/access)
5. RECOVERY → restore systems safely; verify they're clean; resume operations
6. POST-INCIDENT (lessons learned) → analyze what happened, improve defenses & the process
   (BLAMELESS — focus on fixing, not blaming)
```

## Ključne prakse

```text
✓ MONITORING/LOGGING → you can't respond to what you can't DETECT (logging is critical —
  an OWASP risk is insufficient logging/monitoring)
✓ Have a documented PLAN and a response TEAM with clear roles; practice it
✓ COMMUNICATION → internal + external (users, regulators — legal disclosure requirements
  like GDPR breach notification)
✓ ROTATE compromised credentials; patch the root cause; preserve evidence for investigation
✓ LEARN → fix root causes; improve to prevent recurrence
```

## Zašto je to bitno

Razumevanje kako da se rukuje sigurnosnim incidentima je važno znanje na nivou senior-a jer se **kršenja mogu dogoditi unatoč odbrambenim merama**, a efikasan odgovor minimizira štetu, pa biti spreman je neophodno, čineći ovo dragocenim sigurnosnim znanjem.

Klučna ideja je da **nijedan sistem nije savršeno bezbjedan** — incidenti će se dogoditi — pa biti **spreman da odgovoriš** (umjesto improvizovanja sredinom krize) je ono što minimizira štetu, vrijeme zastoja i gubitak podataka, dok loš ili panični odgovor čini kršenja mnogo gorom.

Razumevanje **životnog ciklusa incident response-a** — **priprema** (planovi, alati, uloge i monitoring na mjestu prije vremena), **detektovanje i analiza** (identificiranje i određivanje dosega incidenta), **sadržavanje** (zaustavljanje širenja izolacijom sistema i povlačenjem pristupa), **iskorenjivanje** (uklanjanje pretnje i zatvaranje ranjivosti), **oporavak** (sigurno vraćanje sistema) i **lekcije nakon incidenta** (analiza i poboljšanje, bez okrivljavanja) — pruža strukturirani pristup efikasnom rukovanja incidentima.

Razumevanje **ključnih praksi** — kritičnosti **monitoringa i logovanja** (ne možeš da odgovoriš na ono što ne možeš da detektuješ — a nesufficijentno logovanje/monitoring je samo po sebi OWASP rizik), imanja dokumentovanog plana i tima za odgovor, **komunikacije** (uključujući zakonske zahtjeve za obavijest o kršenju kao što je GDPR notifikacija), rotiranja kompromitovanih kredencijala i patchovanja uzroka u koren, i **učenja** kako bi se sprečilo ponovljenje — reflektuje sveobuhvatan incident handling.

Efikasan incident response je kritična mogućnost jer kako organizacija odgovori na kršenje značajno utiče na konačnu štetu, a priprema (planovi, monitoring, vježbani odgovor) je ono što omogućava dobar odgovor.

Pošto se kršenja dešavaju unatoč odbrambenim merama i efikasan odgovor (priprema, detektovanje, sadržavanje, iskorenjivanje, oporavak, učenje) minimizira štetu, i pošto je razumevanje incident response procesa i praksi (posebno monitoring/logovanje i imanja plana) važno za rukovanje neizbježnim, razumevanje kako da se rukuje sigurnosnim incidentima je dragoceno znanje na nivou senior-a — važno za realnost da se kršenja dogode i efikasan, spreman odgovor limita njihov uticaj, reflektujući operacionu sigurnosnu zrelost očekivanu za senior uloge odgovorne za sisteme koji mogu biti krši i moraju biti brani i oporavnjeni.