Murodov ma’murjon ma’rupovich axborot kommunikatsiya texnologiyalarida xavfsizlik insidentlarini tahlil qilish asosida kiberhujumlarni aniqlash algoritmi

1.3. Axborot xavfsizligi insidentlarini tahlil qilish
ISO 27001:2005 ­xalqaro standartida axborot xavfsizligi insidentlarini boshqarish tartibini yaratish zarurligiga alohida e’tibor qaratilgan ­– ma’lumki, xavfsizlik insidentlariga o‘z vaqtida javob bermasdan va ularning oqibatlarini bartaraf etmasdan turib, axborot xavfsizligini boshqarish tizimining samarali ishlashi mumkin emas.. Axborot xavfsizligi insidentsi - bu tashkilotning axborot xavfsizligiga bevosita tahdid solishi mumkin bo'lgan axborot xavfsizligining istalmagan hodisasi (yoki hodisalar majmuasi) hisoblanadi.
Axborot xavfsizligi insidentlarining soni va sodir bo'lish chastotasi sezilarli darajada axborot xavfsizligini boshqarish tizimining samaradorligiga bog'liq.
Hodisalarni boshqarish jarayoni ­axborot xavfsizligini ta'minlashda asosiy rol o'ynaydi. Ushbu jarayonning asosiy maqsadi axborot xavfsizligi insidentlarini samarali hal qilishni ta'minlashdan iborat:

• 
  hodisalarni aniqlash (hodisa haqida ma'lumot ­olish, hodisani qayd ­etish, tanqidiylik darajasini aniqlash);
  
• 
  Hodisa sodir bo'lgan taqdirda javob berish (inoyatlarni o'z vaqtida bartaraf etish, ularning ustuvorligini hisobga olgan holda).
  

Hodisalarni boshqarish jarayonlarini avtomatlashtirishdagi asosiy qiyinchilik, aniqlash va tahlil qilish mexanizmini amalga oshirishdir. Hodisa birinchi marta sodir bo'lishi mumkin va buni oldindan aytib bo'lmaydi. Yoki hodisa bo‘lgan ma’lum hodisa, axborot xavfsizligi buzilishiga ­ham olib ­keladigan bir necha ketma-ket hodisalarga teng, lekin alohida tasodif hisoblanmaydi.
Hodisalarni boshqarish samaradorligini oshirish uchun ­anomaliya tushunchasini kiritish va allaqachon qayd etilgan ­hodisalar tahlilini quyidagicha belgilash tavsiya etiladi: ro'yxatga olingan hodisalarning barcha to'plami ­quyidagi turdagi taksonlarga bo'linadi: "normal" hodisalar. parametrlarni va anomal hodisalarni tavsiflashda bir-biriga yaqin bo'lib, ularning ko'rinishi ­batafsil o'rganishni talab qiladi. Ushbu yondashuv ko'plab qayd etilgan hodisalar fonida ­juda muhim va ilgari sodir bo'lmagan anomaliyalarni aniqlashga imkon beradi.
Anormal hodisalarni aniqlash vazifasi tasniflashning maxsus vazifasi bo'lib, ko'plab hodisalarni oldindan belgilangan guruhlarga ajratadi va ularning har birida taxminan bir xil ­xususiyat va belgilar mavjud. Ushbu muammoni hal ­qilish pretsedent tahlil qilishga asoslanadi. Usul n o'lchovli belgilar makonidagi barcha kuzatishlar orasidagi masofani baholashga asoslangan.
Pretsedent – bu to'plangan tajribaning ma'lumotlar va bilimlar ko'rinishidagi ­tizimli ifodasi bo'lib, u keyinchalik ­dasturiy ta'minot yordamida avtomatlashtirilib qayta ishlanishini ta'minlaydi. Odatda, quyidagi foydalanish holatidan iborat:

• 
  muammoli vaziyatni tavsiflash;
  

- ushbu muammoni bartaraf etish bo'yicha amalga oshirilgan harakatlar majmuasi (muammoni hal qilish);
- va ba'zi hollarda-qarorning natijasi (yoki bashorati).
Bunday holda, pretsedent oddiy hodisalar taksonini yoki individual hodisani tavsiflovchi parametrlar to'plamidir.
Roʻyxatga olingan axborot xavfsizligi insidentlarining butun majmuasi ­
G = { x₁ ,..., x|g| }
vektorlar toʻplami bilan aniqlanadi, ularning har biri foydalanish holatining parametrik ifodasidir:
x = (x_i1, --, x_in).
Rasmiy ravishda klassifikatsiyalash xususiyat fazosining hududlarga bo'linishiga asoslanadi, ­ularning har birida ko'p o'lchovli ­vektorlar bir xil deb hisoblanadi. Boshqacha qilib aytganda, agar vektor ma'lum bir sinf bilan bog'liq bo'lgan fazo hududiga tushib qolgan bo'lsa, u unga tegishli.
F pretsedentining barcha jihatlari bo'yicha o'xshashligining to'liq darajasi shaklning umumlashtirilgan formulasi yordamida hisoblanadi:
∑_jw_j• sim ( x_ij, x _kj ),
bu yerda Wj - j-chi xususiyatning og'irligi; sim - i-maqsadli vaziyat va k-pretsedentning j-xususiyatining mahalliy o'xshashlik funksiyasi.
Qoidaga ko'ra, hodisani tahlil qilish asosida qurilgan aqlli xulosa chiqarish tizimlari CBR siklini tashkil qiladi:
- pretsedentlar bazasidan joriy holat uchun eng yaqin pretsedentni olish;
- mavjud muammoni hal qilishga harakat qilish uchun olingan holatdan foydalanish;
- zarur bo'lsa, olingan yechimni joriy muammoga muvofiq qayta ko'rib chiqish va moslashtirish;
- qarorni yangi pretsedentning bir qismi sifatida saqlash.
Shunday qilib, axborot xavfsizligi insidentlarini tasniflash muammolarini hal qilish uchun pretsedentlarga asoslangan tahlillashdan foydalanish quyidagilarga imkon beradi:

• 
  anomal hodisalarni aniqlash, ularni hal qilish mavjud vaziyatni batafsil o'rganishni talab qiladi;
  
• 
  Pretsedent bazasida mavjud bo'lgan hodisalar uchun yechim olish jarayonini avtomatlashtirish.
  

Pretsedent tahlil qilishning asosiy afzalliklari - ­yangi muammolarni hal qilish uchun ­to'plangan tajribadan foydalanish va ­muayyan muammoli sohaning o'ziga xos xususiyatlaridan mustaqillik ma'nosida universallik. Usulning ­muhim ­kamchiliklari orasida o'xshashlik darajasini aniqlash uchun ko'rsatkichni tanlashning murakkabligi ­va zarur hisoblash resurslarining pretsedentlar bazasi hajmiga bevosita bog'liqligi kiradi.
Axborot xavfsizligi sohasidagi profilaktika chora-tadbirlari amaliyoti axborot xavfsizligi insidentsining u yoki bu hodisasining yuzaga kelishi xavfini baholashga asoslanadi. Sodir bo'lgan hodisa faktini aniqlash, shubhasiz, profilaktika chorasi deb hisoblanmaydi, chunki u allaqachon sodir bo'lgan hodisa faktini aks ettiradi. Axborot xavfsizligi insidentsining asosiy sababi tajovuzkorning tashkilot aktiviga kirish uchun ortiqcha imtiyozlarga ega bo'lish qobiliyatidir. Bunday imkoniyat xavfini baholash va himoya qilish bo'yicha to'g'ri qaror qabul qilish javob guruhining asosiy vazifasidir.
Har bir xavf tashkilotning xavflarni baholash siyosatiga muvofiq ustuvor bo'lishi va ko'rib chiqilishi kerak. Xavfni baholash doimiy jarayon sifatida qaraladi, uning maqsadi himoyalanishning maqbul darajasiga erishishdir. Boshqacha qilib aytganda, aktivni asossiz yoki ruxsatsiz foydalanishdan himoya qilish uchun yetarli choralar ko'rilishi kerak. Xatarlarni baholash aktivlarni klassifikatsiyalashga yordam beradi. Aksariyat hollarda muhim aktivlar (xavflar nuqtai nazaridan) tashkilot biznesi uchun ham juda muhimdir.
Tashkilotdagi javob guruhining samarali ishlashi uchun bo'linmalarning ishlash jarayonlarini tavsiflovchi protseduralar ta'minlanishi kerak. Axborot xavfsizligi hujjat bazasini to'ldirishga alohida e'tibor qaratish lozim.

• 
  Axborot xavfsizligi insidenti haqidagi xabarlar bir vaqtning o'zida bir nechta manbalardan (foydalanuvchilar, IDS, jurnal fayllari) olinadi;
  
• 
  IDS bir necha marta takrorlanadigan hodisa haqida signal beradi;
  
• 
  avtomatlashtirilgan tizimning jurnal fayllarini tahlil qilish tizim ma'muri tomonidan hodisa ehtimoli to'g'risida xulosa chiqarish uchun asos bo'ladi.
  

Hodisa ko'rsatkichlari ikkita asosiy toifaga bo'linadi: Hodisa sodir bo'layotgani haqidagi xabarlar va yaqin kelajakda Hodisa sodir bo'lishi mumkinligi haqidagi xabarlar. Quyidagilar davom etayotgan hodisaning ba'zi belgilaridir:

• 
  IDS bufer to'lib ketishini tuzatadi;
  
• 
  virusga qarshi dastur haqida xabar;
  
• 
  veb-interfeysning buzilishi;
  
• 
  Internetga kirishga urinayotganda juda past tezlik haqida foydalanuvchi xabarlari;
  
• 
  tizim ma'muri tomonidan o'qilmaydigan nomli fayllar mavjudligini aniqlash;
  
• 
  foydalanuvchining pochta qutilarida ko'plab takroriy xabarlar mavjudligi haqidagi xabarlari;
  
• 
  xost audit jurnaliga konfiguratsiya o'zgarishi haqida yozuv kiritadi;
  
• 
  dastur jurnal faylida bir nechta muvaffaqiyatsiz avtorizatsiya urinishlarini qayd etadi;
  
• 
  tarmoq ma'muri tarmoq trafigining keskin o'sishini aniqlaydi va hokazo.
  

Axborot xavfsizligi insidentlari haqida hisobot manbalari bo'lishi mumkin bo'lgan hodisalarga misollar:

• 
  server jurnali fayllari portni skanerlash;
  
• 
  yangi turdagi ekspluatatsiya paydo bo'lishi haqida ommaviy axborot vositalarida e'lon qilish;
  
• 
  tashkilotingizga urush e'lon qilgan ochiq bayonot va h.k.
  

Axborot xavfsizligi insidentlarini hujjatlashtirish tergovdan olingan dalillarni to'plash va keyinchalik birlashtirish uchun zarur. Zararli ta'sirning barcha faktlari va dalillari hujjatlashtirilishi kerak. Texnik dalillar va operatsion ta'sir dalillari o'rtasida farqlanadi. Odatiy amaliyot hodisani tekshirish jurnalini yuritishdir, u standart shaklga ega emas va javob guruhi tomonidan ishlab chiqilgan. Bunday jurnallarning asosiy pozitsiyalari quyidagilar bo'lishi mumkin:

• 
  tergovning hozirgi holati;
  
• 
  hodisa tavsifi;
  
• 
  hodisani bartaraf etish jarayonida javob guruhi tomonidan amalga oshirilgan harakatlar;
  
• 
  tergov ishtirokchilarining ro‘yxati, ularning vazifalari tavsifi va tergov jarayonida bandlik foizi;
  
• 
  hodisani ko'rib chiqish jarayonida to'plangan dalillar ro'yxati;
  
• 
  hodisani tekshirish ishtirokchilarining izohlari;
  
• 
  keyingi harakatlar tavsifi va jarayonning holati.
  

Hodisalarni tekshirish jarayonida barcha dalillar obro'sizlantirishdan himoyalangan bo'lishi kerak, chunki ma'lumotlarda axborot tizimining samarali zaif tomonlari to'g'risidagi ma'lumotlar bo'lishi mumkin.
Tashkilot hodisa haqida xabar berish tizimini ishlab chiqishi va joriy qilishi kerak.
Ogohlantirish modelini ishlab chiqish ssenariy (rol) printsipiga asoslanadi, uning mohiyati tashkilot rahbariyatidan tashqari, hodisa sodir bo'lgan bo'limlarning boshqaruv xodimlarini jalb qilishdir. Ogohlantirish guruhidagi shaxslar tegishli tarzda o'qitilishi va hodisani hal qilish jarayonida ularning rolini bilishi kerak.
Zarar yetkazishi yoki yo'qotishiga olib kelishi mumkin ­bo'lgan yagona yoki bir qator axborot xavfsizligi insidentlari. Axborot xavfsizligi insidentlarini boshqarish jarayoni ­korxonaning axborot xavfsizligini ta'minlashda asosiy rol o'ynaydi. Ushbu jarayonning asosiy maqsadi axborot xavfsizligi insidentlarini samarali tekshirishni ta'minlash, hodisalar natijasida tashkilotga etkazilgan yo'qotishlarni minimallashtirish va hodisalarning ­takrorlanish xavfini kamaytirishdir.
Axborot xavfsizligi insidentlarini tekshirish va ularga javob qaytarishda kompaniyaning ko'plab bo'limlari xodimlari: kadrlar bo'limi xodimlari, huquqshunoslar, ­IT tizimining texnik ekspertlari, ­axborot xavfsizligi bo'yicha tashqi maslahatchilar, biznes vakillarining ishtirokini talab qiluvchi murakkab va murakkab jarayondir. menejerlar, ­axborot tizimining oxirgi foydalanuvchilari, ­texnik yordam xizmatlari xodimlari, xavfsizlik xodimlari va boshqalar ishtirok etadilar. Aksariyat kompaniyalar axborot xavfsizligi insidentsini tekshirish uchun komissiya tuzadilar. Komissiya tarkibiga huquqiy va texnik sohalarda mutaxassislar va maslahatchilar kiritilishi kerak.
Ammo boshqa yechim bor. Axborot xavfsizligi insidentlarining yo'qotish xavfini minimallashtirish uchun axborot xavfsizligi insidentlari tahdidlarini topish, ushbu tahdidlarni tahlil qilish, axborot xavfsizligi insidentlari tahdidlarini bartaraf etish va axborot xavfsizligi insidentlari tahdidlarini oldini olish uchun bir nechta oddiy ­dasturiy echimlarni taklif qilish mumkin. Maxsus yordamchi dasturlar to'plami ­brauzer tarixini tahlil qilish, yuklab olingan fayllarni aniqlash va fayl tizimini tekshirish imkonini beradi.
Brauzer tarixi va fayllarini tahlil qilish uchun siz bir qator yordamchi dasturlardan foydalanishingiz mumkin: ChromeAnalysis, FoxAnalysis, Web Historian, HstEx.
ChromeAnalysis yordam dasturi Chrome brauzeri uchun amal qiladi. Ushbu yordamchi dastur ­saytlarga tashrif buyurish tarixi, cookie-fayllar, xatcho'plar, yuklab olingan fayllar, saqlangan loginlar haqida batafsil ma'lumot beradi.
Web Historian yordam dasturi bir vaqtning o'zida bir nechta brauzerlarni qo'llab-quvvatlaydi: ­Firefox 2/3+, Chrome 3+, Safari 3+, Internet Explorer 8-versiyasigacha. Ushbu yordamchi dastur yanada ­universaldir. Bu sizga katta hajmdagi ma'lumotlardan ­sizni qiziqtirgan narsani ajratib olish imkonini beradi. Bundan tashqari, dasturda o'rnatilgan WebsitevAnalyzer vositasi mavjud bo'lib, u zerikarli ma'lumotlar jadvalini chiroyli grafiklarga aylantirish imkonini beradi.
HstEx noyob dasrurdir, chunki u tozalangan brauzer tarixini va o'chirilgan keshlangan fayllarni tiklaydi. Kirish sifatida unga disk tasviri kerak.
Win Taylorning Windows tizimlari uchun keng qamrovli yechimi barcha ActiveX komponentlari, brauzer tarixi, xotira chiqindilari va tarmoq faoliyati hisoboti hamda tizim hisobotlari haqida batafsil maʼlumot olish imkonini beradi. ­Win Taylor tizimida ishlatiladigan har bir flesh-disk haqidagi ma'lumotlarni ko'rish imkonini beruvchi USBDeriew kabi yordamchi dasturni o'z ichiga oladi.
Axborot xavfsizligi insidenti ­tahdidining oldini olish usullaridan biri bu ­dasturiy ta'minotdan foydalanishdir. Yuqoridagi yordamchi dasturlardan foydalanib, mavjud ­axborot xavfsizligi insidentlari mavjudligini tahlil qilishingiz mumkin. Foydalanish oson bo'lgan ushbu dasturlar tashkilotingiz faoliyatini himoya qilishga ­va tajovuzkorlarga qarshi turishga yordam beradi.
ISO/IEC 27001: 2005 xalqaro standartiga muvofiq axborot xavfsizligi insidentlarini boshqarish tashkilotning biznes jarayonlarining uzluksizligini ta'minlashning muhim elementi hisoblanadi. Insidentlar boshqaruvi axborot xavfsizligi bilan bog'liq hodisalar haqidagi ma'lumotlarni yozib olish natijasida olingan ma'lumotlarni kiritish jarayonini anglatadi va jarayonning chiqishi insidentning sabablari va insidentning sodir bo'lishini oldini olish uchun qabul qilinishi kerak bo'lgan chora-tadbirlar haqida ma'lumot oladi.
Umumiy holda, hodisalarni boshqarish siklik jarayon bo'lib, uning asosiy bosqichlari RBSA modeli (jarayonni uzluksiz takomillashtirish modeli) tomonidan ko'rsatiladi. ISO/IEC 27001: 2005 xalqaro standartiga ko'ra, klassik model boshqaruvning to'rt bosqichini o'z ichiga oladi: axborot xavfsizligi insidentsini aniqlash, insidentga javob berish, tergov, tuzatuvchi va profilaktik tadbirlar.
Aynan insidentlarga javob berish va tergov qilish jarayonida axborot tizimining o'ziga xos zaif tomonlari paydo bo'ladi, hujumlar va tajovuzlar izlari aniqlanadi, himoya vositalarining ishlashi, axborot xavfsizligi tizimi arxitekturasining sifati va uni boshqarish tekshiriladi. Insidentlarning oqibatlarini tahlil qilish va bartaraf etish hamda kelajakda shu kabi insidentlarning takrorlanish ehtimolini kamaytirish uchun tuzatish choralarini ko‘rish tartib-taomillarining mavjudligi ham muhim ahamiyatga ega.
Avvalo, insidentni o'z vaqtida aniqlash kerak, aks holda unga imkon qadar tezroq javob berish mumkin emas. Shu bilan birga, hali aniqlangan insidentlar uchun ko'pincha aniq javob berish tartiblari mavjud emas. Bunday vaziyatlarni hal qilish uchun uzoq vaqt kerak bo'ladi.
Insidentlarni boshqarishning asosiy vositalari axborot xavfsizligi insidentlari monitoringi va hodisalarni aniqlash bosqichini avtomatlashtiradigan korrelyatsiya tizimlaridir. Ushbu vositalarning natijalari ekspertlar tomonidan tahlil qilinadi, tahlil natijalari asosida javob strategiyalar ishlab chiqiladi. Monitoring tizimlari tomonidan ishlab chiqarilgan katta hajmdagi ma'lumotlar malakali mutaxassislardan iborat axborot xavfsizligi insidentlariga javob berish guruhini talab qiladi. Moliyaviy cheklovlar va mutaxassislarning etishmasligi tufayli hodisalarni boshqarish jarayonini samarali tashkil etish har doim ham mumkin emas. Boshqa tomondan, qaror qabul qilish bosqichida mutaxassisga to'liq bog'liqlik samaradorlikni pasaytiradi va natijada zararni oshiradi.
Shunday qilib, yuzaga kelgan hodisalarga tezkor javob berishning dolzarb muammosi mavjud. Belgilanganlar to'plamidan qaysi strategiyani qo'llashni hal qilish yoki tegishli strategiya mavjud emasligini va uni ishlab chiqish kerakligini aniqlash kerak.
Mantiqiy fikrlash usuli boshqaruv jarayonini avtomatlashtirishning yaxlit vositasi sifatida pretsedentlarga asoslangan tizimlardan (Case-Based Reasoning, CBR) foydalanish orqali hodisalarga javob berish muammosini hal qiladi. Natijada, voqea-hodisalarga javob berish strategiyasini aniqlashda faoliyatni avtomatlashtirish, samaradorlikni oshirish, yuzaga keladigan hodisalarga javob berishni tezlashtirish va axborot xavfsizligini boshqarish jarayoniga ko'proq intellektual yondashish imkonini beradi.
Keys tizimlarida yechim izlash analogiya tushunchasiga asoslanadi (xususiydan xususiyga qarab qidirish). Pretsedent va hozirgi vaziyat o'xshashlikni topish va pretsedent uchun to'g'ri bo'lgan faktlarni uzatish tufayli ko'rib chiqilayotgan hodisa haqida qandaydir xulosa chiqarish zarur bo'lgan ob'ektlar sifatida taqdim etiladi. Odatda, pretsedent:
- muammoli vaziyat tavsifidan;
- bu muammoni bartaraf etish (muammoni hal qilish) bo'yicha amalga oshirilgan harakatlar majmui;
- va ba'zi hollarda, qarorni qo'llash natijasi (yoki bashorati).
Pretsedentning eng aniq tuzilishi ko'p o'lchovli vektor orqali parametrik tasvirdir:
CASE = (x₁, x₂, ..., x_p, R),
Bu erda x₁,…x_p - bu pretsedent tomonidan tasvirlangan vaziyatning parametrlari ; R – bu berilgan muammoning bir yoki bir nechta yechimlari (tashxis, tavsiyalar).
Pretsedentlarga asoslangan topilma CBR(pretsedentlarga asoslangan fikrlash davri) siklini tashkil etuvchi to'rtta asosiy bosqichni o'z ichiga oladi (pretsedentlarga asoslangan fikrlash aylanishi):
- pretsedentlar asosida hozirgi vaziyat uchun o'xshash pretsedentlarni ajratib olish;
- mavjud muammoni hal qilishga urinish uchun pretsedentdan qayta foydalanish;
- yechimni joriy muammoga muvofiq qayta ko‘rib chiqish va moslashtirish;
- yangi qabul qilingan qarorni yangi pretsedentning bir qismi sifatida saqlash.
Muayyan fan sohasining o'ziga xos xususiyatlarini va hal qilinishi kerak bo'lgan vazifalarni hisobga olgan holda, soddalashtirilgan CBR(pretsedentlarga asoslangan fikrlash davri) siklidan foydalanish mumkin. Shunday qilib, pretsedentlar apparatidan foydalanishning asosiy maqsadi operatorga tayyor yechimni berishdir.
Pretsedentlarni ajratib olish o'xshashlik funktsiyasi (metrikasi) F ta'rifiga asoslanadi, uning qiymati pretsedent va hozirgi hodisaning o'xshashligini belgilaydi. Xususiyat maydonida maqsadli muammoga mos keladigan nuqta aniqlanadi va foydalanilgan ko'rsatkich doirasida eng yaqin pretsedent tanlanadi. Rasmiy ravishda g = (x_g1, x_g2,…,x_gp) pretsedent analogiyasi va joriy holat k=(x_k1, x_k2,…,x_kp) quyidagi shakl funksiyasi bilan tavsiflanadi:
SIM(g,k) = F(sim(x_g1, x_k1 ),…, sim(x_gp,x_kp )),
Bu erda sim(x_gi,x_ki) - g pretsedentning i-atributi va joriy vaziyatning (insident) i-atributi k qiymatlarining mahalliy o'xshashligi. F funktsiyasi pretsedentning hozirgi holatga to'liq o'xshashligini ifodalaydi.
Ma'lumotlar bazasida shunga o'xshash pretsedentlar mavjud bo'lmasa, bunday yondashuv yuzaga kelgan vaziyat uchun zaruriy echimga olib kelmaydi. Agar CBR sikli asosni to'g'ridan-to'g'ri fikrlash (xulosa) jarayonida to'ldirish imkoniyatini ta'minlasa, bu muammoni hal qilish mumkin.
Axborot xavfsizligi insidentlarini boshqarishning birinchi bosqichi, avval aytib o'tilganidek, hodisalarni haqiqiy qayd etishdir. Keyingi qadamlar sinfni hisobga olgan holda har bir hodisa uchun javob strategiyalarini qo'llashni o'z ichiga oladi. Ushbu bosqichda quyidagi muammolarni aniqlash mumkin:
- insidentlar har doim ham to'g'ri klassifikatsiyalanmaydi;
- har bir insident ma'lum darajada individual bo'lganligi sababli, ma'lum bir sinf insidentlariga javob berishning yagona strategiyasi mavjud emas;
- Ilgari sodir bo'lmagan insidentlar mavjud bo’lib, bunday insidentlarga javob berish strategiyasi yo'q.
Insidentlarni boshqarish jarayonini takomillashtirish uchun insidentni tahlil qilishdan foydalanish kontseptsiyasi quyidagicha. Ma'lum bo'lgan insidentlarning G to'plami, aniqlangan javob strategiyalarining R to'plami mavjud. G ^ R xaritalash - bu pretsedent, ya'ni Hodisa tavsifini va tegishli javob strategiyasini o'z ichiga olgan juftlik. Yangi insidentni ro'yxatga olishda unga o'xshash pretsedent topiladi, shundan so'ng pretsedent qarori ushbu insidentga nisbatan qo'llaniladi.