Teil I: Cyber-Gesundheit und Cyber-Bedrohungsjagd entmystifizieren
JEFF: Willkommen bei Cloud Expo, können Sie bitte erklären, was Cyber-Bedrohungsjagd ist?
SNEHAL: Jeff, vielen Dank für die Einladung. Sprechen wir zunächst darüber, was eine Cyberbedrohung ist – jemand versucht, Ihre Daten zu stehlen, indem er in Ihre kritischen digitalen Systeme eindringt. Ich möchte Ihnen drei Arten vorstellen:
- Eine Bedrohung kann eine IP-Adresse aus einem Hackerland sein, und dieser Datenverkehr ist ein Zeichen für einen Verstoß.
- Eine Bedrohung kann sein, dass jemand in Ihre E-Mail-Systeme eindringt und Identitäten stiehlt. Jetzt kann er mehr Zugriff auf andere Systeme erhalten.
- Eine Bedrohung kann jemand sein, der Daten von kritischen Servern entfernt - und jetzt haben Sie ein Ransomware-Problem.
JEFF: Heißt das also, dass die Jagd nach Cyberbedrohungen darin besteht, einen sehr komplexen Angriff zu erkennen und ihn zu stoppen, bevor wirklicher Schaden entsteht?
SCHNEEHAL: richtig Jeff, und Bedrohungsjagd braucht mehr als SIEM Protokolle. Sie benötigen Netzwerkverkehr, Verhaltensanalyse und Anwendungsbewusstsein. Durch die Korrelation von Daten aus einem breiteren Spektrum an Tools können Sie proaktiv komplexe Angriffe auf die gesamte IT-Infrastruktur aufdecken. SIEMs allein fehlt diese umfassende Transparenz. Wir sehen KI – künstliche Intelligenz – auch als einen wichtigen Faktor, der es einer breiteren Gruppe von Unternehmen ermöglicht, von fortschrittlichen Technologien zu profitieren. SOC Lösungen. Computer sind gut darin, Muster zu erkennen, und maschinelles Lernen ist eine Möglichkeit, dabei zu helfen. SOC Die Teams werden so skaliert, dass sie sich auf strategische Aufgaben konzentrieren können.
JEFF: Ich verstehe, KI ist hier in Hongkong ein heißes Thema – Bevor wir tiefer in die Technologie einsteigen, können Sie uns die häufigsten Herausforderungen schildern, mit denen Ihre Kunden konfrontiert waren, bevor Sie ihnen bei der Bedrohungsanalyse geholfen haben?
SNEHAL: Selbst mit den richtigen Tools im Einsatz berichteten viele unserer Kunden von Misserfolgen statt von Erfolgen. Um die Gründe dafür zu verstehen, haben wir kürzlich mit der Enterprise Strategy Group (ESG) zusammengearbeitet, um die Herausforderungen unserer Kunden in Asien zu analysieren. Schauen wir uns die wichtigsten Ergebnisse an. Erstens: Die Bedrohungen nehmen zu. Über 70 % der Befragten beobachten zunehmend komplexere Angriffe – sind sich aber dennoch unsicher, wie sie sich dagegen wehren sollen.
JEFF: Wir sehen ähnliche Herausforderungen hier in Hongkong. Tatsächlich betont das jüngst aktualisierte Richtlinienhandbuch der Finanzaufsichtsbehörde die Bedeutung des Bedrohungs- und Schwachstellenmanagements sowie die Notwendigkeit systematischer Überwachungsprozesse.
SCHNEEHAL: Das zweite Ergebnis zeigt Besorgnis über die zu große Datenmenge, die in den Datenstrom gelangt. SOCEs ist leicht, die RICHTIGEN Daten zu übersehen oder viel Zeit mit der Suche in Protokollen zu verbringen, die kein wahres Bild Ihrer IT-Infrastruktur zeichnen.
JEFF: Das ist also der Grund, warum der Arbeitsmarkt in Hongkong für gute Sicherheitsfachkräfte so umkämpft ist. Sie sind alle damit beschäftigt, Abfragen zu formulieren, um große Datenmengen zu durchsuchen.
SCHNEEHAL: Danke fürs Teilen, Jeff, das leuchtet ein. Und schließlich, da Remote-Arbeit mittlerweile weit verbreitet ist und viele Aspekte Ihrer Infrastruktur sowohl lokal als auch in öffentlichen Clouds angesiedelt sind, geben über 70 % der Kunden an, dass sie immer noch glauben, blinde Flecken zu haben. SIEMs allein werden Ihnen nicht helfen, Bedrohungen zu erkennen.
JEFF: Für die neue Normalität sind Skalierbarkeit und Interoperabilität in heterogenen Umgebungen unerlässlich. Sprechen wir nun über die Lösungen, denn wir wollen verstehen, warum Sicherheitsteams neue Ansätze benötigen.
SNEHAL: Die Hacker von heute greifen nicht mehr auf die traditionelle Weise an – das ist der entscheidende Punkt – ein Perimeter-Ansatz bietet keinen ausreichenden Schutz mehr. Sie verschaffen sich Zugang zu unauffälligen Systemen und beginnen, Informationen über kritischere Systeme zu sammeln, um dann an wertvollere Informationen zu gelangen.
JEFF: Können Sie das Beispiel auf der Folie erläutern?
SNHEAL: Angenommen, Sie haben Ihren CEO als kritische Person eingestuft und sehen, dass er sich in Tokio und zwei Stunden später in Sydney, Australien, eingeloggt hat. Das ist eindeutig ein unmögliches Reiseereignis, dennoch war sein Login gültig. Anschließend sehen Sie, wie er Befehle verwendet, um auf eine Anwendung zuzugreifen, beispielsweise per SSL auf Daten auf einem SQL-Server.
JEFF: Warum sollte der CEO SSL verwenden und warum sollte er nach SQL-Daten suchen? Das ist sehr verdächtig, aber alle drei Aktionen sind dennoch nachvollziehbar, basierend auf allem, was wir mit den vorhandenen Tools und Daten feststellen können – richtig?
SNHEAL: Genau Jeff, um zusammenzufassen, was Threat Hunting wirklich braucht, ist eine Möglichkeit, alle Ihre Tools und Feeds zusammenzuführen und mit AI zu verarbeiten, um Muster zu finden, die speziell für die Suche nach den RICHTIGEN Daten entwickelt wurden. Wir nennen dies Öffnen-XDR –erweiterte Erkennung und Reaktion mit der Möglichkeit, sich in jedes System, Tool oder jeden Datenfeed zu integrieren. Genau wie wir Firewalls erweitert haben mit SIEMDeshalb ist es an der Zeit, zu überdenken, wie wir ein SOC. Eine Sammlung von Werkzeugen - oder - Eine intelligente Plattform ist der Schlüssel.
JEFF: Also, so wie ich das verstehe, geht es im Grunde um bessere Transparenz! Und darum, KI zu nutzen, um die RICHTIGEN Daten zu erhalten, die einem helfen, den komplexen Angriff effizienter zu erkennen.
SNEHAL: Ganz richtig, Jeff.
JEFF: Lasst uns also tiefer in das Thema Sichtbarkeit und KI eintauchen.
SCHNEEHAL: Sicher Jeff, das ist die Grundlage dafür, wie wir denken. Wir teilen gerne unsere Gedanken. Zunächst einmal, wie Sie links sehen können, ein traditionelles SOC verfügt über eine Sammlung von Werkzeugen. Diese Werkzeuge leisten in ihren jeweiligen Bereichen hervorragende Arbeit – wie zum Beispiel SIEM für Protokolle, UEBA für das Verhalten und NTA für den Netzwerkverkehr. Das Problem, das wir jetzt feststellen, ist, dass es immer noch blinde Flecken zwischen diesen Tools und kritischen Erkennungen gibt, die Sie über einen komplexen Angriff informieren und übersehen werden. Selbst wenn einige dieser Tools maschinelles Lernen verwenden, verhindern die blinden Flecken einen zusammenhängenden Ansatz.
JEFF: Das leuchtet mir ein. Ich bin gespannt, wie Kunden Ihrer Meinung nach diese Lücken schließen und sowohl Erkenntnisse als auch umfassende Transparenz gewinnen können.
SNEHAL: Absolut, ganz rechts – wir glauben, dass eine Möglichkeit, all Ihre Tools zu integrieren, darin besteht, über Plattformen nachzudenken und ein offenes System zu nutzen, das auf Ihrer bestehenden Infrastruktur aufbaut. So lassen sich komplexe Angriffe besser analysieren. Es gibt nun nur noch einen gemeinsamen Data Lake, in dem alle Daten bei der Erfassung normalisiert werden. Die Analyse ist dadurch deutlich schneller, und KI hilft Ihnen, Big-Data-Trends zu erkennen und kurz- sowie langfristige Trends zu identifizieren. Kurz gesagt: Sie haben eine zentrale Plattform, um alle Erkennungen – alle Daten – alle Quellen, Protokolle, den gesamten Datenverkehr sowie die Transparenz von Cloud, Netzwerk, Endpunkten, Benutzern und Anwendungen zu visualisieren, zu analysieren und darauf zu reagieren.
JEFF: Danke, Snehal, ich denke, es ist an der Zeit, das Produkt in Aktion zu sehen! Schauen wir uns einen praktischen Anwendungsfall an – kannst du eine kurze Demo geben?
SNEHAL: Klar, Jeff, ich gehe jetzt gleich zu Threat Hunt und zeige dir in vier Schritten, wie ich ein gehacktes Gerät erkenne und den Angriff stoppe. Zuerst habe ich gerade einen infizierten Server identifiziert; er wurde gehackt.
JEFF: Das hast du genau richtig erkannt, dein Dashboard sieht benutzerfreundlich aus.
SNEHAL: Danke Jeff, unsere Kunden bestätigen das und sagen uns, dass Schulungen nur Tage, nicht Wochen dauern. Jetzt zeige ich Ihnen den zweiten Schritt. Ich öffne unseren Interflow-Datensatz, der im JSON-Format vorliegt. Jetzt kann ich sehen, wie sie diesen Server gehackt haben.
JEFF: Das sieht nach einer Menge Details in einer einzigen Datei aus. Viele unserer Kunden beklagen sich darüber, dass sie mehrere Tools verwenden müssen, um sich ein vollständiges Bild von einem Ereignis zu machen.
SNEHAL: Danke Jeff, genau, es beinhaltet auch, wie die KI jedes Ereignis verarbeitet hat, sodass Sie einen verwertbaren Datensatz erhalten. Schauen wir uns nun den dritten Schritt an: Ich werde das Gerät daran hindern, Datenverkehr zu senden. Ich habe unsere Threat-Hunting-Bibliothek verwendet, um eine Reaktion auszulösen und den Port zu schließen.
JEFF: Ich sehe die Stärke einer integrierten Plattform – mit nur wenigen Klicks können Sie schnell handeln. Genau so helfen Sie Organisationen, ihre Abläufe zu optimieren. SOC einfacher!
SCHNEEHAL: Das stimmt, Jeff, unsere Kunden sagen uns, dass sie die Produktivität dramatisch gesteigert haben, in vielen Fällen um mehrere Größenordnungen -Dies ist der beste Weg, um die Kraft der KI zu demonstrieren. Beenden wir nun diesen Anwendungsfall für die Bedrohungsjagd mit dem vierte und letzter Schritt: Wenn Sie sehen, ob der Server jetzt andere Geräte infiziert, wie wir zuerst besprochen haben, ist dies eine übliche Methode, mit der Hacker andere Geräte in Ihrer Umgebung infizieren.
Viele andere Geräte benötigen jetzt Aufmerksamkeit.
JEFF: Danke Snehal, ich bin überzeugt, dass ich sehen kann, dass du wirklich viel geleistet hast, und das war einfach und hat wirklich nur ein paar Minuten gedauert.
JEFF: Snehal, ich denke, wir sollten zum Schluss kommen. Kannst du unsere heutige Diskussion zusammenfassen?
SCHNEEHAL: Sicher Jeff, ich denke, das Wichtigste, was ich sagen kann, ist, dass Hacker jetzt neue Ansätze verwenden. Kunden müssen sich neue Tools ansehen, um sie zu bekämpfen. Denken Sie anstelle von isolierten Werkzeugen an eine Plattform, die Werkzeuge miteinander verbindet. Jetzt haben Sie eine bessere Möglichkeit, die richtigen Daten zu sehen, mehr zu wissen und schneller zu reagieren. Wir denken, Kunden haben es satt, geschlossene Systeme zu haben, und sie sind frustriert über die Lieferantenbindung - Systeme sollten offen sein. Wir sind auch der Meinung, dass neue Ideen alle vorhandenen Tools und Datenfeeds nutzen und nutzen müssen - und dass sie besser funktionieren durch die Kraft der KI.
Denken Sie als nächstes an Apps, nicht an Skripte. Verfügen Sie über eine Bibliothek vorgefertigter Playbook-Anwendungen, mit denen sich Ihre Analysten schneller bewegen und die Talente erweitern können, bei denen Sie einstellen können
JEFF: Danke, Snehal. Ziel dieser Sitzung ist es also, sicherzustellen, dass Kunden/Klienten neue, aussagekräftige Erkenntnisse gewinnen, die auf Tools und Daten basieren, denen sie bereits vertrauen. Ich bin überzeugt, dass der Hongkonger Markt diese Herangehensweise begrüßen wird!
