Alle MSSPs haben täglich mit einer erdrückenden Anzahl von Warnungen zu kämpfen – aber wie bewältigen die erfolgreichsten Partner den Zustrom?
Die MSSP- Branche verzeichnet dieses Jahr einen deutlichen Anstieg von Angriffen auf MSPs und deren Partner . Dies hat zu einer Reihe neuer Angriffe auf alles geführt, von RMM-Tools bis hin zu Anwendungen. Wir alle sehen uns täglich mit einer Flut von Warnmeldungen konfrontiert – wie bewältigen die erfolgreichsten Partner diese Herausforderung?
Beginnen Sie mit der Tötungskette. Das beliebteste Framework ist heute das MITRE Angriffsmodell. Wenn Sie Ihre Warnmeldungen aus dieser Perspektive betrachten, können Sie beginnen, deren Risiko zu reduzieren. SOC Die Arbeitsbelastung der Teams wird erheblich reduziert. Beginnen Sie mit der Aufklärungsphase. Warum dort beginnen? Weil Sie, wenn Sie die Verbindungen unterbrechen können, bevor die Angreifer Fuß fassen, einen Großteil der Such- und Aufräumarbeiten, die Ihr Team heute durchführen muss, eliminieren können.
Ein tolles Beispiel ist log4j. Dies war in den letzten Monaten oder so ein großes Ärgernis. Viele Angreifer nutzen dies, weil es derzeit so viel Lärm macht. In gewisser Weise wurde es durch Crowdsourcing durch mehrere Angriffsgruppen verstärkt – je mehr Angreifer es verwenden, desto mehr Warnungen werden Sie dazu sehen.
Diese anfänglichen Scans liefern keine Nutzlast, aber sie verursachen eine Menge Arbeit für Sie SOC. Wenn Sie den Scan mit der Kommunikation mit einem Asset in Ihrem Netzwerk verbinden können, können Sie Ihre Reaktion auf tatsächliche Bedrohungen für Ihren Kunden einschränken. Dies ist ein Bereich, in dem maschinelles Lernen Ihre Erfolgschancen erheblich verbessern kann.
Mithilfe von unüberwachtem maschinellem Lernen lässt sich feststellen, ob ein bestimmter Rechner jemals mit einem externen Host kommuniziert oder eine bestimmte Anwendung wie Log4j ausgeführt hat . Noch wichtiger ist die Erkennung von Datenexfiltration. Stellar Cyber hat eine Plattform entwickelt, die dies dem MITRE -Angriffsframework zuordnet, um dieses Verhalten schnell zu identifizieren, es in die Angriffskette einzuordnen und eine Gegenmaßnahme zu empfehlen. Mit diesem Kontext können Sie deutlich gezielter reagieren und müssen keine speziellen Erkennungslösungen verschiedener Anbieter erwerben oder einsetzen.
Darüber hinaus können Sie Verbindungen zu bekannten schädlichen Hosts automatisch auf der Firewall und dem Gerät trennen. Mithilfe automatisierter Regeln zur Bedrohungsanalyse wählen Sie eine Erkennung aus, legen die Bedingungen fest, und die Stellar Cyber Platform initiiert die Reaktion durch Integrationen mit Ihrer Firewall und Ihrem EDR-Tool . Dies erreicht letztendlich drei wichtige Ziele:
- Reduzieren Sie die Zeit bis zur Erkennung tatsächlicher Ereignisse.
- Schalten Sie das Rauschen aus.
- Automatisieren Sie die Reaktion, um Risiken zu reduzieren.
Mit einer vollständig integrierten Plattform, die diese Aufgaben übernimmt, ist es ganz einfach. Wenn Sie mehr erfahren möchten, wenden Sie sich bitte an Brian Stoner von Stellar Cyber.
