Es ist an der Zeit, dass die Cybersicherheitstechnologie mit den Gegnern Schritt hält. Nachdem wir so viele erfolgreiche mehrstufige Angriffe gesehen haben, müssen wir die Art und Weise, wie wir die Signale, die wir von allen Sicherheitstools in unseren Umgebungen sehen, korrelieren, neu bewerten. Korrelationen sind hilfreich, geben jedoch nicht immer das vollständige Bild wieder. Was ist die nächste Phase der Erkennung und Reaktion?
Um dies zu verstehen, müssen wir uns die aktuellen Frameworks ansehen, die Sicherheitsteams bei der Organisation ihrer täglichen Aufgaben unterstützen. Die Lockheed Martin Kill Chain war ein sehr beliebtes Framework, als die Verbreitung von Malware die Haupttaktik war. Es war sehr gut, die verschiedenen Phasen zu skizzieren, die die Angreifer durchliefen, um ihre Nutzlast einzusetzen. Als nächstes kam das MITRE ATT&CK-Framework. Dies wird heute von vielen Experten genutzt, weil es umfassender ist und die Taktiken und Techniken beschreibt, die in den letzten Jahren bei Angreifern an Popularität gewonnen haben.
Das Problem bei diesen umfangreichen und ausgeklügelten Frameworks besteht darin, dass es sehr schwierig ist, manuelle Regeln zu schreiben, um alle Signale aus Ihren Protokollquellen zu antizipieren und zu korrelieren. Die Menge an Protokollen, die gesammelt und aufbewahrt werden, explodiert. Dies ist selbst für die kleinsten Partner zu einer Big-Data-Herausforderung geworden. Was kann getan werden, um diese Herausforderung zu lösen?
Die Integration der Sicherheitsplattform und des Frameworks ist der Schlüssel. Heutzutage stellen viele Plattformen Links zu MITRE als Teil ihrer Bedrohungsinformationen bereit, aber normalerweise geschieht dies im Nachhinein. Was wir tun müssen, ist, die Warnungen im Rahmen in Echtzeit zu organisieren und zu präsentieren. Angreifer müssen in mehreren Phasen des Frameworks erfolgreich sein, um ihr Ziel zu erreichen. Wir müssen nur erfolgreich sein, um sie in einer der Phasen zu stoppen. Je früher die Phase, desto weniger muss aufgeräumt werden. Es gibt einige wichtige Prozesse, die Sie benötigen, um dies zu erreichen.
Zunächst benötigen Sie einen standardisierten und angereicherten Datensatz. Analysten sollen nicht länger erst im Nachhinein die Gefährlichkeit eines Signals bestimmen müssen. Die Lösung muss alle Daten mit einer Threat-Intelligence-Plattform abgleichen und den Datensatz mit diesen Informationen anreichern, bevor ein Eintrag erstellt wird. Sobald die Daten in einem Standardformat vorliegen, kann eine KI/ML-Komponente Signale verschiedener Bedrohungsvektoren in der Umgebung korrelieren. Die Warnmeldungen sind in der Angriffskette organisiert, die direkt den Phasen des MITRE-Angriffsframeworks entspricht. Wenn ein Analyst eine Warnmeldung sieht, ist die Priorisierung eindeutig.
Für Partner ist die Organisation und Verwaltung hunderter Warnmeldungen im Laufe eines Tages ein zeit- und ressourcenintensives Unterfangen. Die Lösung muss maschinelles Lernen (ML) beinhalten, das eine zusätzliche Korrelationsebene bietet, mehrstufige Angriffe als Vorfälle darstellt und jedem Vorfall eine Risikobewertung zuweist. Dies stellt eine zusätzliche ML-Ebene dar, die über die einfache Warnmeldungskorrelation hinausgeht und den Zeitaufwand erheblich reduziert. SOC Analysten verbringen viel Zeit damit, Warnmeldungen für die Analyse zu gruppieren. Idealerweise sollte die Lösung Analysten die Möglichkeit bieten, Warnmeldungen zu einem Vorfall hinzuzufügen oder zu löschen und die Bedrohungsbewertung anzupassen.
Stellar Cyber ist das erste Unternehmen, das einen XDREine auf Angriffe ausgerichtete Kill Chain in Kombination mit ML-gestütztem, ereignisbasiertem Alarmmanagement. Jetzt ist der richtige Zeitpunkt, ML-Automatisierung zur Erkennung und Abwehr von Angreifern zu nutzen. Für weitere Informationen kontaktieren Sie uns bitte unter brain@stellarcyber.ai.
