Der Anker der Unternehmenssicherheit ist im Volksmund als a bekannt "Verteidigung in der Tiefe" die Architektur. Die Defense in Depth (DID) ist ein klassisches Verteidigungskonzept des Militärs, das in den frühen 2000er Jahren in der Infosec-Community Akzeptanz fand. Die Infosec-Implementierung/-Version von DID wurde weiterentwickelt, um die Bedrohungen im Laufe der Zeit zu bewältigen.
Vor dem Aufkommen des Internets hatten Computer nur AV-Schutz, da die Hauptbedrohung Viren waren. Viren wurden über Datenträger (Diskette usw.) übertragen. Mit dem Internet waren alle Computer verbunden und Bedrohungen wie Würmer verbreiteten sich über Netzwerke, also mussten wir die Netzwerke sichern und wir mussten überwachen, wer überhaupt in die Netzwerke kam, und so weiter und so weiter.
In ihrer aktuellen Form ist die DID-Architektur gewachsen, um viele Schichten aufzunehmen, und entwickelt sich weiter. Die DID-Architektur wurde also in mehrschichtige Sicherheit übersetzt – Perimeter, Netzwerk, Endpunkt, Anwendung, Benutzer, Daten, Richtlinien usw. Für jede Schicht wurde eine separate und eindeutige Kontrolle entwickelt, um diese Schicht vor Bedrohungen zu schützen. Zu den technischen Sicherheitskontrollen gehörten beispielsweise Lösungen wie z Firewalls, sichere Web-Gateways, IDS/IPS, EDR, DLP, WAF und Anti-Malware Produkte.
Neben der Bereitstellung der mehrschichtigen Sicherheitslösung für die sich im Laufe der Zeit entwickelnde Bedrohungslandschaft wurden die Lösungen von verschiedenen Gruppen innerhalb des Unternehmens besessen, verwaltet und betrieben. Zum Beispiel die Firewall-Lösung war im Besitz des Infrastrukturteams unter IT. Einer anderen Gruppe gehörte die E-Mail-Lösung, und einer anderen Gruppe gehörte die Endpoint-Sicherheitslösung. Dadurch entstand eine mehrschichtige Lösung, die unabhängig von allen anderen Lösungen existierte. Daher blieb das Konzept einer Insellösung mit allen Learnings im dafür verantwortlichen Team – in einem Silo.
Ein weiteres einzigartiges Merkmal, Best-of-Breed-Lösungen, zeichnete auch die Schichtlösung aus. Da sich die Lösungen weiterentwickelten, kam die Innovation aus unterschiedlichen Quellen und Disziplinen, und eine andere Gruppe von Anbietern stellte jede neue Lösungsschicht bereit.
Der DID- oder mehrschichtige Sicherheitsansatz funktionierte gut bei Einzelvektor-Bedrohungen, dh wenn die Bedrohung im selben Vektor ein- und austrat. Ein klassisches Beispiel für diese frühen Bedrohungen sind die von erkannten netzwerkbasierten Angriffe IDS / IPS, E-Mail-Bedrohungen wie Spam durch E-Mail-Gateways usw.
Mit zunehmender Komplexität der Bedrohungen und dem Aufkommen automatisierter Malware-Generierungstools, Botnets und Remote-Programmierung bricht das mehrschichtige Sicherheitsmodell jedoch auseinander. Dies liegt daran, dass sich die Annahme, die der mehrschichtigen Sicherheit innewohnt – dass alle Schutzmaßnahmen und Kontrollen perfekt aufeinander abgestimmt sind, um alle Bedrohungen zu erkennen, und dass es keine blinden Flecken gibt – als falsch erwiesen hat. Es gibt blinde Flecken, in die keines der Steuerelemente Einblick hat. Infolgedessen nutzen die Angreifer die blinden Flecken zu ihrem Vorteil, wodurch es schwierig wird, diese böswilligen Aktivitäten zu erkennen.
Aus unserer Erfahrung im Umgang mit einer Multi-Vektor-Bedrohung geht hervor, dass alle Kontrollen, die an einer Multi-Vektor-Bedrohung beteiligt sind, nur ihre Silos sehen und nichts darüber hinaus. Denken Sie daran, dass dies beabsichtigt ist und die Art und Weise, wie die aktuelle Lösung zustande kam.
Außerdem bedeutet die gesamte zugrunde liegende Einrichtung separater Infrastrukturen, Datensilos und Reaktionsmechanismen, dass die direkte Verwaltung der Kontrolle ein Problem zweiter Ordnung (n**2 – n) ist. Eine Schicht über allem zu haben, um zu funktionieren, ist jedoch ein Problem erster Ordnung (2n), das gelöst werden muss.
Die Optionen, um die blinden Flecken zu beheben, sind wie folgt:
- Haben Sie jede Kontrollabdeckung für ihren Nachbarn, an dem sie kein Interesse haben.
- Stellen Sie mehr Analysten ein, um die Sichtbarkeit manuell über die Silos hinaus zu erweitern
- Holen Sie sich ein Tool, das Einblick in die Kontrollen und ihre Daten in den Silos bietet und diese Multivektor-Bedrohungen durch automatisierte Datenerfassung, -korrelation, -erkennung und -reaktion erkennt.
Wenn Sie Option Nr. 3 gewählt haben, sind Sie richtig!
Unabhängig vom Namen ist die Lösung in Nr. 3 ein Umschlag, der alle Kontrollen umfasst, um Bedrohungen in den Silos zu erkennen, zu korrelieren, zu koordinieren und Reaktionsmaßnahmen für Bedrohungen bereitzustellen.
Und das ist der effizienteste Weg, um mehrstufige Sicherheitssysteme mit mehreren Kontrollen zu optimieren.
Sein Name ist Open XDR.
Open XDR ist das Bindegewebe zwischen Sicherheitskontrollen, das es Sicherheitsteams ermöglicht, die riesigen Datenmengen zu verstehen, die von ihren Sicherheitskontrollen generiert werden. Der Grund für den Namen „Open“ ist nicht trivial; es ist ein bestimmendes Merkmal der Lösung. Open XDRs kann Daten von jeder Sicherheitskontrolle aufnehmen, einschließlich beliebiger EDR eine Organisation eingesetzt hat. Durch die Verwendung speziell entwickelter Erkennungsfunktionen können Sie dann diese Multivektor-Bedrohungen ausmerzen, die Ihr Unternehmen auf die Titelseite der Zeitung (oder Nachrichten-Website) bringen können, wenn sie unentdeckt bleiben.
Während es in der Cyberabwehr keine Wunderwaffe gibt, Open XDR ist ein vielversprechender neuer Sicherheitsansatz, der blinde Flecken minimiert und gleichzeitig ein Sicherheitsteam effektiver macht.
