Ha llegado el momento de que la tecnología de seguridad cibernética se mantenga al día con los adversarios. Ahora que hemos visto tantos ataques exitosos en varias etapas, debemos reevaluar la forma en que correlacionamos las señales que estamos viendo de todas las herramientas de seguridad en nuestros entornos. La correlación es útil, pero no siempre pinta la imagen completa. ¿Cuál es la siguiente fase de detección y respuesta?
Para comprender esto, debemos observar los marcos actuales que ayudan a los equipos de seguridad a organizar sus tareas diarias. Lockheed Martin Kill Chain era un marco muy popular cuando la proliferación de malware era la táctica principal. Fue muy bueno para delinear las diferentes etapas por las que pasaron los atacantes para desplegar su carga útil. Luego vino el marco MITRE ATT & CK. Hoy en día, muchos expertos aprovechan esto porque es más completo y describe las tácticas y técnicas que han ganado popularidad entre los atacantes en los últimos años.
El problema con estos marcos grandes y sofisticados es que es muy difícil escribir reglas manuales para anticipar y correlacionar todas las señales de sus fuentes de registro. El volumen de troncos que se recolectan y retienen se está disparando. Esto se ha convertido en un desafío de big data incluso para los socios más pequeños. ¿Qué se puede hacer para resolver este desafío?
La integración de la plataforma de seguridad y el marco es la clave. Hoy en día, muchas plataformas proporcionan enlaces a MITRE como parte de su inteligencia de amenazas, pero generalmente es después del hecho. Lo que tenemos que hacer es organizar y presentar las alertas en el marco en tiempo real. Los atacantes deben tener éxito en múltiples etapas del marco para lograr su objetivo. Solo necesitamos tener éxito deteniéndolos en una de las etapas. Cuanto antes sea la etapa, menos habrá que limpiar. Hay algunos procesos clave que necesita para lograr esto.
En primer lugar, se necesita un conjunto de datos estandarizado y enriquecido. Ya no queremos que los analistas intenten determinar la peligrosidad de una señal a posteriori; la solución debe comparar toda la información con una plataforma de inteligencia de amenazas y enriquecer el conjunto de datos con dicha información antes de crear el registro. Una vez que los datos estén en un formato estándar, un componente de IA/aprendizaje automático puede correlacionar señales de múltiples vectores de amenaza en el entorno. Las alertas se organizan dentro de la cadena de ataque, que se corresponde directamente con las etapas del marco de ataque MITRE. Cuando un analista ve la alerta, no hay dudas sobre cómo priorizarla.
Para los socios, organizar y gestionar cientos de alertas a lo largo de un día requiere mucho tiempo y recursos. La solución debe contar con aprendizaje automático (ML) que proporcione una capa adicional de correlación, que represente los ataques multietapa como incidentes y asigne a cada incidente una puntuación de riesgo. Esta es una capa adicional de ML que va más allá de la simple correlación de alertas. Reducirá significativamente el tiempo. SOC Los analistas dedican tiempo a agrupar alertas para su análisis. Idealmente, la solución debería permitirles agregar o eliminar alertas del incidente y ajustar la puntuación de amenaza.
Stellar Cyber es el primero en proporcionar una XDRCadena de ataque centrada en la seguridad, junto con gestión de alertas basada en incidentes y optimizada con aprendizaje automático. Es el momento de aprovechar la automatización del aprendizaje automático para detectar y detener a los adversarios. Si desea obtener más información, escriba a brain@stellarcyber.ai.
