Todos los MSSP se enfrentan a una cantidad aplastante de alertas diariamente, pero ¿cómo gestionan la afluencia los socios más exitosos?
El sector de los proveedores de servicios de seguridad gestionados (MSSP) ha experimentado un aumento significativo de ataques contra MSP y sus socios este año. Esto ha dado lugar a nuevos ataques contra todo tipo de herramientas, desde herramientas de gestión remota de mantenimiento (RMM) hasta aplicaciones. Todos gestionamos una cantidad abrumadora de alertas a diario, así que, ¿cómo lo hacen los socios más exitosos?
Comience con la cadena de muerte. El marco más popular hoy en día es el MITRA marco de ataque. Si puede analizar sus alertas desde esta perspectiva, puede comenzar a reducir sus SOC La carga de trabajo de los equipos se reduce significativamente. Empieza con la etapa de reconocimiento. ¿Por qué empezar por ahí? Porque si puedes cortar las conexiones antes de que los atacantes se afiancen, puedes eliminar gran parte de la búsqueda y limpieza que tu equipo realiza actualmente.
Un gran ejemplo es log4j. Esto ha sido una gran molestia durante el último mes más o menos. Muchos atacantes están aprovechando esto porque actualmente genera mucho ruido. En cierto modo, ha sido amplificado a través del crowdsourcing por parte de múltiples grupos de ataque: cuantos más atacantes lo usen, más alertas verá relacionadas con él.
Esos escaneos iniciales no entregan ninguna carga útil, pero crean una tonelada de trabajo para su SOC. Si puede conectar el escaneo a la comunicación con un activo en su red, puede limitar su respuesta a las amenazas reales para su cliente. Esta es un área donde el aprendizaje automático puede mejorar significativamente sus posibilidades de éxito.
Mediante el aprendizaje automático no supervisado, se puede determinar si una máquina en particular se ha comunicado alguna vez con un host externo o ha ejecutado una aplicación específica como Log4j . Más importante aún, también se puede detectar si se está produciendo una exfiltración de datos. Stellar Cyber ha desarrollado una plataforma que relaciona esta información con el marco de ataque MITRE para identificar rápidamente este comportamiento, ubicarlo en la cadena de ataque y recomendar una táctica de remediación. Con este contexto, se puede adoptar un enfoque mucho más específico para responder a los ataques y no será necesario adquirir ni implementar detecciones especiales de múltiples proveedores.
Además, si detecta una conexión a un host malicioso conocido, puede finalizar la conexión automáticamente en el firewall y en el dispositivo. Con las reglas automatizadas de búsqueda de amenazas, puede elegir una detección, establecer la condición y la plataforma Stellar Cyber puede iniciar la respuesta mediante integraciones con su firewall y herramienta EDR . En definitiva, esto logra tres cosas muy importantes:
- Reducir el tiempo de detección de eventos reales.
- Desconecta el ruido.
- Automatice la respuesta para reducir el riesgo.
Cuando se dispone de una plataforma totalmente integrada que realiza estas tareas, todo es muy sencillo. Si desea obtener más información, póngase en contacto con Brian Stoner en Stellar Cyber.
