सुरक्षा टीमों ने अधिक डेटा एकत्र करने, अधिक अलर्ट उत्पन्न करने और अधिक आक्रमण क्षेत्रों को कवर करने में वर्षों बिताए हैं।
लेकिन अधिक होना हमेशा बेहतर नहीं होता।
अधिक अलर्ट का मतलब अधिक शोर हो सकता है। अधिक पहचान का मतलब अधिक गलत सकारात्मक परिणाम हो सकते हैं। अधिक टेलीमेट्री का मतलब अधिक डेटा खोजना, संग्रहीत करना, सामान्य करना और व्याख्या करना हो सकता है। एमएसएसपीइससे मार्जिन पर दबाव पड़ता है। कम संसाधनों वाली सुरक्षा टीमों के लिए, यह थकान पैदा करता है और प्रतिक्रिया को धीमा कर देता है।
असली सवाल यह नहीं है कि आपका सुरक्षा तंत्र अधिक अलर्ट उत्पन्न कर सकता है या नहीं। असली सवाल यह है कि क्या यह बेहतर निर्णय लेने में सक्षम है।
इसीलिए, सुरक्षा संचालन (SecOps) की दक्षता के सबसे महत्वपूर्ण मापदंडों में से एक डिटेक्शन फिडेलिटी (पता लगाने की सटीकता) बन रही है।
उच्च-विश्वसनीयता वाली पहचान टीमों को महत्वपूर्ण चीज़ों पर ध्यान केंद्रित करने में मदद करती है। यह समय की बर्बादी को कम करती है। यह आत्मविश्वास बढ़ाती है। यह प्राथमिक उपचार प्रक्रिया को गति देती है। यह टीमों को सही मामलों को आगे बढ़ाने और गलत मामलों को तेज़ी से निपटाने में मदद करती है।
स्टेलर साइबर 6.5 यह आधुनिक सुरक्षा संचालन के तीन सबसे महत्वपूर्ण क्षेत्रों - पहचान, क्लाउड और नेटवर्क - में पता लगाने की सटीकता को मजबूत करता है।
पहचान संबंधी हमलों से निपटने के लिए बेहतर सिग्नल गुणवत्ता की आवश्यकता है।
आधुनिक हमलावर तेजी से वैध क्रेडेंशियल्स का उपयोग कर रहे हैं। वे उपयोगकर्ताओं को फ़िशिंग का शिकार बनाते हैं, क्रेडेंशियल्स खरीदते हैं, टोकन चुराते हैं, विशेषाधिकार प्राप्त खातों का दुरुपयोग करते हैं और वैध उपयोगकर्ताओं की तरह दिखते हुए विभिन्न वातावरणों में घुसपैठ करते हैं।
इससे पता लगाने की समस्या बदल जाती है।
अकेले असफल लॉगिन से शायद कोई फर्क न पड़े। अकेले सफल लॉगिन सामान्य लग सकता है। लेकिन व्यापक ब्रूटफोर्स हमलों के बाद सफल लॉगिन होना अलग बात है। यह पैटर्न संकेत दे सकता है कि हमलावर को अंततः सही क्रेडेंशियल मिल गया और उसने एक्सेस हासिल कर लिया।
स्टेलर साइबर 6.5 इसमें ब्रूट फोर्स के बाद सफल लॉगिन के लिए एक नया अलर्ट प्रकार जोड़ा गया है। ITDRयह पहचान असफल प्रमाणीकरण गतिविधि को सफल लॉगिन से जोड़ती है जो खाते की सुरक्षा में सेंध का संकेत दे सकती है।
यह असफल लॉगिन अलर्ट के ढेर से कहीं अधिक उपयोगी संकेत है।
यह विश्लेषकों को उस बिंदु पर ध्यान केंद्रित करने में मदद करता है जहां जोखिम बदलता है: जब प्रवेश का प्रयास सफल होने लगता है। यह एमएसएसपी और छोटी टीमों को हर असफल लॉगिन प्रयास का पीछा करने के बजाय, पहचान संबंधी उन गतिविधियों को प्राथमिकता देने में भी मदद करता है जिनसे सुरक्षा में सेंध लगने की संभावना अधिक होती है।
ग्राहक डिटेक्शन मैनेजमेंट सिस्टम में थ्रेशहोल्ड और लुकबैक अवधि को समायोजित कर सकते हैं, जिससे टीमें डिटेक्शन व्यवहार को अपने परिवेश के अनुरूप बना सकें। यह महत्वपूर्ण है क्योंकि पहचान व्यवहार संगठनों, उद्योगों, भौगोलिक क्षेत्रों और दूरस्थ कार्य पैटर्न में व्यापक रूप से भिन्न होता है।
जिस डिटेक्शन को ट्यून नहीं किया जा सकता, वह शोरगुल वाला हो जाता है। जो डिटेक्शन वातावरण के अनुकूल ढल जाता है, वह संचालन की दृष्टि से उपयोगी हो जाता है।
केवल जियो-आईपी ही पर्याप्त नहीं है
स्थान-आधारित लॉगिन विसंगतियाँ उपयोगी तो हैं, लेकिन इनसे गड़बड़ी भी हो सकती है। उपयोगकर्ता यात्रा करते हैं। कर्मचारी वीपीएन का उपयोग करते हैं। क्लाउड प्रदाता अप्रत्याशित तरीकों से ट्रैफ़िक रूट करते हैं। दूरस्थ कार्य से पहुँच के पैटर्न बदल जाते हैं। जियो-आईपी डेटा अधूरा या भ्रामक हो सकता है।
स्टेलर साइबर 6.5 यह उपयोगकर्ता लॉगिन स्थान विसंगति और असंभव यात्रा विसंगति का पता लगाने के लिए मौजूदा भू-आईपी विश्लेषण में एएसएन और उपयोगकर्ता-एजेंट संकेतों को जोड़कर स्थान-आधारित विसंगति का पता लगाने में सुधार करता है।
इससे टीमों को संदिग्ध पहुंच के बारे में अधिक जानकारी मिलती है। लॉगिन का मूल्यांकन न केवल उसके स्रोत के आधार पर किया जा सकता है, बल्कि नेटवर्क प्रदाता, एक्सेस पैटर्न और उपयोगकर्ता-एजेंट व्यवहार के आधार पर भी किया जा सकता है।
यह अतिरिक्त जानकारी वास्तविक सुरक्षा उल्लंघन को सामान्य यात्रा, वीपीएन उपयोग या दूरस्थ कार्य व्यवहार से अलग करने में मदद करती है। साथ ही, यह विश्लेषकों को प्राथमिक निर्णय लेने के लिए अधिक ठोस आधार प्रदान करती है।
बेहतर पहचान का पता लगाने के लिए इस तरह के स्तरित विश्लेषण की आवश्यकता होती है। केवल यह पूछना पर्याप्त नहीं है कि लॉगिन कहां से आया। टीमों को यह भी समझने की आवश्यकता है कि उपयोगकर्ता ने कैसे कनेक्ट किया, इसमें कौन सा इंफ्रास्ट्रक्चर शामिल था, कौन सा यूजर-एजेंट पैटर्न दिखाई दिया, और क्या यह व्यवहार उपयोगकर्ता के इतिहास से मेल खाता है।
क्लाउड से जुड़े जोखिम सुरक्षा कार्यप्रणाली का हिस्सा हैं।
क्लाउड में गलत कॉन्फ़िगरेशन केवल अनुपालन संबंधी कमियां नहीं हैं। वे सक्रिय सुरक्षा जोखिम बन सकते हैं।
A सार्वजनिक S3 बकेट नीति, वाइल्डकार्ड आईएएम विशेषाधिकार, सर्वर-साइड एन्क्रिप्शन का अभाव, जोखिम भरा डिफ़ॉल्ट वीपीसी कॉन्फ़िगरेशन, उजागर उच्च-जोखिम वाला पोर्ट, या हटा दिया गया EC2 सुरक्षा समूह इससे हमले की सतह में काफी बदलाव आ सकता है।
समस्या यह है कि क्लाउड से जुड़ा जोखिम अक्सर मुख्य सुरक्षा प्रक्रिया से बाहर रहता है। यह किसी CSPM टूल, क्लाउड कंसोल, कंप्लायंस रिपोर्ट या इंजीनियरिंग बैकलॉग में मौजूद हो सकता है। वहीं, विश्लेषक क्लाउड की स्थिति की पूरी जानकारी के बिना ही गतिविधियों की जांच कर रहे होते हैं, जो जोखिम को स्पष्ट या बढ़ा सकती है।
स्टेलर साइबर 6.5 यह क्लाउड डिटेक्शन एंड रिस्पॉन्स को AWS कॉन्फ़िग इवेंट्स के लिए अंतर्निर्मित डिटेक्शन के साथ बढ़ाता है, जिसमें जोखिम भरी डिफ़ॉल्ट VPC कॉन्फ़िगरेशन, वाइल्डकार्ड IAM विशेषाधिकार, S3 सर्वर-साइड एन्क्रिप्शन की कमी, हटाए गए EC2 सुरक्षा समूह, इंटरनेट पर उजागर उच्च जोखिम वाले पोर्ट, सार्वजनिक S3 बकेट नीतियां और संबंधित क्लाउड एक्सपोज़र सिग्नल शामिल हैं।
इससे क्लाउड कॉन्फ़िगरेशन जोखिम अन्य सुरक्षा संकेतों के समान परिचालन मॉडल में आ जाता है।
जब क्लाउड जोखिम पहचान, एंडपॉइंट, नेटवर्क और लॉग गतिविधि के साथ दिखाई देता है, तो विश्लेषक व्यापक परिदृश्य को समझ सकते हैं। क्लाउड एक्सपोज़र अब केवल एक स्थिति का मुद्दा नहीं रह जाता है। यह जांच के संदर्भ का हिस्सा बन जाता है।
MSSP के लिए, यह क्लाउड-आधारित प्रबंधित पहचान और प्रतिक्रिया को मजबूत बनाता है। छोटी सुरक्षा टीमों के लिए, यह अलग-अलग टीमों को मैन्युअल रूप से काम करने की आवश्यकता के बिना क्लाउड सुरक्षा और दैनिक SecOps को जोड़ने में मदद करता है।
एनडीआर अभी भी महत्वपूर्ण है क्योंकि हमलावर अभी भी सक्रिय हैं।
पहचान और क्लाउड दृश्यता आवश्यक हैं, लेकिन हमलावर फिर भी नेटवर्क पर सक्रिय रहते हैं। वे स्कैन करते हैं। वे कनेक्ट करते हैं। वे फ़ाइलें स्थानांतरित करते हैं। वे नेटवर्क के आर-पार जाते हैं। वे कमांड-एंड-कंट्रोल इन्फ्रास्ट्रक्चर के साथ संवाद करते हैं। वे डेटा को व्यवस्थित करते हैं। वे डेटा चुराते हैं।
यही कारण है NDR एआई-संचालित सेकऑप्स वातावरण के भीतर एक महत्वपूर्ण संकेत स्रोत बना रहता है।
अंतर केवल एनडीआर (नेशनल डिजिटल डेटा रिपोर्ट) का होना नहीं है। अंतर यह है कि पहचान, एंडपॉइंट, क्लाउड और तृतीय-पक्ष डेटा के साथ-साथ क्रॉस-डोमेन मामलों के हिस्से के रूप में नेटवर्क टेलीमेट्री का उपयोग किया जाता है।
इससे विश्लेषकों को नेटवर्क अलर्ट की अलग-थलग जांच करने से बचने में मदद मिलती है। नेटवर्क व्यवहार से यह पुष्टि हो सकती है कि कोई पहचान संबंधी अलर्ट गंभीर है या नहीं, क्या पार्श्व गतिविधि हुई है, क्या आंतरिक फ़ाइल एक्सेस संदिग्ध प्रतीत होता है, या क्या कोई एंडपॉइंट घटना व्यापक हमले के मार्ग का हिस्सा है।
स्टेलर साइबर 6.5 फ़ायरवॉल और WAF एक्शन नॉर्मलाइज़ेशन, यूज़र कोरिलेशन और केस स्कोर की सटीकता में सुधार करता है। बेहतर नॉर्मलाइज़ेशन विश्लेषकों को विभिन्न ग्राहक परिवेशों और सुरक्षा उपकरणों में अधिक सुसंगत संकेत प्रदान करता है। बेहतर यूज़र कोरिलेशन नेटवर्क गतिविधि को संबंधित खातों और लोगों से जोड़ता है। बेहतर केस स्कोरिंग टीमों को सबसे अधिक जोखिम वाली गतिविधि पर पहले ध्यान केंद्रित करने में मदद करती है।
यह रिलीज Azure वर्चुअल नेटवर्क TAP के साथ मॉड्यूलर सेंसर परिनियोजन को भी मान्य और दस्तावेजीकृत करती है, जिससे ग्राहकों को Azure ट्रैफिक को Stellar Cyber मॉड्यूलर सेंसर में मिरर करने और क्लाउड वातावरण में नेटवर्क दृश्यता का विस्तार करने में मदद मिलती है।
यह महत्वपूर्ण है क्योंकि क्लाउड वर्कलोड अभी भी नेटवर्क व्यवहार उत्पन्न करते हैं। पूर्व-पश्चिम आवागमन, संदिग्ध सेवा संचार और डेटा आवागमन जैसी समस्याएं सिर्फ इसलिए खत्म नहीं हो जातीं क्योंकि वर्कलोड Azure में चल रहे हैं।
स्टेलर साइबर 6.5 में डीपीआई आउटपुट में एसएमबी सेशन आईडी भी जोड़ी गई हैं, जिससे विश्लेषकों को विभिन्न फ्लो में संबंधित एसएमबी गतिविधि को सहसंबंधित करने के लिए अधिक संदर्भ मिलता है। एसएमबी गतिविधि अक्सर पार्श्व मूवमेंट और आंतरिक फ़ाइल एक्सेस से संबंधित होती है। सेशन संदर्भ विश्लेषकों को संबंधित गतिविधि को जोड़ने और यह समझने में मदद करता है कि व्यवहार अलग-थलग है या किसी व्यापक हमले का हिस्सा है।
इस रिलीज़ में मैलवेयर निरीक्षण के लिए NFS फ़ाइल असेंबली भी जोड़ी गई है, जिससे NFSv3 और NFSv4 पर स्थानांतरित की गई फ़ाइलों को मैलवेयर विश्लेषण के लिए पुनर्निर्मित किया जा सकता है। Linux, Unix और मिश्रित इन्फ्रास्ट्रक्चर वातावरण में, दुर्भावनापूर्ण फ़ाइलों का स्थानांतरण NFS के माध्यम से हो सकता है। निरीक्षण के लिए फ़ाइलों को पुनर्निर्मित करने से मैलवेयर की गतिविधियों पर बेहतर नज़र रखी जा सकती है, जिन्हें अन्यथा पहचानना मुश्किल हो सकता है।
बेहतर पहचान से सुरक्षा अर्थशास्त्र में सुधार होता है।
के लिए एमएसएसपीजांच की सटीकता सीधे तौर पर सेवा वितरण की लागत को प्रभावित करती है। कम सटीकता वाली जांच से अधिक टिकट, अधिक शिकायतें, विश्लेषकों का अधिक समय और ग्राहकों की अधिक परेशानी होती है। उच्च सटीकता वाली जांच से विश्लेषक वास्तविक जोखिम पर ध्यान केंद्रित कर पाते हैं, प्रतिक्रिया समय में सुधार होता है और बेहतर लाभ मार्जिन पर बेहतर परिणाम प्राप्त होते हैं।
कम संसाधनों वाली सुरक्षा टीमों के लिए, सटीकता सीधे तौर पर क्षमता को प्रभावित करती है। पाँच लोगों की टीम पचास लोगों की टीम की तरह काम नहीं कर सकती। मैन्युअल व्याख्या की आवश्यकता वाले प्रत्येक अलर्ट से बहुमूल्य समय बर्बाद होता है। प्रत्येक गलत सूचना वास्तविक खतरों पर काम में देरी करती है। प्रत्येक छूटा हुआ सहसंबंध अनिश्चितता पैदा करता है।
पहचान, क्लाउड और नेटवर्क डिटेक्शन की सटीकता में सुधार करके, स्टेलर साइबर 6.5 टीमों को अनावश्यक जानकारी को कम करने और विश्वास बढ़ाने में मदद करता है।
लक्ष्य अधिक अलर्ट प्राप्त करना नहीं है। लक्ष्य बेहतर परिणाम प्राप्त करना है।
नीचे पंक्ति
डिटेक्शन फिडेलिटी, सेकऑप्स की दक्षता का नया मापदंड है।
स्टेलर साइबर 6.5 संबंधित संकेतों को जोड़कर, संदर्भ जोड़कर, सामान्यीकरण में सुधार करके और आधुनिक हमले के पैटर्न में दृश्यता का विस्तार करके पहचान, क्लाउड और नेटवर्क डोमेन में पता लगाने की गुणवत्ता में सुधार करता है।
एमएसएसपी और छोटी सुरक्षा टीमों के लिए, इसका मतलब है अनावश्यक जानकारी को छांटने में कम समय लगना, महत्वपूर्ण बातों पर अधिक भरोसा होना और पता लगाने से लेकर निर्णय लेने तक की प्रक्रिया में तेजी आना।
बेहतर पहचान प्रणाली से न केवल सुरक्षा में सुधार होता है, बल्कि सुरक्षा संचालन के तरीके में भी सुधार होता है।
