Tim keamanan telah menghabiskan bertahun-tahun mengumpulkan lebih banyak data, menghasilkan lebih banyak peringatan, dan mencakup lebih banyak celah keamanan.
Namun, lebih banyak belum tentu lebih baik.
Lebih banyak peringatan berarti lebih banyak gangguan. Lebih banyak deteksi berarti lebih banyak positif palsu. Lebih banyak telemetri berarti lebih banyak data untuk dicari, disimpan, dinormalisasi, dan dijelaskan. Untuk MSSPHal itu menciptakan tekanan pada margin keuntungan. Bagi tim keamanan yang ramping, hal itu menimbulkan kelelahan dan memperlambat respons.
Pertanyaan sebenarnya bukanlah apakah lingkungan keamanan Anda dapat menghasilkan lebih banyak peringatan. Pertanyaan sebenarnya adalah apakah lingkungan tersebut dapat menghasilkan keputusan yang lebih baik.
Oleh karena itu, akurasi deteksi menjadi salah satu ukuran terpenting efisiensi SecOps.
Deteksi dengan akurasi tinggi membantu tim fokus pada hal-hal yang penting. Ini mengurangi waktu yang terbuang. Ini meningkatkan kepercayaan diri. Ini mempercepat proses triase. Ini membantu tim untuk meningkatkan kasus yang tepat dan menutup kasus yang salah dengan lebih cepat.
Stellar Cyber 6.5 Memperkuat akurasi deteksi di tiga domain terpenting dalam operasi keamanan modern: identitas, cloud, dan jaringan.
Serangan Identitas Membutuhkan Kualitas Sinyal yang Lebih Baik
Penyerang modern semakin sering menggunakan kredensial yang valid. Mereka melakukan phishing terhadap pengguna, membeli kredensial, mencuri token, menyalahgunakan akun istimewa, dan bergerak di berbagai lingkungan dengan tampak seperti pengguna yang sah.
Hal itu mengubah permasalahan deteksi.
Upaya login yang gagal saja mungkin tidak menjadi masalah. Upaya login yang berhasil saja mungkin terlihat normal. Tetapi upaya login yang berhasil setelah aktivitas brute-force yang tersebar adalah hal yang berbeda. Pola tersebut dapat mengindikasikan bahwa penyerang akhirnya menemukan kredensial yang tepat dan berhasil mendapatkan akses.
Stellar Cyber 6.5 menambahkan tipe peringatan Login Berhasil Setelah Serangan Brute Force yang baru. ITDRDeteksi ini menghubungkan aktivitas otentikasi yang gagal dengan login yang berhasil, yang mungkin mengindikasikan adanya pelanggaran akun.
Itu adalah sinyal yang lebih bermanfaat daripada tumpukan peringatan login yang gagal.
Hal ini membantu analis untuk fokus pada titik di mana risiko berubah: ketika upaya akses tampaknya menjadi akses yang berhasil. Ini juga membantu MSSP dan tim yang ramping untuk memprioritaskan aktivitas identitas yang lebih mungkin mengindikasikan adanya pelanggaran daripada mengejar setiap upaya login yang gagal.
Pelanggan dapat menyesuaikan ambang batas dan periode penelusuran di Sistem Manajemen Deteksi, memungkinkan tim untuk menyelaraskan perilaku deteksi dengan lingkungan mereka. Hal ini penting karena perilaku identitas sangat bervariasi di berbagai organisasi, industri, wilayah geografis, dan pola kerja jarak jauh.
Deteksi yang tidak dapat disetel akan menghasilkan gangguan. Deteksi yang beradaptasi dengan lingkungan akan bermanfaat secara operasional.
Geo-IP Saja Tidak Cukup
Anomali login berbasis lokasi memang berguna, tetapi juga bisa menimbulkan banyak gangguan. Pengguna sering bepergian. Karyawan menggunakan VPN. Penyedia layanan cloud mengarahkan lalu lintas dengan cara yang tidak terduga. Kerja jarak jauh mengubah pola akses. Data geo-IP bisa tidak lengkap atau menyesatkan.
Stellar Cyber 6.5 Meningkatkan deteksi anomali berbasis lokasi dengan menambahkan sinyal ASN dan agen pengguna ke analisis geo-IP yang ada untuk deteksi Anomali Lokasi Login Pengguna dan Anomali Perjalanan yang Mustahil.
Hal ini memberikan tim lebih banyak konteks seputar akses yang mencurigakan. Sebuah proses login dapat dievaluasi tidak hanya dari mana asalnya, tetapi juga dari penyedia jaringan, pola akses, dan perilaku agen pengguna.
Konteks tambahan tersebut membantu membedakan pelanggaran keamanan yang sebenarnya dari perjalanan normal, penggunaan VPN, atau perilaku kerja jarak jauh. Hal ini juga memberikan dasar yang lebih dapat dipertanggungjawabkan bagi para analis dalam mengambil keputusan prioritas.
Deteksi identitas yang lebih baik bergantung pada analisis berlapis semacam ini. Tidak cukup hanya menanyakan dari mana login berasal. Tim juga perlu memahami bagaimana pengguna terhubung, infrastruktur apa yang terlibat, pola agen pengguna apa yang muncul, dan apakah perilaku tersebut sesuai dengan riwayat pengguna.
Risiko Cloud Harus Terintegrasi dalam Alur Kerja Keamanan
Kesalahan konfigurasi cloud bukan hanya temuan kepatuhan. Hal itu dapat menjadi risiko keamanan aktif.
A bucket S3 publik kebijakan, IAM liar hak akses, enkripsi sisi server yang hilang, konfigurasi VPC default yang berisiko, port berisiko tinggi yang terekspos, atau dihapus. Grup keamanan EC2 dapat secara signifikan mengubah permukaan serangan.
Masalahnya adalah risiko cloud seringkali berada di luar alur kerja keamanan inti. Risiko tersebut mungkin tersimpan dalam alat CSPM, konsol cloud, laporan kepatuhan, atau daftar tugas rekayasa. Sementara itu, analis menyelidiki aktivitas tanpa visibilitas penuh terhadap postur cloud yang dapat menjelaskan atau memperkuat risiko tersebut.
Stellar Cyber 6.5 Meningkatkan Deteksi dan Respons Cloud dengan deteksi bawaan untuk peristiwa AWS Config, termasuk konfigurasi VPC default yang berisiko, hak istimewa IAM wildcard, enkripsi sisi server S3 yang hilang, grup keamanan EC2 yang dihapus, port berisiko tinggi yang terekspos ke internet, kebijakan bucket S3 publik, dan sinyal paparan cloud terkait.
Hal ini membawa risiko konfigurasi cloud ke dalam model operasional yang sama dengan sinyal keamanan lainnya.
Ketika risiko cloud muncul bersamaan dengan aktivitas identitas, endpoint, jaringan, dan log, analis dapat memahami gambaran yang lebih luas. Paparan cloud bukan lagi sekadar masalah postur. Ini menjadi bagian dari konteks investigasi.
Bagi MSSP, ini memperkuat deteksi dan respons terkelola yang sadar cloud. Bagi tim keamanan yang ramping, ini membantu menghubungkan keamanan cloud dan SecOps sehari-hari tanpa memerlukan tim terpisah untuk menjembatani kesenjangan secara manual.
NDR Masih Penting Karena Penyerang Masih Bergerak
Visibilitas identitas dan cloud sangat penting, tetapi penyerang masih bergerak melintasi jaringan. Mereka memindai. Mereka terhubung. Mereka mentransfer file. Mereka bergerak secara lateral. Mereka berkomunikasi dengan infrastruktur komando dan kontrol. Mereka menyiapkan data. Mereka melakukan eksfiltrasi.
Inilah sebabnya mengapa NDR tetap menjadi sumber sinyal penting di dalam lingkungan SecOps yang digerakkan oleh AI.
Yang membedakannya bukan sekadar memiliki NDR. Yang membedakannya adalah menggunakan telemetri jaringan sebagai bagian dari kasus lintas domain bersamaan dengan data identitas, endpoint, cloud, dan pihak ketiga.
Hal itu membantu analis menghindari penyelidikan peringatan jaringan secara terpisah. Perilaku jaringan dapat mengkonfirmasi apakah peringatan identitas itu serius, apakah terjadi pergerakan lateral, apakah akses file internal terlihat mencurigakan, atau apakah suatu peristiwa pada titik akhir merupakan bagian dari jalur serangan yang lebih luas.
Stellar Cyber 6.5 meningkatkan normalisasi tindakan firewall dan WAF, korelasi pengguna, dan akurasi skor kasus. Normalisasi yang lebih baik memberikan sinyal yang lebih konsisten kepada analis di berbagai lingkungan pelanggan dan alat keamanan. Korelasi pengguna yang lebih baik mengaitkan aktivitas jaringan dengan akun dan orang-orang yang terlibat. Penilaian kasus yang lebih baik membantu tim untuk fokus pada aktivitas berisiko tertinggi terlebih dahulu.
Rilis ini juga memvalidasi dan mendokumentasikan penerapan Sensor Modular dengan Azure Virtual Network TAP, membantu pelanggan mencerminkan lalu lintas Azure ke Sensor Modular Stellar Cyber dan memperluas visibilitas jaringan ke lingkungan cloud.
Hal ini penting karena beban kerja cloud masih menghasilkan perilaku jaringan. Pergerakan timur-barat, komunikasi layanan yang mencurigakan, dan pergerakan data tidak hilang hanya karena beban kerja berjalan di Azure.
Stellar Cyber 6.5 juga menambahkan ID sesi SMB ke output DPI, memberikan analis lebih banyak konteks untuk mengkorelasikan aktivitas SMB terkait di berbagai alur. Aktivitas SMB seringkali relevan dengan pergerakan lateral dan akses file internal. Konteks sesi membantu analis menghubungkan aktivitas terkait dan memahami apakah perilaku tersebut terisolasi atau merupakan bagian dari serangan yang lebih luas.
Rilis ini juga menambahkan perakitan file NFS untuk inspeksi malware, memungkinkan file yang ditransfer melalui NFSv3 dan NFSv4 untuk direkonstruksi guna analisis malware. Di lingkungan Linux, Unix, dan infrastruktur campuran, pergerakan file berbahaya dapat terjadi melalui NFS. Merekonstruksi file untuk inspeksi meningkatkan visibilitas terhadap pergerakan malware yang mungkin sulit dideteksi.
Deteksi yang Lebih Baik Meningkatkan Ekonomi Keamanan
Untuk MSSPAkurasi deteksi secara langsung memengaruhi ekonomi penyampaian layanan. Deteksi dengan akurasi rendah menghasilkan lebih banyak tiket, lebih banyak eskalasi, lebih banyak waktu analis, dan lebih banyak gesekan pelanggan. Deteksi dengan akurasi tinggi membantu analis fokus pada risiko nyata, meningkatkan waktu respons, dan memberikan hasil yang lebih baik dengan margin yang lebih baik.
Bagi tim keamanan yang ramping, akurasi secara langsung memengaruhi kapasitas. Tim yang terdiri dari lima orang tidak dapat beroperasi seperti tim yang terdiri dari lima puluh orang. Setiap peringatan yang memerlukan interpretasi manual menghabiskan waktu yang berharga. Setiap kesalahan positif menunda pekerjaan pada ancaman nyata. Setiap korelasi yang hilang menciptakan ketidakpastian.
Dengan meningkatkan akurasi deteksi identitas, cloud, dan jaringan, Stellar Cyber 6.5 membantu tim mengurangi gangguan dan meningkatkan kepercayaan diri.
Tujuannya bukanlah lebih banyak peringatan. Tujuannya adalah kasus yang lebih baik.
The Bottom Line
Keakuratan deteksi adalah metrik efisiensi SecOps yang baru.
Stellar Cyber 6.5 meningkatkan kualitas deteksi di seluruh domain identitas, cloud, dan jaringan dengan menghubungkan sinyal terkait, menambahkan konteks, meningkatkan normalisasi, dan memperluas visibilitas ke dalam pola serangan modern.
Bagi MSSP dan tim keamanan yang ramping, itu berarti lebih sedikit waktu untuk menyaring hal-hal yang tidak penting, lebih banyak kepercayaan pada hal-hal yang benar-benar penting, dan pergerakan yang lebih cepat dari deteksi ke pengambilan keputusan.
Deteksi yang lebih baik tidak hanya meningkatkan keamanan, tetapi juga meningkatkan cara kerja operasi keamanan.
