Sudah saatnya teknologi keamanan siber mengimbangi para musuh. Kini setelah kita melihat begitu banyak serangan multitahap yang berhasil, kita perlu menilai ulang cara kita menghubungkan sinyal yang kita lihat dari semua alat keamanan di lingkungan kita. Korelasi memang membantu, tetapi tidak selalu menggambarkan gambaran yang lengkap. Apa fase berikutnya dalam deteksi dan respons?
Untuk memahami hal ini, kita perlu melihat kerangka kerja terkini yang membantu tim keamanan mengatur tugas harian mereka. Lockheed Martin Kill Chain merupakan kerangka kerja yang sangat populer saat penyebaran malware menjadi taktik utama. Kerangka kerja ini sangat bagus dalam menguraikan berbagai tahap yang dilalui penyerang untuk menyebarkan muatan mereka. Berikutnya adalah kerangka kerja MITRE ATT&CK. Kerangka kerja ini dimanfaatkan oleh banyak pakar saat ini karena lebih komprehensif, yang menggambarkan taktik dan teknik yang semakin populer di kalangan penyerang selama beberapa tahun terakhir.
Masalah dengan kerangka kerja yang besar dan canggih ini adalah sangat sulit untuk menulis aturan manual guna mengantisipasi dan menghubungkan semua sinyal dari sumber log Anda. Volume log yang dikumpulkan dan disimpan meroket. Hal ini telah menjadi tantangan data besar bahkan bagi mitra terkecil sekalipun. Apa yang dapat dilakukan untuk mengatasi tantangan ini?
Integrasi platform keamanan dan kerangka kerja adalah kuncinya. Saat ini, banyak platform menyediakan tautan ke MITRE sebagai bagian dari intelijen ancaman mereka, tetapi biasanya hal ini dilakukan setelah kejadian. Yang perlu kita lakukan adalah mengatur dan menyajikan peringatan dalam kerangka kerja secara langsung. Penyerang harus berhasil di beberapa tahap kerangka kerja untuk mencapai tujuan mereka. Kita hanya perlu berhasil menghentikan mereka di salah satu tahap. Semakin awal tahapnya, semakin sedikit yang harus dibersihkan. Ada beberapa proses utama yang perlu Anda lakukan untuk mencapai hal ini.
Pertama, Anda memerlukan kumpulan data yang terstandarisasi dan diperkaya. Kita tidak lagi menginginkan analis mencoba menentukan seberapa berbahaya suatu sinyal hingga setelah kejadian – solusi harus membandingkan semuanya dengan Platform Intelijen Ancaman dan memperkaya kumpulan data dengan informasi tersebut sebelum catatan dibuat. Setelah data berada dalam format standar, komponen AI/ML dapat mengkorelasikan sinyal dari berbagai vektor ancaman di lingkungan tersebut. Peringatan diatur dalam rantai serangan (kill chain), yang dipetakan langsung ke tahapan kerangka kerja serangan MITRE. Ketika seorang analis melihat peringatan tersebut, tidak ada pertanyaan tentang bagaimana memprioritaskannya.
Bagi para mitra, mengorganisir dan mengelola ratusan peringatan sepanjang hari merupakan kegiatan yang memakan waktu dan sumber daya. Solusinya harus memiliki ML yang menyediakan lapisan korelasi tambahan, menggambarkan serangan bertahap sebagai insiden dan memberikan setiap insiden skor risiko. Ini adalah lapisan ML tambahan di luar korelasi peringatan sederhana. Ini akan secara signifikan mengurangi jumlah waktu yang dibutuhkan. SOC Para analis menghabiskan waktu untuk mengelompokkan peringatan untuk dianalisis. Idealnya, solusi tersebut harus memberi analis kemampuan untuk menambah atau menghapus peringatan dari insiden dan untuk menyesuaikan skor ancaman.
Stellar Cyber adalah yang pertama menyediakan XDRRantai serangan terfokus bersama dengan manajemen peringatan berbasis insiden yang ditingkatkan dengan ML. Sekaranglah saatnya untuk memanfaatkan otomatisasi ML untuk mendeteksi dan menghentikan musuh. Jika Anda ingin mempelajari lebih lanjut, silakan hubungi brain@stellarcyber.ai
