Fitur Utama yang Perlu Dipertimbangkan Saat Memilih Solusi NDR
Gartner XDR Panduan Pasar
XDR adalah teknologi yang terus berkembang yang dapat menawarkan kemampuan pencegahan, deteksi, dan respons ancaman yang terpadu...
Rasakan Keamanan Bertenaga AI dalam Aksi!
Temukan AI tercanggih dari Stellar Cyber untuk deteksi ancaman instan...
Mengapa Anda Membutuhkan Solusi NDR?
Keamanan jaringan secara konsisten telah menjadi salah satu bidang yang paling sulit untuk ditangani. Bahkan tata letak jaringan yang relatif rumit pun akan mudah diamankan dengan firewall sederhana, jika saja tidak karena fakta bahwa banyak layanan saat ini terdesentralisasi. Dengan begitu banyak perangkat di luar perimeter tradisional, potensi kerentanan menjadi lebih tinggi dari sebelumnya. Dan bukan hanya layanan yang dipisahkan dari pertahanan Anda sendiri: karyawan selalu bergantung pada jaringan nirkabel yang lebih rentan terhadap penyadapan dan akses tidak sah. Sifat komunikasi nirkabel yang melekat berarti bahwa mengamankan jaringan ini memerlukan kewaspadaan konstan dan protokol keamanan tingkat lanjut.
Di samping lanskap jaringan yang terus berubah, ada pula ancaman yang terus berkembang dari penjahat dunia maya yang mencari untung. Teknik-teknik canggih semakin banyak terlihat di alam liar, sementara serangan-serangan yang disponsori negara berkembang pesat di bawah ketegangan geopolitik saat ini. Ancaman-ancaman ini sering kali mengeksploitasi perangkat dan konfigurasi jaringan yang sah yang membuat karyawan tetap terhubung, sehingga semakin sulit dideteksi dan dipertahankan.
Oleh karena itu, organisasi perlu memantau lalu lintas yang mengalir di seluruh tumpukan teknologi mereka. Di sinilah solusi NDR berperan: alat-alat ini terus-menerus melacak aktivitas jaringan yang terjadi di balik layar dengan AI, memungkinkan Anda untuk mendeteksi dan menanggapi perkembangan yang menc worrisome jauh lebih cepat. Pelajari lebih lanjut tentang apa itu NDR.
Apa Fitur Utama NDR?
Deep Packet Inspection
Aktivitas jaringan memiliki banyak bentuk, tetapi pada tingkat aplikasi, paket adalah rajanya. Saat data dikirim melalui jaringan, data tersebut dipecah menjadi bagian-bagian yang lebih mudah dikelola, yang disebut paket. Seperti surat, setiap paket berisi alamat yang dituju, serta pesan – atau data – yang sebenarnya sedang dikirim. Pemeriksaan paket tradisional hanya memeriksa bagian header dari data ini – yang hanya berisi informasi tentang tujuan dan pengirim. Sayangnya, bahkan pemalsuan sertifikat sederhana pun memungkinkan penyerang untuk mengatasi pertahanan ini – artinya di zaman modern, pemeriksaan paket yang mendalam adalah standar minimum untuk fitur NDR yang aman.
Inspeksi paket yang mendalam bergantung pada titik koneksi pusat dan penyadapan jaringan: ini memberikan akses penuh ke informasi paket. Kemampuan untuk melihat bukan hanya tajuk paket, tetapi juga konten dan protokol yang menyertainya, memberikan tingkat visibilitas yang jauh lebih dalam tentang apa yang sedang dikirim melalui jaringan Anda. Mengetahui aplikasi, pengguna, dan perangkat apa yang mentransfer paket data mana menawarkan cara untuk mempercepat pemahaman dan pengoptimalan jaringan.
Namun, DPI memiliki beberapa kelemahan utama. Para penyerang sudah menyadari hal ini. Misalnya, DPI membutuhkan banyak daya pemrosesan, karena memeriksa setiap segmen data paket secara menyeluruh. Ironisnya, DPI sebenarnya kurang berguna di jaringan dengan bandwidth tinggi, karena tidak dapat memeriksa semua paket jaringan.
Organisasi semakin sering menggunakan enkripsi sebagai cara untuk mengamankan komunikasi jaringan dan interaksi digital mereka. Sayangnya, begitu pula para penyerang. DPI kesulitan untuk mendapatkan banyak informasi dari data jaringan terenkripsi, yang berarti mereka tidak akan dapat menangkap komunikasi terenkripsi antara trojan ransomware dan server C2-nya.
Untuk mengatasi hal ini, alat NDR Anda harus memiliki lebih dari sekadar DPI dalam perangkatnya.
Analisis Metadata
Analisis metadata (MA) mengambil langkah mundur dari pendekatan DPI yang sangat spesifik, yaitu analisis paket per paket, dan sebagai gantinya menangkap seluruh rangkaian atribut tentang komunikasi jaringan, aplikasi, dan aktor – tanpa harus menelusuri seluruh muatan setiap paket. Inilah cara NDR dapat mencapai sebagian besar kasus penggunaan NDR terbaiknya.
Untuk setiap sesi yang melintasi jaringan, metadata komprehensif direkam; metadata ini diperluas untuk menangkap berbagai atribut penting yang dapat mengidentifikasi serangan siber tepat pada waktunya. Pada tingkat paling dasar, ini termasuk alamat IP host dan server, nomor port, dan detail lokasi geografis setiap koneksi. Namun metadata menawarkan lebih banyak informasi daripada itu: log DNS dan DHCP membantu memetakan perangkat ke alamat IP, sementara detail lebih lanjut tentang akses halaman web dapat membangun gambaran yang lebih jelas tentang koneksi yang berjalan cepat. Log Pengontrol Domain membantu menghubungkan pengguna ke sistem yang mungkin dapat mereka akses. Masalah DPI enkripsi digagalkan berkat keberadaan metadata bahkan pada halaman web terenkripsi: dari jenis enkripsi, sandi, hash; hingga nama domain klien dan server yang sepenuhnya memenuhi syarat; dan hash berbagai objek seperti JavaScript dan gambar, semua data jaringan ini dapat disalurkan ke NDR modern.
Analisis metadata memberikan visibilitas ke seluruh jaringan, menjadikan MA optimal untuk jaringan yang tidak diamankan oleh DPI. Yaitu, jaringan dengan bandwidth tinggi yang lebih terdistribusi. Pada saat yang sama, perlu dicatat bahwa MA tidak terpengaruh oleh enkripsi: hal ini memungkinkannya untuk mendeteksi dan mencegah serangan siber tingkat lanjut yang bersembunyi di balik proses enkripsi lalu lintas. Fokus pada informasi jaringan multi-sumber jauh lebih cocok untuk tumpukan keamanan lintas fungsi dan terintegrasi erat saat ini.
Analisis Perilaku
Kita telah membahas data apa yang harus dikumpulkan dan mengapa – tetapi belum membahas bagaimana data tersebut digunakan untuk meningkatkan keamanan jaringan Anda. Di masa lalu, upaya perlindungan jaringan berfokus pada pencocokan informasi paket dengan tanda tangan yang ada dalam serangan malware yang dikenal. Meskipun lebih baik daripada tidak sama sekali, pendekatan ini membuat jaringan Anda sangat rentan terhadap serangan baru. Serangan saat ini tidak memberi ruang untuk kesalahan – seperti yang dibuktikan oleh serangan ransomware senilai $22 juta baru-baru ini terhadap Change Healthcare, dan masih banyak lagi yang akan datang.
Analisis perilaku adalah jawaban industri terhadap serangan yang semakin baru dan terdistribusi saat ini. Algoritme Pembelajaran Mesin memungkinkan semua metadata dan informasi paket ini dikelompokkan ke dalam pola perilaku yang lebih luas. Hal ini dicapai dengan dua cara berbeda: teknik pembelajaran yang diawasi dan tidak diawasi. Pembelajaran mesin yang diawasi menunjukkan perilaku mendasar yang umum pada berbagai varian ancaman (seperti fakta bahwa malware yang baru disebarkan biasanya akan menjangkau server C2), yang memungkinkan deteksi yang konsisten di berbagai skenario. Di sisi lain, algoritme pembelajaran mesin yang tidak diawasi menyaring data perusahaan dalam skala yang jauh lebih luas, melakukan miliaran kalkulasi berbasis probabilitas dari data yang diamati. Algoritme ini tidak bergantung pada pengetahuan ancaman sebelumnya tetapi secara independen mengkategorikan data dan mengidentifikasi pola yang signifikan.
Pada dasarnya, algoritma tanpa pengawasan memungkinkan alat NDR untuk menetapkan patokan tentang apa yang normal untuk jaringan Anda. Kemudian, alat tersebut memungkinkan Anda untuk SOC Tim perlu mengamati koneksi tidak biasa yang tiba-tiba muncul: ini dapat menjadi indikator serangan rantai pasokan jika tiba-tiba muncul dari satu sumber; atau, jika lebih banyak data daripada rata-rata dikirim ke perangkat eksternal, itu bisa menjadi bukti pengguna yang jahat atau telah disusupi. Baik model pembelajaran terawasi maupun tidak terawasi penting, karena secara kolektif keduanya mencakup seluruh cakupan analisis perilaku yang dibutuhkan jaringan Anda.
Intelijen Ancaman
Integrasi dengan umpan intelijen ancaman memungkinkan sistem NDR untuk melakukan referensi silang aktivitas jaringan terhadap ancaman yang diketahui, alamat IP berbahaya, dan indikator kompromi (IoC). Ini membantu solusi NDR mengidentifikasi dan mendeteksi ancaman yang telah diamati dan didokumentasikan oleh komunitas keamanan yang lebih luas. Ketika digabungkan dengan solusi NDR, umpan intelijen ancaman bertindak sebagai penyedia konteks yang cepat dan akurat. Ini jauh melampaui tanda tangan malware dasar yang lama, dengan umpan intelijen ancaman terkemuka di pasar yang mencakup taktik, teknik, dan prosedur serangan terbaru, serta dampaknya.
Informasi kontekstual ini membantu solusi NDR lebih memahami sifat setiap anomali yang terdeteksi dan membuat keputusan yang lebih tepat tentang respons yang tepat. Dukungan untuk analis Anda ini dapat diperdalam melalui integrasi lebih lanjut dengan kerangka kerja MITRE ATT&CK, serta beberapa dukungan tambahan dari alat yang sudah ada untuk menjaga keamanan seluruh organisasi Anda.
Integrasi Tumpukan Teknologi Keamanan
Anda tidak akan membatasi analis keamanan hanya pada satu platform – sama seperti umpan intelijen pihak ketiga yang memberikan konteks tentang ancaman di luar sana, tumpukan teknologi Anda yang lebih luas dapat menawarkan pandangan khusus tentang lanskap Anda sendiri. Ketika NDR terintegrasi dengan Deteksi dan Respons Titik Akhir (EDR) dan Manajemen Informasi dan Peristiwa Keamanan (SIEM).SIEMDengan memanfaatkan alat-alat yang sudah Anda miliki, tim Anda mampu berkinerja pada level yang sama dengan penyerang dalam berbagai aspek.
Ambil contoh kerangka kerja MITRE ATT&CK: meskipun secara eksplisit dikembangkan untuk mengidentifikasi Taktik, Teknik, dan Prosedur (TTP), MITRE ATT&CK memiliki bias yang signifikan terhadap taktik titik akhir. Berkat hal ini, EDR telah melihat fase investasi yang signifikan di seluruh industri. Hal ini sangat dapat dimengerti: mencocokkan perkakas Anda dengan kerangka kerja terkemuka di industri adalah langkah ke arah yang benar. Meskipun demikian, penting untuk mengawasi realitas eksploitasi kerentanan. Ketika kampanye serangan berakhir, banyak teknik penting sebenarnya lebih mudah dideteksi dari perspektif jaringan. Dalam jangka waktu yang sama dari serangan tahap akhir, menit-menit berlalu dengan sangat cepat – dengan mengurangi pentingnya aktivitas jaringan, beberapa organisasi sebenarnya merusak potensi respons keamanan mereka pada saat yang paling kritis. Menganalisis dan mengorelasikan data dari seluruh titik akhir dan sumber jaringan memungkinkan analis mendapatkan spektrum visibilitas penuh.
Otomatisasi Deteksi & Respons Jaringan dengan Stellar Cyber
Saat NDR mendeteksi aktivitas mencurigakan atau berbahaya dalam jaringan, data ini perlu disalurkan ke tim keamanan Anda dengan kejelasan dan efisiensi maksimum. Dalam kejadian keamanan kritis, setiap detik sangat berarti. Secara tradisional, peringatan berbasis jaringan akan dikirim ke daftar peringatan yang sama seperti yang lainnya, yang menyebabkan antrian panjang yang menghabiskan semakin banyak waktu berharga dari jam terbatas analis keamanan Anda. NDR modern menyadari bahwa aliran peringatan tanpa akhir merusak keamanan organisasi dengan caranya sendiri: sebaliknya, mereka bertujuan untuk menyusun masalah individual menjadi peringatan kontekstual yang lebih luas.
Dengan menghubungkan ke rangkaian alat pertahanan Anda yang lebih luas, solusi NDR otomatis dapat menangani beberapa pekerjaan sibuk yang memperlambat tim keamanan Anda saat ini. Pemilahan manual otomatis masih sangat linier – dan lambat. Jadi, meskipun respons multi-aspek mampu mendorong deteksi ancaman ke tingkat yang lebih tinggi, mata rantai yang lemah masih tetap berupa fakta bahwa analis hanya dapat memproses sejumlah informasi dalam satu waktu. Masuklah, algoritma.
Pendekatan keamanan yang semakin holistik ini merupakan dasar dari Deteksi dan Respons yang Diperluas. Alih-alih membebani analis dengan semakin banyak perkakas, dasbor, dan peringatan, fase baru keamanan siber ini bertujuan untuk memanfaatkan berbagai informasi yang sudah ada di ujung jari Anda melalui otomatisasi.
Cyber Bintang Open XDR Platform ini menggabungkan kemampuan NDR (Non-Destructive Detection) yang terisolasi dengan EDR (Electronic Detection and Response) dan algoritma otomatisasi. Dengan cara ini, keamanan Anda lebih dari sekadar analisis dangkal dari setiap area terisolasi dalam tumpukan teknologi Anda: sebaliknya, peringatan dari satu perangkat dapat dibandingkan dan dikontraskan dengan aktivitas jaringan yang terkait dengannya. Informasi yang lebih banyak tidak hanya membantu analis keamanan dalam memahami secara komprehensif sifat dan potensi dampak dari ancaman yang terdeteksi, tetapi juga ketergantungan pada analitik canggih memungkinkan setiap aspek untuk memengaruhi tingkat keparahan suatu peringatan.
Dengan menyiapkan peringatan terlebih dahulu beserta tingkat kepentingannya, Stellar Cyber's XDR Perangkat bantu ini mampu dengan cepat dan mudah melihat potensi dampak dan kemungkinan eksploitasi. Otomatisasi ini sangat penting tidak hanya untuk menangani sejumlah besar data jaringan, tetapi juga untuk mengidentifikasi anomali dan masalah yang benar-benar perlu diperbaiki. Evaluasi kembali hubungan organisasi Anda dengan peringatan jaringan hari ini dan lihat bagaimana Stellar memandu tim keamanan ke waktu penyelesaian yang lebih cepat dari sebelumnya.
