I team di sicurezza hanno trascorso anni a raccogliere più dati, generare più avvisi e coprire più superfici di attacco.
Ma non sempre "di più" significa "meglio".
Più avvisi possono significare più rumore. Più rilevamenti possono significare più falsi positivi. Più telemetria può significare più dati da cercare, archiviare, normalizzare e spiegare. Per MSSPCiò crea pressione sui margini. Per i team di sicurezza con risorse limitate, genera affaticamento e rallenta i tempi di risposta.
La vera questione non è se il tuo sistema di sicurezza sia in grado di generare più avvisi. La vera questione è se sia in grado di produrre decisioni migliori.
Ecco perché la fedeltà del rilevamento sta diventando una delle misure più importanti dell'efficienza delle operazioni di sicurezza (SecOps).
Il rilevamento ad alta fedeltà aiuta i team a concentrarsi su ciò che conta davvero. Riduce le perdite di tempo. Aumenta la fiducia. Accelera la valutazione iniziale. Aiuta i team a segnalare i casi giusti e a chiudere più rapidamente quelli sbagliati.
Stellar Cyber 6.5 Migliora l'accuratezza del rilevamento in tre dei domini più importanti delle moderne operazioni di sicurezza: identità, cloud e rete.
Gli attacchi all'identità necessitano di una migliore qualità del segnale
Gli hacker moderni utilizzano sempre più spesso credenziali valide. Effettuano phishing, acquistano credenziali, rubano token, abusano di account privilegiati e si muovono all'interno degli ambienti fingendosi utenti legittimi.
Ciò modifica il problema del rilevamento.
Un tentativo di accesso fallito di per sé potrebbe non essere rilevante. Un accesso riuscito di per sé potrebbe sembrare normale. Ma un accesso riuscito dopo un attacco di forza bruta distribuito è diverso. Questo schema può indicare che l'attaccante ha finalmente trovato le credenziali corrette e ha ottenuto l'accesso.
Stellar Cyber 6.5 aggiunge un nuovo tipo di avviso Accesso riuscito dopo attacco di forza bruta ITDRQuesto rilevamento collega un'attività di autenticazione non riuscita a un accesso riuscito, il che potrebbe indicare una compromissione dell'account.
Questo è un segnale più utile di una serie di avvisi di accesso non riuscito.
Aiuta gli analisti a concentrarsi sul punto in cui il rischio cambia: quando un tentativo di accesso sembra trasformarsi in un accesso riuscito. Aiuta inoltre i fornitori di servizi di sicurezza gestiti (MSSP) e i team snelli a dare priorità alle attività di identità che hanno maggiori probabilità di indicare una compromissione, piuttosto che inseguire ogni tentativo di accesso fallito.
I clienti possono configurare soglie e periodi di analisi nel sistema di gestione del rilevamento, consentendo ai team di allineare il comportamento di rilevamento al proprio ambiente. Questo è importante perché il comportamento relativo all'identità varia notevolmente tra organizzazioni, settori, aree geografiche e modelli di lavoro da remoto.
Un sistema di rilevamento non regolabile genera rumore. Un sistema di rilevamento che si adatta all'ambiente diventa operativamente utile.
La geolocalizzazione IP da sola non basta
Le anomalie di accesso basate sulla posizione sono utili, ma possono anche essere fonte di rumore. Gli utenti viaggiano. I dipendenti utilizzano VPN. I provider di servizi cloud instradano il traffico in modi imprevedibili. Il lavoro da remoto modifica le modalità di accesso. I dati geolocalizzati possono essere incompleti o fuorvianti.
Stellar Cyber 6.5 Migliora il rilevamento delle anomalie basate sulla posizione aggiungendo i segnali ASN e user-agent all'analisi geo-IP esistente per il rilevamento di anomalie nella posizione di accesso dell'utente e anomalie di viaggio impossibili.
Questo fornisce ai team un contesto più ampio sugli accessi sospetti. Un accesso può essere valutato non solo in base alla provenienza, ma anche in base al provider di rete, al modello di accesso e al comportamento dell'agente utente.
Questo contesto aggiuntivo aiuta a distinguere una vera e propria violazione della sicurezza da normali attività come viaggi, utilizzo di VPN o lavoro da remoto. Fornisce inoltre agli analisti una base più solida per le decisioni di triage.
Un rilevamento dell'identità più efficace dipende da questo tipo di analisi stratificata. Non è sufficiente chiedersi da dove provenga l'accesso. I team devono anche capire come l'utente si è connesso, quale infrastruttura è stata coinvolta, quale pattern user-agent è emerso e se il comportamento è coerente con la cronologia dell'utente.
La gestione dei rischi nel cloud è parte integrante del flusso di lavoro di sicurezza.
Le configurazioni errate del cloud non sono solo violazioni di conformità. Possono trasformarsi in rischi per la sicurezza.
A bucket S3 pubblico politica, IAM jolly privilegio, crittografia lato server mancante, configurazione VPC predefinita rischiosa, porta ad alto rischio esposta o eliminata gruppo di sicurezza EC2 può modificare sostanzialmente la superficie di attacco.
Il problema è che il rischio cloud spesso si trova al di fuori del flusso di lavoro di sicurezza principale. Può risiedere in uno strumento CSPM, in una console cloud, in un report di conformità o in un backlog di ingegneria. Nel frattempo, gli analisti esaminano le attività senza una visibilità completa sulla postura cloud che potrebbe spiegare o amplificare il rischio.
Stellar Cyber 6.5 Migliora Cloud Detection and Response con rilevamenti integrati per eventi AWS Config, tra cui configurazioni VPC predefinite rischiose, privilegi IAM jolly, crittografia lato server S3 mancante, gruppi di sicurezza EC2 eliminati, porte ad alto rischio esposte a Internet, policy di bucket S3 pubblici e segnali di esposizione al cloud correlati.
Ciò integra il rischio di configurazione del cloud nello stesso modello operativo degli altri segnali di sicurezza.
Quando il rischio cloud si presenta insieme a rischi relativi a identità, endpoint, rete e attività di log, gli analisti possono comprendere il quadro generale. Un'esposizione al cloud non è più solo una questione di postura, ma diventa parte integrante del contesto investigativo.
Per i MSSP, questo rafforza il rilevamento e la risposta gestiti e consapevoli del cloud. Per i team di sicurezza snelli, aiuta a connettere la sicurezza del cloud e le operazioni di sicurezza quotidiane senza richiedere a team separati di colmare manualmente il divario.
La NDR è ancora importante perché gli aggressori continuano a spostarsi
L'identità e la visibilità sul cloud sono essenziali, ma gli aggressori continuano a muoversi attraverso le reti. Eseguono scansioni. Si connettono. Trasferiscono file. Si spostano lateralmente. Comunicano con l'infrastruttura di comando e controllo. Preparano i dati. Esfiltrano informazioni.
Ecco perché nello studio legale NDR rimane una fonte di segnale critica all'interno di un ambiente SecOps basato sull'intelligenza artificiale.
Il fattore distintivo non è semplicemente la presenza di NDR. Il fattore distintivo è l'utilizzo della telemetria di rete nell'ambito di casi cross-domain, insieme a dati di identità, endpoint, cloud e di terze parti.
Questo aiuta gli analisti a evitare di esaminare gli avvisi di rete in modo isolato. Il comportamento della rete può confermare se un avviso di identità è grave, se si è verificato un movimento laterale, se l'accesso ai file interni appare sospetto o se un evento su un endpoint fa parte di un percorso di attacco più ampio.
Stellar Cyber 6.5 migliora la normalizzazione delle azioni di firewall e WAF, la correlazione degli utenti e l'accuratezza del punteggio dei casi. Una migliore normalizzazione fornisce agli analisti segnali più coerenti tra i diversi ambienti dei clienti e gli strumenti di sicurezza. Una migliore correlazione degli utenti collega l'attività di rete agli account e alle persone coinvolte. Un punteggio dei casi più accurato aiuta i team a concentrarsi prima sulle attività a più alto rischio.
La release convalida e documenta anche la distribuzione dei sensori modulari con Azure Virtual Network TAP, aiutando i clienti a replicare il traffico Azure sui sensori modulari Stellar Cyber ed estendere la visibilità della rete negli ambienti cloud.
Questo è importante perché i carichi di lavoro nel cloud continuano a generare comportamenti di rete. Il movimento est-ovest, le comunicazioni sospette tra i servizi e il trasferimento dei dati non scompaiono solo perché i carichi di lavoro vengono eseguiti in Azure.
Stellar Cyber 6.5 aggiunge anche gli ID di sessione SMB all'output DPI, fornendo agli analisti un contesto più ampio per correlare le attività SMB correlate tra i flussi. L'attività SMB è spesso rilevante per i movimenti laterali e l'accesso ai file interni. Il contesto di sessione aiuta gli analisti a collegare le attività correlate e a capire se un comportamento è isolato o fa parte di un attacco più ampio.
Questa release introduce anche la funzionalità di assemblaggio dei file NFS per l'analisi del malware, consentendo la ricostruzione dei file trasferiti tramite NFSv3 e NFSv4. Negli ambienti Linux, Unix e in quelli con infrastrutture miste, il trasferimento di file dannosi può avvenire tramite NFS. La ricostruzione dei file per l'analisi migliora la visibilità sui movimenti del malware, che altrimenti sarebbero difficili da rilevare.
Rilevamenti più efficaci migliorano l'economia della sicurezza.
Per MSSPLa precisione del rilevamento influisce direttamente sull'economia dell'erogazione del servizio. I rilevamenti a bassa precisione generano un maggior numero di ticket, più escalation, più tempo impiegato dagli analisti e maggiori disagi per i clienti. I rilevamenti ad alta precisione aiutano gli analisti a concentrarsi sui rischi reali, a migliorare i tempi di risposta e a fornire risultati migliori con margini di profitto più elevati.
Per i team di sicurezza con risorse limitate, l'accuratezza incide direttamente sulla capacità operativa. Un team di cinque persone non può operare come un team di cinquanta. Ogni avviso che richiede un'interpretazione manuale consuma tempo prezioso. Ogni falso positivo ritarda il lavoro sulle minacce reali. Ogni correlazione mancante crea incertezza.
Grazie al miglioramento dell'accuratezza del rilevamento di identità, cloud e rete, Stellar Cyber 6.5 aiuta i team a ridurre il rumore e ad aumentare la fiducia.
L'obiettivo non è generare più avvisi, ma gestire meglio i casi.
Conclusione
La fedeltà del rilevamento è la nuova metrica di efficienza per le operazioni di sicurezza.
Stellar Cyber 6.5 migliora la qualità del rilevamento nei domini di identità, cloud e rete, collegando segnali correlati, aggiungendo contesto, migliorando la normalizzazione ed espandendo la visibilità sui moderni modelli di attacco.
Per i fornitori di servizi di sicurezza gestiti (MSSP) e i team di sicurezza snelli, questo significa meno tempo dedicato a filtrare il rumore, maggiore fiducia in ciò che conta e un passaggio più rapido dal rilevamento alla decisione.
Una migliore capacità di rilevamento non si limita a migliorare la sicurezza, ma migliora anche il modo in cui le operazioni di sicurezza vengono svolte.
