Caratteristiche principali da considerare quando si sceglie una soluzione NDR
Gartner XDR Guida al mercato
XDR è una tecnologia in continua evoluzione in grado di offrire funzionalità unificate di prevenzione, rilevamento e risposta alle minacce...
Scopri la sicurezza basata sull'intelligenza artificiale in azione!
Scopri l'intelligenza artificiale all'avanguardia di Stellar Cyber per il rilevamento immediato delle minacce...
Perché hai bisogno di una soluzione NDR?
La sicurezza delle reti ha sempre rappresentato una delle frontiere più difficili da gestire. Anche reti relativamente complesse sarebbero facili da proteggere con un semplice firewall, se non fosse per il fatto che molti servizi oggi sono decentralizzati. Con così tanti dispositivi al di fuori del perimetro tradizionale, il potenziale di vulnerabilità è più elevato che mai. E non sono solo i servizi a essere astratti dalle proprie difese: i dipendenti dipendono costantemente dalle reti wireless, che sono più vulnerabili a intercettazioni e accessi non autorizzati. La natura intrinseca delle comunicazioni wireless implica che la protezione di queste reti richieda una vigilanza costante e protocolli di sicurezza avanzati.
Oltre a un panorama di rete in continua evoluzione, bisogna fare i conti anche con la minaccia in continua evoluzione dei criminali informatici avidi di profitto. Tecniche sofisticate sono sempre più diffuse, mentre gli attacchi sponsorizzati da stati proliferano sotto le attuali tensioni geopolitiche. Queste minacce spesso sfruttano gli strumenti e le configurazioni di rete legittimi che mantengono connessi i dipendenti, rendendole più difficili da individuare e da cui difendersi.
Pertanto, le organizzazioni devono tenere sotto controllo il traffico che transita attraverso le proprie infrastrutture tecnologiche. Ecco che entra in gioco la soluzione NDR: questi strumenti, grazie all'intelligenza artificiale, monitorano costantemente l'attività di rete "dietro le quinte", consentendo di rilevare e rispondere a situazioni problematiche in modo molto più rapido. Scopri cos'è l'NDR.
Quali sono le caratteristiche principali dell'NDR?
Deep Packet Inspection
L'attività di rete assume molte forme, ma a livello di applicazione, i pacchetti sono sovrani. Quando i dati vengono inviati tramite una rete, vengono suddivisi in parti più gestibili, chiamate pacchetti. Come una lettera, ogni pacchetto contiene l'indirizzo a cui viene inviato, nonché il messaggio effettivo, o i dati, trasmessi. L'ispezione tradizionale dei pacchetti esaminava solo la parte dell'intestazione di questi dati, che conteneva solo informazioni sulla destinazione e sul mittente. Sfortunatamente, anche un semplice spoofing del certificato consente agli aggressori di aggirare questa difesa, il che significa che al giorno d'oggi, l'ispezione approfondita dei pacchetti è uno standard minimo per le funzionalità NDR sicure.
L'ispezione approfondita dei pacchetti si basa su un punto di connessione centrale e un tap di rete: questo garantisce l'accesso completo alle informazioni sui pacchetti. Essere in grado di vedere non solo l'intestazione del pacchetto, ma anche il contenuto e il protocollo con cui è corredato, garantisce un grado di visibilità molto più profondo su ciò che viene inviato sulla rete. Sapere quale applicazione, utente e dispositivo sta trasferendo quali pacchetti di dati offre un modo per accelerare la comprensione e l'ottimizzazione della rete.
Tuttavia, DPI presenta alcuni svantaggi chiave. Gli aggressori ne sono già a conoscenza. Ad esempio, DPI richiede molta potenza di elaborazione, poiché ispeziona a fondo ogni segmento di dati del pacchetto. Ironicamente, quindi, DPI è in realtà meno utile nelle reti ad alta larghezza di banda, poiché non riesce a ispezionare tutti i pacchetti di rete.
Le organizzazioni si rivolgono sempre più spesso alla crittografia come mezzo per proteggere le loro comunicazioni di rete e le interazioni digitali. Sfortunatamente, lo stesso vale per gli aggressori. DPI fa fatica a raccogliere molte informazioni dai dati di rete crittografati, il che significa che non sarebbe in grado di intercettare le comunicazioni crittografate tra un trojan ransomware e il suo server C2.
Per contrastare questo problema, il tuo strumento NDR deve avere a disposizione molto più del semplice DPI.
Analisi dei metadati
L'analisi dei metadati (MA) si discosta dall'approccio iper-specifico pacchetto per pacchetto del DPI, catturando invece l'intera gamma di attributi relativi alle comunicazioni di rete, alle applicazioni e agli attori, senza analizzare l'intero payload di ciascun pacchetto. È così che l'NDR può raggiungere la maggior parte dei suoi obiettivi di utilizzo.
Per ogni sessione che attraversa la rete, vengono registrati metadati completi; questi metadati si estendono per catturare una varietà di attributi critici che possono identificare un attacco informatico just in time. Al suo livello più elementare, questo include gli indirizzi IP dell'host e del server, i numeri di porta e i dettagli di geolocalizzazione di ogni connessione. Ma i metadati offrono una ricchezza di informazioni più grande di questa: i registri DNS e DHCP aiutano a mappare i dispositivi sugli indirizzi IP, mentre ulteriori dettagli sull'accesso alle pagine Web possono creare un quadro più chiaro delle connessioni che procedono. I registri del controller di dominio aiutano a collegare l'utente ai sistemi a cui potrebbe avere accesso. Il problema DPI della crittografia è sventato grazie alla presenza di metadati anche sulle pagine Web crittografate: dal tipo di crittografia, cifratura, hash; ai nomi di dominio completamente qualificati del client e del server; e agli hash di vari oggetti come JavaScript e immagini, tutti questi dati di rete possono essere incanalati in moderni NDR.
L'analisi dei metadati garantisce visibilità su un'intera rete, rendendo MA ottimale per le reti non protette da DPI. Vale a dire, reti ad alta larghezza di banda che sono più distribuite. Allo stesso tempo, si noti che MA non è influenzato dalla crittografia: questo gli consente di rilevare e prevenire attacchi informatici avanzati che si nascondono dietro i processi di crittografia del traffico. L'attenzione sulle informazioni di rete multi-sorgente è molto più adatta agli attuali stack di sicurezza interfunzionali e strettamente integrati.
Analisi comportamentale
Abbiamo parlato di quali dati dovrebbero essere raccolti e perché, ma non di come vengono utilizzati per proteggere al meglio le reti. In passato, i tentativi di protezione della rete si sono concentrati sull'allineamento delle informazioni dei pacchetti con le firme presenti negli attacchi malware noti. Sebbene sia meglio di niente, questo approccio lascia le reti completamente esposte a nuovi attacchi. Gli attacchi odierni non ammettono errori, come dimostra il recente attacco ransomware da 22 milioni di dollari subito da Change Healthcare, e altri ne seguiranno.
L'analisi comportamentale è la risposta del settore agli attacchi odierni sempre più nuovi e distribuiti. Gli algoritmi di apprendimento automatico consentono di raggruppare tutti questi metadati e informazioni sui pacchetti in modelli di comportamento più ampi. Ciò si ottiene in due modi diversi: tecniche di apprendimento supervisionato e non supervisionato. L'apprendimento automatico supervisionato individua i comportamenti fondamentali comuni a varie varianti di minaccia (come il fatto che il malware appena distribuito di solito raggiunge un server C2), consentendo un rilevamento coerente in scenari diversi. D'altro canto, gli algoritmi di apprendimento automatico non supervisionato setacciano i dati aziendali su una scala molto più vasta, eseguendo miliardi di calcoli basati sulla probabilità dai dati osservati. Questi algoritmi non si basano sulla precedente conoscenza delle minacce, ma categorizzano in modo indipendente i dati e identificano modelli significativi.
In sostanza, gli algoritmi non supervisionati consentono agli strumenti NDR di stabilire una linea di base di ciò che è normale per la tua rete. Quindi consentono al tuo SOC team per individuare eventuali connessioni insolite che emergono all'improvviso: possono essere indicatori di un attacco alla supply chain se provengono improvvisamente da una fonte; oppure, se vengono inviati più dati della media a un dispositivo esterno, possono essere la prova di un utente malintenzionato o compromesso. Sia i modelli di apprendimento supervisionati che quelli non supervisionati sono importanti, poiché insieme coprono l'intera gamma di analisi comportamentale di cui le reti hanno bisogno.
Threat intelligence
L'integrazione con i feed di intelligence sulle minacce consente al sistema NDR di effettuare un riferimento incrociato dell'attività di rete rispetto a minacce note, indirizzi IP dannosi e indicatori di compromissione (IoC). Ciò aiuta la soluzione NDR a identificare e rilevare le minacce che sono state osservate e documentate dalla più ampia comunità di sicurezza. Quando abbinati alle soluzioni NDR, i feed di intelligence sulle minacce agiscono come provider di contesto rapidi e accurati. Ciò va ben oltre le vecchie firme di malware di base, con feed di intelligence sulle minacce leader di mercato che includono le tattiche, le tecniche e le procedure degli attacchi più recenti, nonché il loro impatto.
Queste informazioni contestuali aiutano una soluzione NDR a comprendere meglio la natura di ogni anomalia rilevata e a prendere decisioni più consapevoli sulla risposta appropriata. Questo supporto per i tuoi analisti può essere approfondito da un'ulteriore integrazione con il framework MITRE ATT&CK, nonché da un supporto extra dagli strumenti che già mantengono al sicuro il resto della tua organizzazione.
Integrazione dello stack tecnologico di sicurezza
Non limiteresti un analista della sicurezza a una sola piattaforma: proprio come i feed di intelligence di terze parti forniscono contesto sulle minacce presenti, il tuo stack tecnologico più ampio può offrire una visione personalizzata del tuo panorama. Quando NDR si integra con Endpoint Detection and Response (EDR) e Security Information and Event Management (SIEM) con gli strumenti che già possiedi, i tuoi team sono in grado di agire allo stesso livello multiforme degli aggressori.
Prendiamo il framework MITRE ATT&CK: sebbene sia stato sviluppato esplicitamente per identificare Tattiche, Tecniche e Procedure (TTP), MITRE ATT&CK ha una significativa propensione verso le tattiche degli endpoint. Grazie a ciò, EDR ha assistito a una fase di investimenti significativi in tutti i settori. Ciò è perfettamente comprensibile: adattare i propri strumenti ai framework leader del settore è un passo nella giusta direzione. Nonostante ciò, è fondamentale tenere d'occhio la realtà dello sfruttamento delle vulnerabilità. Quando una campagna di attacco sta per concludersi, molte tecniche critiche sono in realtà più facili da rilevare da una prospettiva di rete. Nello stesso lasso di tempo di un attacco in fase avanzata, i minuti scorrono a una velocità incredibile: riducendo l'importanza delle attività di rete, alcune organizzazioni stanno effettivamente compromettendo il loro potenziale di risposta alla sicurezza nel momento in cui è più critico. L'analisi e la correlazione dei dati provenienti da endpoint e fonti di rete consente agli analisti l'intero spettro di visibilità.
Automatizza il rilevamento e la risposta della rete con Stellar Cyber
Quando NDR rileva attività sospette o dannose all'interno della rete, questi dati devono essere incanalati al tuo team di sicurezza con la massima chiarezza ed efficienza. In eventi di sicurezza critici, ogni secondo è importante. Tradizionalmente, gli avvisi basati sulla rete venivano inviati agli stessi elenchi di avvisi di tutto il resto, portando a lunghi arretrati che consumavano sempre più tempo prezioso dalle limitate ore dei tuoi analisti di sicurezza. Gli NDR moderni riconoscono che flussi di avvisi infiniti danneggiano la sicurezza organizzativa a modo loro: invece, mirano a raccogliere singoli problemi in avvisi più ampi e contestuali.
Collegandosi alla tua suite più ampia di strumenti di difesa, una soluzione NDR automatizzata può farsi carico di parte del lavoro di routine che rallenta i tuoi team di sicurezza oggi. Il triage manuale automatizzato è ancora incredibilmente lineare e lento. Quindi, mentre una risposta multiforme è in grado di spingere il rilevamento delle minacce a nuovi livelli, il punto debole rimane il fatto che gli analisti possono elaborare solo una certa quantità di informazioni in un dato momento. Ecco che entrano in gioco gli algoritmi.
Questo approccio sempre più olistico alla sicurezza è il fondamento di Extended Detection and Response. Invece di caricare gli analisti con sempre più strumenti, dashboard e avvisi, la nuova fase della sicurezza informatica mira a utilizzare le ampie fasce di informazioni già a portata di mano tramite l'automazione.
Stellar Cyber's Open XDR La piattaforma sfrutta le capacità di un NDR isolato e le abbina ad algoritmi EDR e di automazione. In questo modo, la sicurezza è più di un'analisi superficiale di ogni area isolata del tuo stack tecnologico: un avviso proveniente da un dispositivo può essere confrontato e messo a confronto con l'attività di rete ad esso associata. Non solo maggiori informazioni aiutano un analista della sicurezza a comprendere in modo completo la natura e il potenziale impatto della minaccia rilevata, ma l'affidamento ad analisi avanzate consente a ogni aspetto di influenzare il livello di gravità di un avviso.
Pre-impostando un avviso con la sua criticità, Stellar Cyber XDR Gli strumenti sono in grado di individuare rapidamente e facilmente il potenziale impatto e la probabilità di sfruttamento. Questa automazione è fondamentale non solo per gestire grandi quantità di dati di rete, ma anche per identificare le anomalie e i problemi che necessitano effettivamente di essere risolti. Rivalutate oggi stesso il rapporto della vostra organizzazione con gli avvisi di rete e scopri come Stellar guida i team di sicurezza verso tempi di risoluzione più rapidi che mai.
