Arrestare le minacce sul nascere: spiegazione dell'ultima funzionalità di risposta NDR di Stellar Cyber
Nella moderna società odierna SOC, la velocità è importante. Le minacce evolvono rapidamente, gli aggressori si muovono ancora più velocemente e i team di sicurezza devono essere in grado di rilevarle e rispondere prima che il danno si verifichi. Mentre i sistemi tradizionali Rilevamento e risposta di rete (NDR) si concentra sull'identificazione di comportamenti sospetti, Stellar Cyber fa un ulteriore passo avanti offrendo ai clienti la possibilità non solo di rilevare, ma anche di intervenire direttamente a livello di rete, il tutto da un'unica piattaforma senza costosi moduli aggiuntivi né licenze.
Una potente capacità che consente ciò è RESET TCP, un metodo leggero ma altamente efficace per interrompere istantaneamente sessioni di rete dannose in corso e impedirne l'instaurazione in futuro. Per le organizzazioni che cercano una risposta più rapida e una riduzione dei rischi senza l'onere aggiuntivo di ingenti spese, l'ultima funzionalità di risposta NDR di Stellar Cyber tramite RESET TCP produce un impatto significativo.
Che cos'è TCP RESET e perché è importante?
Nelle reti TCP/IP, un TCP Reset è un flag di controllo utilizzato per terminare immediatamente una connessione. Quando un pacchetto TCP RESET viene iniettato in una sessione attiva, la comunicazione tra i due endpoint si interrompe immediatamente, senza attendere il normale teardown TCP. TCP RESET può anche impedire che vengano stabilite nuove connessioni durante l'handshaking a tre vie iniziale di una connessione TCP.
Nelle operazioni di sicurezza, questa semplice azione ha un valore enorme. Se un malintenzionato:
- Esfiltrazione dei dati
- Esecuzione di una sessione di comando e controllo (C2)
- Scansione delle risorse interne
- Tentativo di sfruttare una vulnerabilità di un'applicazione o di un dispositivo
- Servizi di autenticazione brute-force
Un RESET TCP immediato consente al difensore di interrompere la connessione prima che si verifichino danni o di impedire che vengano stabilite connessioni future, senza dover ricorrere a controlli di rete pesanti o complessi.
Come Stellar Cyber implementa TCP RESET
Stellar Cyber's NDR La piattaforma monitora il traffico di rete in tempo reale e correla i comportamenti con i modelli di rilevamento delle minacce. Quando viene identificata una sessione dannosa o sospetta, la piattaforma può emettere un segnale TCP Reset per interrompere il flusso incriminato.
Questa operazione viene eseguita a livello del sensore, dove è possibile visualizzare le connessioni TCP in tempo reale, senza richiedere hardware aggiuntivo o modifiche all'infrastruttura esistente. Si integra perfettamente nei flussi di lavoro di rilevamento e arricchisce le capacità di risposta complessive di un'organizzazione.
Ciò consente a Stellar Cyber di interrompere le connessioni dannose non appena rileva una minaccia.
Di seguito sono riportati alcuni casi in cui la rapida terminazione della connessione TCP riduce i danni:
-
Tentativi di exploit con firme ad alta affidabilità Esempio:
Se Stellar Cyber rileva firme IDS/IPS chiare per exploit di protocollo, come una richiesta HTTP che corrisponde a un exploit noto per l'esecuzione di codice remoto, la terminazione della connessione impedisce la distribuzione di un payload di exploit o la messa in scena dell'esecuzione di codice. -
Esempio di callback di comando e controllo (C2) confermati:
Se Stellar Cyber rileva piccoli e regolari beaconing verso indirizzi IP o nomi di dominio notoriamente dannosi o verso una destinazione che si è rivelata essere un server C2, impedendo la connessione TCP si interrompe il canale di controllo dell'aggressore. -
Esfiltrazione attiva dei dati tramite TCP con corrispondenza DLP Esempio:
Se si verifica un trasferimento di file in cui le regole di prevenzione della perdita di dati (DLP) corrispondono a dati sensibili inviati a un host esterno, l'interruzione immediata della connessione TCP limita la perdita di dati.
Principali vantaggi per i clienti Stellar Cyber
1. Incorporato - Non avvitato
Stellar Cyber fornisce la piena capacità NDR direttamente all'interno del Open XDR piattaforma, eliminando la necessità di un altro prodotto NDR autonomo e costoso. SOC Gli analisti ottengono rilevamento e risposta di rete avanzati come parte di un flusso di lavoro unificato, senza strumenti aggiuntivi, senza licenze extra, senza costi di integrazione.
2. Dove l'interruzione del ripristino TCP istantaneo fa la differenza
Il ripristino TCP in linea fornisce un'interruzione precisa esattamente quando controllo e tempistica sono più importanti. I team di sicurezza si affidano a questo sistema per rafforzare la propria strategia difensiva in diversi scenari critici:
-
Esfiltrazione di dati
Prevenzione Quando gli aggressori tentano di trasferire dati sensibili, ad esempio durante un attacco ransomware o uno spionaggio mirato, ogni secondo è prezioso. TCP Reset interrompe la sessione a metà, bloccando immediatamente il trasferimento prima che i dati lascino il perimetro. -
Interruzione del comando e controllo (C2)
Le minacce moderne dipendono da canali C2 interattivi per l'esecuzione, la distribuzione del payload e il movimento laterale. Interrompendo questa connessione, TCP Reset impedisce agli aggressori di operare in tempo reale, dando ai difensori un vantaggio. -
Contenimento di ricognizione interna
Attività iniziali come la scansione o l'enumerazione possono essere interrotte silenziosamente. TCP Reset limita la visibilità dell'avversario senza innescare comportamenti evasivi, consentendo agli analisti di monitorare senza aggravare la minaccia. -
Limitazione della forza bruta dell'autenticazione
Tentativi di accesso di grandi dimensioni indicano attività di credential stuffing o di forza bruta. Invece di basarsi su limiti di velocità statici, TCP Reset termina dinamicamente le sessioni abusive in tempo reale. -
Difesa dagli exploit zero-day
Anche prima che esistano le patch, i tentativi di exploit si rivelano attraverso payload anomali o comportamenti di scansione. TCP Reset consente ai difensori di agire sul comportamento, non sulle firme, interrompendo immediatamente le sessioni dannose. -
Mitigazione delle minacce interne
Quando un utente legittimo o un account compromesso inizia a comportarsi in modo sospetto (trasferimenti di file, sondaggi di zone riservate o modelli di accesso insoliti), l'interruzione in linea garantisce un contenimento rapido e mirato senza compromettere le normali operazioni.
3. Risposta leggera senza impatto sulla rete
4. Accelerato SOC Risposta e maggiore efficienza
- Attiva automaticamente i ripristini per gli avvisi ad alta affidabilità
- Eseguire ripristini manuali durante le indagini guidate dagli analisti
- Incorporare l'azione in Playbook e App di risposta
5. Migliora i controlli di sicurezza esistenti
- Se un aggressore elude l'EDR, TCP Reset termina comunque la sessione attiva.
- Se un firewall non riesce a rilevare anomalie comportamentali, l'analisi NDR di Stellar Cyber può comunque interrompere la connessione.
6. Uno strumento potente per il contenimento degli incidenti
- Interrompere sessioni o applicazioni sospette senza isolare un intero host
- Limitare i movimenti dell'aggressore durante la raccolta delle prove
- Contenere le minacce in tempo reale senza interrompere le operazioni aziendali
"TCP Reset è solo l'inizio. In Stellar Cyber, continuiamo ad ampliare le funzionalità di risposta in linea che offrono ai difensori un controllo chirurgico sul traffico di rete, senza introdurre complessità. Aspettatevi più funzionalità di risposta ad alta velocità e senza agente che potenziano SOC squadre ad agire alla velocità della macchina, non a posteriori."
"Siamo stati in grado di implementare rapidamente la capacità di risposta TCP RESET, poiché NDR è integrato nativamente in Stellar Cyber XDR "piattaforma", ha affermato Airton Coelho, CTO di Future Technologies, "e abbiamo osservato l'interruzione immediata dei tentativi di esfiltrazione dei dati in corso e il blocco delle sessioni di comando e controllo (C2) in ambienti privi di EDR. Questo ci ha permesso di contenere le minacce avanzate e zero-day direttamente a livello di rete, senza agenti sugli endpoint, il tutto a una frazione del costo rispetto all'utilizzo di uno strumento NDR dedicato. Questa è una funzionalità incredibile, in quanto offre una soluzione per bloccare rapidamente le minacce in ambienti critici, come OT/ICS, privi di EDR".
Conclusione: risposta rapida come una macchina che blocca le minacce sul nascere
- ridurre il rischio
- Migliorare i tempi di risposta
- Efficienza SOC efficienza
- Contenere gli incidenti senza interrompere l'attività
