Ponownie nadszedł czas, aby zmienić rozmowę o cyberbezpieczeństwie.
Nie jest to cyberbezpieczeństwo oparte ani na danych , ani na sztucznej inteligencji , o których być może już słyszałeś – jest jednym i drugim, a nawet więcej, znacznie więcej.
To cyberbezpieczeństwo oparte na korelacji . Polega na korelacji wielu wykryć, od bardzo podstawowych, takich jak NGFW, po zaawansowane, takie jak EDR oparte na sztucznej inteligencji, z różnych źródeł danych na jednej spójnej platformie.
Słyszymy o wielu wyzwaniach związanych z bezpieczeństwem od potencjalnych klientów, klientów i partnerów – dlaczego? Ponieważ jest to nieodłączna część ludzkiej działalności – dzielenie się problemami! Jak być może wiesz, atakujący mają dostęp do tych samych narzędzi co my wszyscy. Mają dostęp zarówno do technologii Big Data, jak i sztucznej inteligencji, co umożliwia przeprowadzanie bardziej zaawansowanych ataków.
Niemniej jednak, przy rosnącej liczbie złożonych zagrożeń, wszyscy się zgadzamy - nic dziwnego, że słyszymy tak spójne tematy:
- Nie mam wystarczających danych do skutecznego wykrywania lub
- Wręcz przeciwnie, mam za dużo danych i jestem zalany
- Mam za dużo szumów w danych lub za dużo fałszywych alarmów
- Niedawno wypróbowałem kilka zaawansowanych narzędzi, które używają AI / ML do redukcji szumów lub fałszywych alarmów, ale ta inteligencja jest specyficzna tylko dla każdego narzędzia.
- Mam wiele niezależnych narzędzi, które nie rozmawiają ze sobą i prowadzą do cichych odpowiedzi i wysokich kosztów
Co możesz zrobić w przypadku złożonego ataku, który wykorzystuje te wyzwania przeciwko tobie? Oto prosty przykład:
- Twój dyrektor generalny otrzyma wiadomość e-mail z osadzonym adresem URL
- Twój dyrektor generalny pobiera plik na swojego laptopa, przechodząc pod adres URL
- Twój dyrektor generalny uzyskuje dostęp do serwera plików o 2 w nocy w dni powszednie
- Laptop twojego dyrektora generalnego wysyła dużo ruchu DNS
Każde z tych zdarzeń samo w sobie może wydawać się normalne. Jeśli jednak wdrożysz odpowiednie narzędzia bezpieczeństwa, w tym zaawansowane narzędzia uczenia maszynowego, takie jak EDR i UBA , możesz odkryć, że:
- Twój dyrektor generalny otrzyma plik WYŁUDZANIE INFORMACJI e-mail z osadzonym ZŁOŚLIWY URL.
- Twój dyrektor generalny pobiera plik ZŁOŚLIWE OPROGRAMOWANIE plik do swojego laptopa, przechodząc do adresu URL
- Twój dyrektor generalny uzyskuje dostęp do serwera plików o 2 nad ranem w dni powszednie, plik NIENORMALNE ZACHOWANIE w terminach UBA
- Laptop twojego dyrektora generalnego wysyła dużo ruchu DNS przez DNS TUNELOWANIE
To dużo niezależnych analiz za pomocą czterech różnych narzędzi. Jak szybko i jak łatwo możesz skorelować te zdarzenia, aby prześledzić to naruszenie i ile osób potrzebujesz, aby to wszystko połączyć, patrząc na wiele różnych ekranów?
Cofnijmy się o krok i zadajmy sobie pytanie, jak do tego doszło. Oczywiście istnieją trzy fale cyberbezpieczeństwa , które na siebie nachodzą: rozwój danych, rozwój sztucznej inteligencji i rozwój korelacji.
1. Wzrost ilości danych - zwiększenie ilości danych w celu uzyskania pełnej widoczności.
Bezpieczeństwo oparte na danych było głównym tematem ery Big Data, w której dane są nowym „złotem”. Zaczęło się od osobnych dzienników i surowych pakietów sieciowych. Głównym celem SIEMs polegało na zbieraniu i agregowaniu dzienników z różnych narzędzi i aplikacji w celu zapewnienia zgodności, badania incydentów i zarządzania dziennikami. ArcSight, jeden ze starszych SIEM narzędzia, wydany w 2000 roku, był typowym przykładem SIEM i system zarządzania dziennikami. Surowe pakiety zostały zebrane i przechowywane w stanie, w jakim są dla medycyny sądowej, pomimo faktu, że wymagają one dużej ilości miejsca i bardzo trudno jest przeszukać te ogromne ilości pakietów, aby znaleźć jakiekolwiek oznaki naruszeń. W 2006 roku NetWitness znalazł rozwiązanie analizujące surowe pakiety.
Szybko zdaliśmy sobie sprawę, że ani surowe dzienniki, ani surowe pakiety pojedynczo nie są wystarczające, aby skutecznie wykrywać naruszenia, a surowe pakiety są zbyt ciężkie i mają ograniczone zastosowanie poza kryminalistyką. Informacje wyodrębnione z ruchu, takie jak Netflow / IPFix, tradycyjnie używane do widoczności sieci i monitorowania wydajności, zaczęły być wykorzystywane do celów bezpieczeństwa. SIEMs również zaczął pozyskiwać i przechowywać Netflow / IPFix. Jednak ze względu na obawy związane ze skalowalnością techniczną i kosztami, SIEMs nigdy nie stały się głównym narzędziem analizy ruchu.
Z biegiem czasu gromadzonych jest więcej danych: pliki, informacje o użytkowniku, informacje o zagrożeniach itp. Cel gromadzenia większej ilości danych był słuszny - uzyskaj wszechobecną widoczność - ale wyzwanie sieciowe, odpowiadanie na krytyczne ataki, jest jak znajdowanie igieł w stogu siana. , zwłaszcza poprzez wyszukiwanie ręczne lub reguły ręcznie definiowane przez ludzi. Jest to pracochłonne i nieefektywne czasowo.
Istnieją dwa techniczne wyzwania stojące przed bezpieczeństwem opartym na danych: jak przechowywać duże ilości danych na dużą skalę, umożliwiając wydajne wyszukiwanie i analizę oraz jak radzić sobie z różnorodnymi danymi - zwłaszcza danymi nieustrukturyzowanymi - ponieważ dane mogą mieć dowolny format. Tradycyjne relacyjne bazy danych oparte na SQL napotkały oba te problemy. Wcześniejsi dostawcy starali się rozwiązać te problemy za pomocą wielu rodzimych rozwiązań. Niestety, większość z nich nie była tak wydajna, jak to, z których korzystamy dzisiaj w oparciu o bazy danych NoSQL dla jezior Big Data.
Jest jeszcze jedno wyzwanie, przed którym stoi bezpieczeństwo oparte na danych: architektura oprogramowania umożliwiająca ekonomiczne zbudowanie skalowalnego systemu dla klientów korporacyjnych. Typowa trójwarstwowa architektura z frontendową logiką biznesową i warstwami bazy danych stała się dużą przeszkodą. Dzisiejsze architektury natywne dla chmury, oparte na architekturze mikrousług z kontenerami, zapewniają znacznie bardziej skalowalne i opłacalne rozwiązania.
2. Rozwój sztucznej inteligencji - wykorzystaj uczenie maszynowe z analizą dużych zbiorów danych, aby znaleźć i zautomatyzować wykrycia
Kiedy masz dużo danych, co z nimi zrobisz? Jak wspomniano wcześniej, przy dużej ilości danych przeszukiwanie ich w poszukiwaniu znaczących wzorców jest żmudne i czasochłonne. Jeśli Twoja infrastruktura IT zostanie niestety zhakowana, może minąć kilka dni, zanim się o tym dowiesz. Jest za późno, ponieważ szkoda już została wyrządzona lub wrażliwe dane zostały już skradzione. W takim przypadku zbyt dużo danych staje się problemem. Na szczęście widzieliśmy wzrost uczenia maszynowego dzięki postępowi algorytmów uczenia maszynowego, a także mocy obliczeniowej.
Maszyny bardzo dobrze radzą sobie z powtarzalną i żmudną pracą, bardzo szybko, bardzo wydajnie i niestrudzenie 24 × 7. Maszyny wyposażone w inteligencję, taką jak zdolności uczenia się, pomagają ludziom rozwijać się. Wielu badaczy i dostawców w dziedzinie bezpieczeństwa zaczęło wykorzystywać sztuczną inteligencję do rozwiązywania problemu, pomagania im w znajdowaniu igieł lub w celu dostrzeżenia trendów ukrytych w dużych zbiorach danych. Tak więc powstanie Bezpieczeństwo oparte na sztucznej inteligencjiW tej dziedzinie pojawia się wiele innowacji. Na przykład wiele firm zajmujących się wykrywaniem i reagowaniem na zagrożenia w punktach końcowych (EDR) wykorzystuje sztuczną inteligencję do rozwiązywania problemów z bezpieczeństwem punktów końcowych; wiele firm zajmujących się analizą zachowań użytkowników i jednostek (UEBA) firmy wykorzystujące sztuczną inteligencję do radzenia sobie z zagrożeniami wewnętrznymi i wieloma innymi Analiza ruchu sieciowego (NTA) firmy wykorzystujące sztuczną inteligencję do wykrywania nieprawidłowości ruch sieciowy wzorce.
Jeśli dane są nowym złotem, naruszenia wykryte przez sztuczną inteligencję są jak biżuteria wykonana ze złota. Wykonanie ręcznie pięknej biżuterii ze zwykłego złota wymaga dużo czasu, cierpliwości i ciężkiej pracy. Przy pomocy maszyn, zwłaszcza zaawansowanych maszyn, staje się możliwa komercyjna produkcja wspaniałej biżuterii.
Na powierzchni z Bezpieczeństwo oparte na sztucznej inteligencji, duża ilość danych staje się mniej problematyczna, ponieważ ML zazwyczaj wymaga dużej ilości danych do trenowania modelu i uczenia się wzorców. Z drugiej strony, niedostateczna ilość danych jest oczywiście problemem, ponieważ im mniej danych, tym mniej dokładny, a tym samym mniej użyteczny staje się model ML. Jednak z biegiem czasu naukowcy stopniowo zdali sobie sprawę, że właściwe dane są o wiele ważniejsze. Zbyt duża ilość danych bez odpowiednich informacji to po prostu marnotrawstwo mocy obliczeniowej ML, a jednocześnie marnotrawstwo pamięci masowej. Wiele wcześniejszych UEBA dostawcy z rozwiązaniami opartymi na logach z SIEM narzędzia nauczyłem się tej trudnej lekcji. SIEM może zgromadzić wiele logów, ale tylko kilka z nich zawiera właściwe informacje dotyczące zachowań użytkowników. Tak więc, chociaż bezpieczeństwo oparte na danych stanowi solidny fundament dla Bezpieczeństwo oparte na sztucznej inteligencjiw celu tworzenia skalowalnych i dokładnych Bezpieczeństwo oparte na sztucznej inteligencji, właściwe dane są o wiele ważniejsze.
Wykorzystanie sztucznej inteligencji z pewnością pomaga złagodzić problemy związane z Big Data, ale niesie ze sobą pewne wyzwania. Na przykład, zarówno UEBA i NTA wykorzystują nienadzorowane uczenie maszynowe do analizy zachowań. Jednakże zaobserwowane nietypowe zachowanie u użytkownika lub ruch sieciowy niekoniecznie oznacza zdarzenie naruszające ochronę. Narzędzia te mogą generować dużo hałasu, powodując zmęczenie czujności. Co więcej, inteligentne hacki zwykle przechodzą przez kilka etapów łańcucha zabijania, zanim zostaną złapane. Jak można odzyskać ślad naruszenia i naprawić jego pierwotną przyczynę?
Istnieje jeszcze jedno duże wyzwanie, z którym zbiorowo muszą się zmierzyć zabezpieczenia oparte na sztucznej inteligencji : koszty – koszt kapitałowy samych narzędzi, koszt infrastruktury obliczeniowej i pamięci masowej wykorzystywanej przez te narzędzia oraz koszt działania wielu różnych narzędzi w ich silosach z różnymi ekranami.
Tak więc, nawet jeśli każde narzędzie ma możliwość destylacji gigabajtów lub terabajtów danych do krótkiej listy kilku krytycznych wykryć, wciąż pozostaje pytanie: „Czego brakuje, jeśli nie skonsolidujesz tych narzędzi w jednej platformie i nie skorelujesz wykryć? we wszystkich narzędziach i kanałach? ”
3. Wzrost korelacji - skoreluj wykrycia i zautomatyzuj reakcję na całej powierzchni ataku na jednej platformie
Wraz z tą nową falą rozmowa przenosi się z danych i sztucznej inteligencji na korelacje. Oczywiście ta fala jest zbudowana na dwóch poprzednich falach. Chodzi jednak o to, aby wyjść ponad dane, a także o narzędzia, a także o zawinięcie wszystkiego w jedną platformę. Zgodnie z naszą wczesną analogią złota do biżuterii, chodzi o dopasowanie zestawu odpowiedniej biżuterii i złożenie jej na osobę, aby wyglądała ładnie jako całość.
Analitycy ds. bezpieczeństwa z ESG, Gartner, Forrester, IDC i Omdia zgodnie twierdzą, że zmiana sposobu myślenia z odizolowanych narzędzi na skonsolidowaną platformę jest kluczowa, abyśmy mogli dostrzegać i reagować na krytyczne naruszenia. W szczególności platforma musi przyjąć holistyczne podejście i korelować wykrycia w całej sieci, chmurze, punktach końcowych i aplikacjach – na całej powierzchni ataku.
Kluczowym celem korelacji wykrycia w różnych narzędziach, źródłach danych i środowiskach jest poprawa dokładności wykrywania, wykrywanie złożonych ataków poprzez łączenie słabszych sygnałów z wielu narzędzi w celu wykrywania ataków, które w innym przypadku mogłyby zostać zignorowane, oraz poprawa wydajności operacyjnej i produktywności. Kompleksowa widoczność nie oznacza już znalezienia odpowiednich danych - oznacza raczej znalezienie złożonych ataków.
Aby to zrobić, powinieneś rozważyć Open XDR. XDR to spójne rozwiązanie w zakresie operacji bezpieczeństwa ze ścisłą integracją wielu aplikacji bezpieczeństwa na jednej platformie z pojedynczą szybą. Automatycznie zbiera i koreluje dane z wielu narzędzi, usprawnia wykrywanie i zapewnia automatyczne odpowiedzi. Platforma łącząca narzędzia i aplikacje z natury obniża koszty, zarówno pod względem kosztów narzędzi, jak i kosztów infrastruktury, a jednocześnie poprawia wydajność operacyjną dzięki łatwej w użyciu pojedynczej tafli szkła.
Uważamy, że istnieje pięć podstawowych, fundamentalnych wymagań XDR:
- Centralizacja znormalizowanych i wzbogaconych danych z różnych źródeł danych, w tym logów, ruch sieciowy, aplikacje, chmura, Analiza zagrożeń itp.
- Automatyczne wykrywanie zdarzeń bezpieczeństwa na podstawie zebranych danych poprzez zaawansowane analizy, takie jak NTA, UBA oraz EBA.
- Korelacja poszczególnych zdarzeń związanych z bezpieczeństwem w widoku wysokiego poziomu.
- Możliwość scentralizowanej reakcji, która współdziała z poszczególnymi produktami zabezpieczającymi.
- Natywna dla chmury architektura mikrousług zapewniająca elastyczność wdrażania, skalowalność i wysoką dostępność.
Podsumowując, Stellar Cyber to jedyny celowo zbudowany Open XDR platforma, która pobiera i selekcjonuje wszystkie bezpieczeństwo cybernetyczne dane do wykrywania, korelowania i reagowania w całym łańcuchu zabijania. Rozpoczęła się fala korelacji i zapraszamy na przejażdżkę razem z nami, ciesząc się wspólną podróżą!
SIEMs – PUSTE OBIETNICE?
SIEMOd dziesięcioleci stanowią one podstawę operacji bezpieczeństwa i należy to uznać. Jednakże, SIEMzłożyli wiele wspaniałych obietnic, ale do dziś nie udało im się spełnić wielu z nich…
