Nadszedł czas, aby technologia cyberbezpieczeństwa nadążała za przeciwnikami. Teraz, gdy widzieliśmy tak wiele udanych wieloetapowych ataków, musimy ponownie ocenić sposób, w jaki korelujemy sygnały, które widzimy ze wszystkich narzędzi bezpieczeństwa w naszych środowiskach. Korelacja jest pomocna, ale nie zawsze daje pełny obraz. Jaka jest kolejna faza wykrywania i reagowania?
Aby to zrozumieć, musimy przyjrzeć się obecnym strukturom, które pomagają zespołom ds. bezpieczeństwa organizować ich codzienne zadania. Lockheed Martin Kill Chain był bardzo popularną strukturą, gdy główną taktyką było rozprzestrzenianie złośliwego oprogramowania. Bardzo dobrze było nakreślić różne etapy, przez które przeszli atakujący, aby rozmieścić swój ładunek. Następnie pojawił się framework MITER ATT&CK. Obecnie jest to wykorzystywane przez wielu ekspertów, ponieważ jest bardziej wyczerpujące i opisuje taktyki i techniki, które zyskały popularność wśród atakujących w ciągu ostatnich kilku lat.
Problem z tymi dużymi i wyrafinowanymi frameworkami polega na tym, że bardzo trudno jest napisać ręczne reguły, aby przewidywać i korelować wszystkie sygnały ze źródeł logów. Ilość kłód, które są zbierane i zatrzymywane, gwałtownie rośnie. Stało się to dużym wyzwaniem dla nawet najmniejszych partnerów. Co można zrobić, aby rozwiązać to wyzwanie?
Kluczem jest integracja platformy bezpieczeństwa i frameworka. Obecnie wiele platform udostępnia łącza do MITER w ramach analizy zagrożeń, ale zwykle dzieje się to po fakcie. To, co musimy zrobić, to organizować i prezentować alerty w ramach systemu w czasie rzeczywistym. Atakujący muszą odnieść sukces na wielu etapach struktury, aby osiągnąć swój cel. Musimy tylko skutecznie powstrzymać ich na jednym z etapów. Im wcześniejszy etap, tym mniej będzie sprzątania. Jest kilka kluczowych procesów, których potrzebujesz, aby to osiągnąć.
Po pierwsze, potrzebny jest ustandaryzowany i wzbogacony zestaw danych. Nie chcemy już, aby analitycy próbowali określać, jak niebezpieczny jest sygnał, dopóki nie zostanie on zidentyfikowany – rozwiązanie musi porównać wszystkie dane z platformą Threat Intelligence i wzbogacić zestaw danych o te informacje, zanim rekord zostanie utworzony. Po uzyskaniu standardowego formatu danych, komponent AI/ML może korelować sygnały z wielu wektorów zagrożeń w środowisku. Alerty są organizowane w ramach łańcucha ataków (tzw. kill chain), który jest bezpośrednio powiązany z etapami struktury ataku MITRE. Gdy analityk widzi alert, nie ma wątpliwości, jak go priorytetyzować.
Dla partnerów organizowanie i zarządzanie setkami alertów w ciągu dnia jest zadaniem czasochłonnym i wymagającym dużych zasobów. Rozwiązanie musi posiadać uczenie maszynowe (ML), które zapewnia dodatkową warstwę korelacji, przedstawiając wieloetapowe ataki jako incydenty i przypisując każdemu incydentowi ocenę ryzyka. To dodatkowa warstwa uczenia maszynowego wykraczająca poza prostą korelację alertów. Znacznie skróci to czas. SOC Analitycy poświęcają czas na grupowanie alertów do analizy. Rozwiązanie powinno umożliwiać analitykom dodawanie lub usuwanie alertów z incydentu oraz dostosowywanie oceny zagrożenia.
Stellar Cyber jest pierwszym, który zapewnia XDRSkoncentrowany na łańcuchu ataków (tzw. kill chain) wraz z ulepszonym uczeniem maszynowym (ML) i opartym na incydentach zarządzaniem alertami. Nadszedł czas, aby wykorzystać automatyzację uczenia maszynowego (ML) do wykrywania i zatrzymywania przeciwników. Aby dowiedzieć się więcej, skontaktuj się z nami pod adresem brain@stellarcyber.ai.
