Samuel Jones, wiceprezes ds. zarządzania produktami w firmie Stellar Cyber, omawia, jak SIEMMiały być najlepszą platformą do analityki bezpieczeństwa. Mimo to wielu użytkowników uważa, że nie spełniły obietnic. Teraz, dzięki rozszerzonemu wykrywaniu i reagowaniu (XDR) obiecuje być najlepszą platformą. Czy powinieneś ją przyjąć? XDRCo to oznacza dla Ciebie? SIEM?
Zarządzanie informacjami dotyczącymi bezpieczeństwa i zdarzeniami (SIEMs) gromadzą dane z logów bezpieczeństwa, co ma na celu identyfikację martwych punktów, redukcję szumów i zmęczenia alertami oraz uproszczenie wykrywania i reagowania na złożone cyberataki. Jednakże SIEMs nie spełniły tych obietnic. Teraz nowym pomysłem jest rozszerzona detekcja i reakcja. Jakie są jej zalety i czy powinna współistnieć z systemem, czy go zastąpić? SIEM? W tym artykule omówiono obecny stan cyberbezpieczeństwa, w jaki sposób SIEM pasuje do tego krajobrazu i jak XDR Platformy mogą znacząco poprawić widoczność, analizę i reagowanie na incydenty bezpieczeństwa.
Krajobraz bezpieczeństwa
Najbardziej oczywistą rzeczą w dzisiejszym krajobrazie bezpieczeństwa jest rosnąca liczba zagrożeń:
- Według Accenture 68% liderów biznesu czuło, że: ryzyko cyberbezpieczeństwa rosły w 2020 roku.
- RiskBased poinformował, że naruszenia danych ujawniły 36 miliardów rekordów w pierwszej połowie 2020 r.
- Proofpoint ustalił, że 88 procent organizacji na całym świecie doświadczyło ataków typu spear phishing w 2019 roku.
Ponadto ataki stają się coraz bardziej złożone. Hakerzy kiedyś celowali w jeden wektor, taki jak port zapory, ale dziś atakują wiele wektorów. Na przykład osoba atakująca może zalogować się do sieci z nierozpoznanej lokalizacji, uzyskać dostęp do systemu Active Directory i zmienić uprawnienia użytkownika, a następnie rozpocząć pobieranie danych z serwera. Same w sobie każdy z tych wskaźników może być postrzegany przez systemy, które je śledzą, jako fałszywe alarmy, ale w rzeczywistości wszystkie są częścią jednego ataku.
W tym środowisku firmy walczą z identyfikacją i naprawą ataków. Tradycyjne podejście polegające na zbieraniu grupy narzędzi silosowych (takich jak EDR, NTA, SIEM oraz UEBA) do analizowania ruchu w sieciach, serwerach, punktach końcowych, chmurze i innych wycinkach infrastruktura bezpieczeństwa po prostu nie działa. W tym samym badaniu ESG stwierdziło, że 75% firm ma trudności z syntezą wyników z różnych narzędzi bezpieczeństwa w celu określenia ataków. Co więcej, badanie pokazuje, że 75% firm wdrożyło jedno lub więcej narzędzi bezpieczeństwa, które nie spełniły swojej obietnicy.
Wreszcie istnieje luka w umiejętnościach ludzi. Badanie ESG wykazało, że 75% firm ma lukę w umiejętnościach kadrowych, nie mogą zatrudnić wystarczającej liczby doświadczonych analityków, aby wspierać analitykę bezpieczeństwa i operacje.
Dowiedz się więcej: Twoja podróż do inteligentnego NG-SOC Zaczyna się tutaj
Jak narzędzia radzą sobie z wyzwaniami
SIEMzbierać dane z wielu różnych źródeł, w tym zapór sieciowych, wykrywania i reagowania sieci (NDR) systemy, systemy wykrywania i reagowania na ataki w punktach końcowych (EDR), brokerzy bezpieczeństwa aplikacji w chmurze (CASB). Pomysł jest dobry: jedno narzędzie zbiera dane z całej powierzchni ataku i agreguje je w celu analizy, wykrywania i reagowania. Istnieją jednak problemy z SIEM przybory:
- Każde narzędzie silosowe generuje dane w swoim własnym formacie.
- Wciąż potrzeba wielu ręcznych zadań, takich jak przekształcanie danych (w tym fuzja danych) w celu stworzenia kontekstu dla danych, tj. wzbogacenie o informacje o zagrożeniach, lokalizację, informacje o zasobach i/lub użytkownikach
- Jest tak dużo danych, że analitycy mają duże trudności z wykryciem złożonych ataków.
- Analitycy nie widzą złożonych ataków ze względu na ilość danych i wysiłek, jaki jest potrzebny do ręcznego skorelowania oddzielnych wykryć. Faktem jest, że ludzki mózg nie może skorelować więcej niż trzech źródeł informacji na raz, więc przedzieranie się przez powódź informacji jest trudne lub niemożliwe.
Nic dziwnego, że nawet z SIEMW pracy wiele firm potrzebuje tygodni, a nawet miesięcy, aby zidentyfikować złożone ataki: średni czas identyfikacji złożonego naruszenia bezpieczeństwa wynosi ponad 200 dni. Analitycy bezpieczeństwa są zalewani fałszywymi alarmami, więc nie widzą aligatorów w bagnie, bo są zanurzeni po szyję w wodzie i próbują oddychać.
XDR:Widząc las i wszystkie drzewa
Jeśli pomysł kryje się za SIEMs był właściwy pod względem gromadzenia danych z całej infrastruktury, rozszerzonego wykrywania i reagowania) jest ewolucją tego pomysłu. Chodzi o zapewnienie możliwości monitorowania całej powierzchni ataku z jednej konsoli.
XDR to spójna platforma operacji bezpieczeństwa, zapewniająca ścisłą integrację wielu aplikacji bezpieczeństwa w ramach jednego interfejsu. XDR platforma pobiera dane z SIEM, NDR, EDR, CASB, analiza zachowań jednostek użytkownika (UEBA) i innych narzędzi i, w przeciwieństwie do SIEM, normalizuje te odmienne zestawy danych do wspólnego formatu. Wspólną pulę danych można łatwo przeszukiwać, dzięki czemu analitycy mogą analizować alerty w celu wykrycia głównych przyczyn ataków. Ponadto, XDR również używa AI i uczenie maszynowe aby automatycznie korelować wykrycia i wysyłać alerty o wysokiej wierności, znacznie redukując liczbę fałszywych alarmów.
W przeciwieństwie do ludzi komputery potrafią korelować nieograniczoną liczbę punktów danych, dlatego korzystając ze znormalizowanych danych i narzędzi sztucznej inteligencji, XDR Potrafi automatycznie identyfikować złożone ataki w wielu przypadkach, często w ciągu minut lub godzin, a nie tygodni czy miesięcy. Co więcej, ścisła integracja z wyizolowanymi narzędziami bezpieczeństwa umożliwia XDR aby automatycznie reagować na alerty, np. blokować port zapory sieciowej.
Dowiedz się więcej: XDR Wyjaśnione w 300 słowach
Open XDR: Robienie XDR Bardziej przystępne cenowo
Większość XDR Platformy na rynku są rozwiązania od jednego dostawcy, które opierają się na EDR podstawa i zapory. Firmy decydujące się na jednego dostawcę XDR muszą zatem zrezygnować z dotychczasowych inwestycji w narzędzia, aby móc je wdrożyć XDRWiększość firm wydała miliony na nabycie i naukę obsługi istniejących narzędzi, dlatego niechętnie podejmują takie działania.
Open XDR jest XDR wariant współpracujący z istniejącymi narzędziami bezpieczeństwa – dowolnymi EDR i dowolną zaporę. W związku z tym pozwala użytkownikom zachować inwestycje w cyberbezpieczeństwo, jednocześnie je ulepszając, agregując wszystkie dane, wykrywając ataki, prezentując alerty o wysokiej wierności z całej infrastruktury w jednym interfejsie i automatycznie reagując w wielu przypadkach, aby zapewnić natychmiastową poprawę ogólnego postawa bezpieczeństwa.
Dodatkowo, Open XDR Platformy zintegrować własne zestawy SIEM, NTA, UEBA i inne narzędzia. Dzięki temu użytkownicy mogą z czasem zrezygnować z niektórych istniejących narzędzi, stopniowo zmniejszając koszty licencjonowania i złożoność operacyjną.
Wniosek
SIEM od kilku lat jest podstawą operacji bezpieczeństwa, ale często tworzy więcej pracy przy mniejszych wynikach. Analitycy są przeciążeni masą alertów, dane są trudne do normalizacji i niemożliwe jest zatrudnienie wystarczającej liczby analityków, aby zaspokoić potrzebę.
Dostarczając szybkie, wyraźne detekcje z istniejących systemów wraz z automatycznymi reakcjami, XDR Systemy przyspieszają identyfikację ataków i ich usuwanie, jednocześnie zmniejszając obciążenie zespołów analityków, co przekłada się na lepsze ogólne bezpieczeństwo i większe zadowolenie pracowników.
