Część II: Zarządzanie zachowaniami użytkowników i podmiotów
(10-minutowa dyskusja i prezentacja)
Jeff: Witamy w drugim odcinku cyklu „Przywództwo Myśli IUWorld” poświęconego cyberbezpieczeństwu GRC – Governance Risk & Compliance. Serdecznie witamy wszystkich, którzy dołączyli do nas w tym webinarium. Przede wszystkim , pozwólcie, że przedstawię zespół. Nazywam się Jeff Chau i jestem dyrektorem ds. transformacji cyfrowej w IUWorld.
Ze mną tu jest dzisiaj Snehal Contractor ze Stellar Cyber. Snehal jest wiceprezesem odpowiedzialnym za ogólnoświatową inżynierię systemów i usługi techniczne.
Witamy Snehala w serii „Przywództwo Myśli IUWorld” . Teraz chciałbym przedstawić IUWorld.
Jesteśmy w branży ICT od 20 lat; zakorzenione w HK & Macau i to, co teraz nazywamy Greater Bay Area. Naszymi klientami są banki i instytucje finansowe, instytucje rządowe i organizacje pozarządowe, przedsiębiorstwa komercyjne i ośrodki gier. Dziś specjalizujemy się w usługach cyberbezpieczeństwa z naciskiem na innowacje GRC.
Nasz sposób działania polega na tym, że poprzez innowacje technologiczne tworzymy uzasadnienie biznesowe dla odporności biznesowej. Lubię nazywać to „Projektem Transformacyjnym”.
Przejdźmy do dzisiejszego tematu - analiza zachowań jednostek użytkownika (UEBA).
Uznając rosnące znaczenie technologii regulacyjnej (Regtech), jednym z kluczowych aspektów jest przyjrzenie się zachowaniom użytkowników i podmiotów w organizacji pod kątem ostrożnościowego zarządzania ryzykiem i zgodności z przepisami.
Przyjrzyjmy się definicji UEBA. Tak naprawdę chodzi o to, czy ktoś ma wgląd w swojego użytkownika / system w ramach swoich danych, hosta sieciowego.
Oznacza to, w jaki sposób można monitorować komunikację między systemami oraz od interakcji człowieka z aplikacjami, a także zdolność do identyfikowania złośliwych wewnętrznych / zewnętrznych napastników infiltrujących ich organizacje.
To przykład zastosowania Regtech w analityce działań – w jaki sposób sztuczna inteligencja może pomóc w wyciąganiu wniosków z tych zachowań (co jest uważane za normalne, a co za anomalię i co można zidentyfikować w odpowiednim czasie).
Rzeczywiście, w celu zapewnienia przejrzystości, spójności i standaryzacji organizacja zapewnia rzetelną interpretację przepisów.
Jeff: Cześć Snehal, dziś chciałbym poznać Twoje przemyślenia na temat analizy zachowań jednostek użytkownika – UEBA — i jak Twoim zdaniem może to wpłynąć na transformację zarządzania, ryzyka i zgodności
SNEHAL: Jeff, dziękuję za kolejną sesję z nami. I nie mógłbym się bardziej zgodzić. UEBA zmienia cyberbezpieczeństwo i w rzeczywistości jest w centrum uwagi ze względu na naszą nową normalność
- Nasi klienci i partnerzy twierdzą, że mają teraz wielu nowych zdalnych użytkowników - zmieniając wszystkie linie bazowe i tworząc nowe wektory ataków
- Wiele organizacji ma jeszcze więcej infrastruktury w chmurze i SaaS - potencjalnie ograniczając widoczność i utratę kontroli
- Z tymi wyzwaniami UEBA zapewnia twój SOC zespół może szybciej wykrywać złożone ataki — użytkownicy i jednostki to strategiczny sposób na znalezienie złożonych atakujących
Jeff: Więc tak mówisz UEBA jest dość strategiczne w stosunku do naszej nowej normy?
SNEHAL: Popraw Jeff i UEBA potrzebuje więcej niż SIEM Do logi potrzebujesz ruchu sieciowego, świadomości aplikacji, chmury i SaaS. Korelując dane z szerszego zestawu narzędzi, możesz proaktywnie łączyć złożone ataki w jedną całość, obejmując całą infrastrukturę IT. SIEMSam brak pełnej widoczności zmusza Cię do zatrudniania utalentowanych analityków ds. bezpieczeństwa do pisania zapytań.
Widzimy AI - sztuczna inteligencja— jako kluczowy czynnik umożliwiający szerszej społeczności firm korzystanie z zaawansowanych technologii SOC rozwiązań. Komputery są dobre w dostrzeganiu wzorców. Sztuczna inteligencja to sposób na pomoc SOC zespoły skalują się, dzięki czemu mogą skupić się na pracy strategicznej.
Jeff: Rozumiem, że sztuczna inteligencja jest gorącym tematem tutaj w Hongkongu - zanim zagłębimy się głębiej UEBA, czy możesz podzielić się typowymi wyzwaniami, jakie mieli Twoi klienci, zanim im pomogłeś?
SNEHAL: Nawet mając odpowiednie narzędzia, wielu naszych klientów podzieliło się porażkami, a nie sukcesami. Problemem jest przejrzystość – organizacje mają do czynienia z użytkownikami i podmiotami praktycznie wszędzie.
- W chmurze
- Na miejscu
- W domu
- Przechodząc przez sieć fizyczną
Twoja powierzchnia ataku jest większa niż kiedykolwiek - i - dynamiczna
JEFF: Rozumiem, dlatego narzędzia wyizolowane nie pomogą, trzeba patrzeć kompleksowo i pomiędzy rzeczami!
SNEHAL: Zgadza się, Jeff, nazywamy to kompleksową widocznością i mamy opatentowaną technologię czujników, która zapewnia widoczność w chmurze, punktach końcowych, sieci i u użytkowników — wszędzie!!
JEFF: W kontekście nowej normalności kluczowe znaczenie ma skalowalność i interoperacyjność w heterogenicznych środowiskach.
JEFF: Czy możesz przedstawić naszym widzom koncepcję kompleksowej widoczności — w jaki sposób śledzisz zachowanie użytkownika lub podmiotu?
SNEHAL: Jeff, pozwól, że otworzę interfejs graficzny i zwrócę twoją uwagę na przycisk ZBIERZ. Jak widać po lewej stronie, pobieramy dane z wielu źródeł. Po prawej stronie widać również łączniki, które pomagają nam gromadzić dane o użytkownikach i encjach z AWS, Microsoft365, Google Cloud, a także z poczty e-mail, Syslogów i sieci. Z tych danych wyodrębniamy informacje o użytkownikach i encjach. Teraz przeanalizuję zdarzenie. Tutaj pokażę ci możliwości naszych rekordów Interflow, które rejestrują wszystkie informacje o każdym zdarzeniu dotyczącym zachowania użytkownika i encji.
Wykonujemy głęboką inspekcję pakietów - DPI - na wszystkich przetwarzanych danych, co pomaga nam jeszcze lepiej zobaczyć Twoją powierzchnię ataku
Widzimy ataki tunelowania DNS. Możemy Ci powiedzieć, jakie aplikacje są przejmowane. Łączymy wszystkie te dane z informacjami o zagrożeniach stron trzecich, takimi jak geolokalizacja, aby zapewnić pełny obraz do analizy bezpieczeństwa.
JEFF: Snehal, imponujące, widzę też, że jest czytelne, więc jestem pewien, że możesz poszukać tych informacji
SNEHAL: Zgadza się, Jeff, mamy jedno jezioro danych, w którym przechowywane są wszystkie metadane. Wykonujemy na nim analizę dużych zbiorów danych, aby pomóc Ci dostrzec trendy – gdy zachowanie użytkownika lub podmiotu ulega zmianie, nasza sztuczna inteligencja wyróżnia to jako krytyczne wykrycie anomalii.
JEFF: Snehal, czy możemy teraz bardziej zagłębić się w zachowania użytkowników? Myślę, że masz kilka interesujących spostrzeżeń w tej kwestii.
SNEHAL: Dzięki Jeff, tak właśnie robimy. Dzisiejsi hakerzy nie atakują w tradycyjny sposób – to jest kluczowe – podejście perymetryczne czy przechwytywanie logów już nie zapewnia bezpieczeństwa. Teraz uzyskują dostęp do mniej znanych zasobów i zaczynają gromadzić informacje o ważniejszych systemach poprzez działania boczne, a następnie poszukują cenniejszych informacji.
JEFF: Czy możesz wyjaśnić przykład na slajdzie?
SNHEAL: Jasne, załóżmy, że oznaczyłeś swojego prezesa jako osobę krytyczną i widzisz, że zalogował się w Tokio, a potem dwie godziny później w Sydney w Australii. To oczywiście niemożliwe, ale jego logowanie było prawidłowe. Następnie widzisz, jak używa poleceń, aby uzyskać dostęp do aplikacji, na przykład SSL, aby uzyskać dostęp do danych na serwerze SQL.
JEFF: Dlaczego prezes miałby używać protokołu SSL i dlaczego miałby szukać danych SQL? Coś jest bardzo podejrzane i odbiega od jego normalnego zachowania, ale wszystkie trzy działania są nadal prawidłowe, biorąc pod uwagę wszystko, co możemy ustalić na podstawie istniejących narzędzi i danych – prawda?
UZDROWIENIE: Dokładnie Jeff, podsumowując to UEBA Naprawdę potrzebujemy sposobu na połączenie wszystkich narzędzi i kanałów, a następnie przetworzenie ich za pomocą sztucznej inteligencji, aby pomóc w znajdowaniu wzorców, a także rozwiązania stworzonego specjalnie po to, by znaleźć WŁAŚCIWE dane. Nazywamy to Otwarte--XDR – rozszerzone wykrywanie i reagowanie z możliwością integracji z dowolnym systemem, narzędziem lub źródłem danych. Tak jak rozszerzyliśmy zapory sieciowe o SIEMs, nadszedł czas, aby ponownie rozważyć sposób, w jaki budujemy SOC. Zbiór narzędzi - lub - inteligentna platforma to podstawa.
JEFF: Czyli rozumiem, że chodzi o zachowanie użytkownika i jego szeroki zakres widoczności. Wydaje się, że to świetny sposób na wykrycie włamania?
SNEHAL: Dokładnie tak, Jeff.
Jeff: Dzięki Snehal, czy możemy przyjrzeć się bliżej Stellar Cyber? Open XDR Platforma? Pokaż nam konkretnie, jak zidentyfikować krytyczny zasób i sprawdzić, czy jest zainfekowany?
SNEHAL: Jasne, Jeff. Po pierwsze, właśnie zidentyfikowałem zainfekowany serwer, został zhakowany. Nasz UEBA Funkcja ta pomogła zidentyfikować infekcję. Zablokuję urządzenie przed wysyłaniem ruchu. Użyłem naszej biblioteki Threat Hunting do wywołania odpowiedzi i zamknięcia portu. Zakończmy ten przypadek użycia ostatnim krokiem, sprawdzając, czy serwer infekuje teraz inne urządzenia. Jak omówiliśmy na początku, jest to częsty sposób, w jaki hakerzy infekują inne urządzenia w środowisku poprzez ruch boczny. Widzisz, wiele innych urządzeń wymaga teraz uwagi.
JEFF: Dzięki Snehal, jestem przekonany, że naprawdę wiele zrobiłeś. Było to proste i zajęło ci tylko kilka minut.
JEFF: Ostatnim tematem, który chciałbym poruszyć, jest zgodność z przepisami. Wielu naszych klientów musi co roku, a nawet częściej, przeprowadzać inicjatywy dotyczące zgodności i zarządzania. W jaki sposób Państwa platforma wspiera raportowanie?
SNEHAL: Świetna uwaga, Jeff. Wprowadziliśmy wiele funkcji do naszego modułu raportowania, jak widać. Mamy wiele gotowych szablonów, na przykład zgodności z PCI, CIS i HIPAA.
JEFF: Czy możesz łatwo tworzyć raporty dla klientów?
SNEHAL: Jasne, Jeff, możemy utworzyć raport klienta z dowolnego pulpitu nawigacyjnego na platformie. Tutaj widzisz wszystkie nieudane logowania użytkowników z biblioteki Threat Hunting. Mogę bardzo łatwo edytować pulpit nawigacyjny i utworzyć z niego raport klienta.
JEFF: Snehal, myślę, że musimy zakończyć. Czy możesz streścić naszą dzisiejszą dyskusję?
SNEHAL: Jasne, Jeff, myślę, że najważniejszą rzeczą, jaką mogę powiedzieć, jest to, że widoczność jest kluczem do sukcesu w dziedzinie bezpieczeństwa. Nie da się zarządzać tym, czego nie widać – a to oznacza całą powierzchnię ataku – chmurę, punkty końcowe, sieć i użytkowników – a jak obaj dziś podkreślaliśmy, zachowanie użytkowników i podmiotów ma strategiczne znaczenie dla zapewnienia widoczności złożonych ataków. Przewagą Stellar Cyber jest to, że możemy dostarczyć nowych spostrzeżeń do narzędzi i telemetrii, którym już ufasz – jest natywny dla chmury i oparty na otwartym API. W zakresie zarządzania cyberbezpieczeństwem, ryzyka i zgodności – UEBA zapewnia zamknięcie martwych pól, które same w sobie byłyby widoczne dzięki kłodom.
JEFF: Dzięki Snehal, myślę, że ta sesja pomogła klientom zobaczyć, że mogą łatwo śledzić krytyczne zasoby i użytkowników w chmurze, punktach końcowych i sieci — co pomogło uprościć zarządzanie, raportowanie ryzyka i zgodności — do następnego razu
Podsumowując, do przekształcenia cyberbezpieczeństwa w scentralizowaną i inteligentną platformę, która jest w stanie ukryć martwe punkty, uzupełniać i integrować wszystkie dostępne narzędzia oraz filtrować, normalizować i korelować zdarzenia i incydenty w krytyczne alerty w celu wykrywania i reagowania.
To ciągła podróż!
Dziękuję bardzo.
