Kotwica Enterprise Security jest popularnie znana jako "Obrona w głębi" architektura. Defense in Depth (DID) to klasyczna koncepcja defensywna używana w wojsku, która została zaakceptowana przez społeczność Infosec na początku 2000 roku. Implementacja/wersja DID firmy Infosec ewoluowała, aby stawić czoła zagrożeniom w miarę rozwoju krajobrazu zagrożeń.
Przed pojawieniem się Internetu komputery miały tylko ochronę antywirusową, ponieważ głównym zagrożeniem były wirusy. Wirusy były przenoszone przez nośniki (dyskietkę itp.). W przypadku Internetu wszystkie komputery były połączone, a zagrożenia, takie jak robaki, rozprzestrzeniały się w sieciach, więc musieliśmy je zabezpieczyć i najpierw pilnować, kto wchodził do sieci, i tak dalej i dalej.
W swojej obecnej formie architektura DID rozrosła się, aby pomieścić wiele warstw i wciąż ewoluuje. Tak więc architektura DID przełożyła się na zabezpieczenia warstwowe — obwód, sieć, punkt końcowy, aplikacja, użytkownik, dane, zasady itp. Dla każdej warstwy opracowano osobną i odrębną kontrolę w celu ochrony przed zagrożeniami dla tej warstwy. Na przykład techniczne środki kontroli bezpieczeństwa obejmowały takie rozwiązania, jak: Zapory sieciowe, bezpieczne bramy internetowe, IDS/IPS, EDR, DLP, WAF, Anti-Malware produktów.
Oprócz wdrażania warstwowego rozwiązania bezpieczeństwa w zmieniającym się krajobrazie zagrożeń z biegiem czasu, rozwiązania były własnością różnych grup wewnątrz firmy, zarządzane i obsługiwane przez nie. Na przykład Rozwiązanie zapory należał do zespołu ds. infrastruktury IT. Inna grupa była właścicielem rozwiązania poczty e-mail, a inna grupa była właścicielem rozwiązania zabezpieczającego punkt końcowy. Stworzyło to warstwowe rozwiązanie, które istniało niezależnie od wszystkich innych rozwiązań. Stąd koncepcja samodzielnego rozwiązania ze wszystkimi naukami pozostała w zespole odpowiedzialnym za to – w silosie.
Kolejna unikalna cecha, najlepsze w swojej klasie rozwiązania, również charakteryzowała rozwiązanie warstwowe. Ponieważ rozwiązania ewoluowały, innowacje pochodziły z różnych źródeł i dyscyplin, a każdą nową warstwę rozwiązania dostarczali różni dostawcy.
Podejście DID lub warstwowe podejście do bezpieczeństwa działało dobrze w przypadku zagrożeń jednokierunkowych, tj. gdy zagrożenie wchodziło i wychodziło w tym samym wektorze. Klasycznym przykładem tych wczesnych zagrożeń są ataki sieciowe wykryte przez: IDS / IPS, zagrożenia e-mail, takie jak spam przez bramy poczty e-mail itp.
Jednak w miarę jak zagrożenia stają się coraz bardziej złożone i pojawiają się narzędzia do automatycznego generowania złośliwego oprogramowania, botnet i zdalne programowanie, warstwowy model bezpieczeństwa rozpada się. Dzieje się tak, ponieważ założenie nieodłącznie związane z zabezpieczeniami warstwowymi – że wszystkie zabezpieczenia i kontrole są idealnie dopasowane do wykrywania wszystkich zagrożeń i nie ma martwych punktów – okazuje się fałszywe. Są martwe punkty, na które żaden z elementów sterujących nie ma żadnej widoczności. W rezultacie osoby atakujące wykorzystują martwe punkty na swoją korzyść, co utrudnia wykrycie tych złośliwych działań.
Z naszego doświadczenia w radzeniu sobie z zagrożeniem wielowektorowym jasno wynika, że wszystkie kontrolki związane z zagrożeniem wielowektorowym mają widoczność tylko dla swoich silosów i nic poza tym. Pamiętaj, że jest to zgodne z projektem i sposobem, w jaki połączyło się obecne rozwiązanie.
Ponadto cała podstawowa konfiguracja oddzielnych infrastruktur, silosów danych i mechanizmu odpowiedzi oznacza, że zarządzanie kontrolą bezpośrednio jest problemem drugiego rzędu (n**2 – n). Jednak posiadanie warstwy na wierzchu wszystkiego, co działa, jest problemem pierwszego rzędu (2n) do rozwiązania.
Opcje rozwiązania problemu martwych punktów są następujące:
- Niech każdy kontroluje swojego sąsiada, w czym nie jest zainteresowany.
- Zatrudnij więcej analityków, aby ręcznie rozszerzyć widoczność poza silosy
- Uzyskaj narzędzie, które może zapewnić wgląd w kontrolki i ich dane w silosach i wykrywać te wielowektorowe zagrożenia za pomocą automatycznego gromadzenia danych, korelacji, wykrywania i reagowania.
Jeśli wybrałeś opcję nr 3, masz rację!
Bez względu na nazwę, rozwiązanie w punkcie 3 to koperta, która obejmuje wszystkie elementy sterujące w celu wykrywania, korelowania, koordynowania i zapewniania działań w odpowiedzi na zagrożenia w silosach.
I to jest najbardziej wydajny sposób na optymalizację wielopoziomowych, wielowarstwowych systemów bezpieczeństwa.
Ma na imię Open XDR.
Open XDR jest tkanką łączną między kontrolami bezpieczeństwa, która ma umożliwić zespołom bezpieczeństwa zrozumienie ogromnych ilości danych generowanych przez ich kontrole bezpieczeństwa. Powód, dla którego nazywa się go „otwartym”, nie jest trywialny; jest to cecha definiująca rozwiązanie. Open XDRs może pozyskiwać dane z dowolnej kontroli bezpieczeństwa, w tym dowolnej EDR wdrożyła organizacja. Następnie wykorzystanie specjalnie zaprojektowanych funkcji wykrywania może wyeliminować te wielowektorowe zagrożenia, które, jeśli nie zostaną wykryte, mogą umieścić Twoją organizację na pierwszej stronie gazety (lub w witrynie z wiadomościami).
Chociaż w cyberobronie nie ma srebrnej kuli, Open XDR to obiecujące nowe podejście do bezpieczeństwa, które minimalizuje martwe pola, jednocześnie zwiększając efektywność zespołu ds. bezpieczeństwa.
