Principais recursos a serem considerados ao escolher uma solução NDR
Gartner XDR Guia de Mercado
XDR É uma tecnologia em constante evolução que pode oferecer recursos unificados de prevenção, detecção e resposta a ameaças...
Experimente a segurança com tecnologia de IA em ação!
Descubra a IA de ponta da Stellar Cyber para detecção instantânea de ameaças...
Por que você precisa de uma solução NDR?
A segurança de rede tem consistentemente representado uma das fronteiras mais difíceis de controlar. Mesmo layouts de rede relativamente complexos seriam fáceis de proteger com um firewall simples, não fosse o fato de muitos serviços hoje serem descentralizados. Com tantos dispositivos fora do perímetro tradicional, o potencial de vulnerabilidades é maior do que nunca. E não são apenas os serviços que são abstraídos de suas próprias defesas: os funcionários dependem constantemente de redes sem fio, que são mais suscetíveis a espionagem e acesso não autorizado. A natureza inerente da comunicação sem fio significa que a proteção dessas redes requer vigilância constante e protocolos de segurança avançados.
Junto com um cenário de rede em constante mudança, há também a ameaça em constante evolução de criminosos cibernéticos oportunistas. Técnicas sofisticadas são cada vez mais vistas em campo, enquanto ataques patrocinados por Estados prosperam sob as tensões geopolíticas atuais. Essas ameaças frequentemente exploram as ferramentas e configurações legítimas de rede que mantêm os funcionários conectados, tornando-as mais difíceis de detectar e se defender.
Portanto, as organizações precisam monitorar o tráfego que flui por suas infraestruturas tecnológicas. É aí que entra a solução NDR: essas ferramentas monitoram continuamente a atividade de rede que ocorre nos bastidores com inteligência artificial, permitindo detectar e responder a ocorrências preocupantes com muito mais rapidez. Saiba mais sobre o que é NDR.
Quais são os principais recursos do NDR?
Inspeção Profunda de Pacotes
A atividade de rede assume muitas formas, mas no nível da aplicação, os pacotes são reis. Quando os dados são enviados pela rede, eles são divididos em partes mais gerenciáveis, chamadas pacotes. Como uma carta, cada pacote contém o endereço para o qual está sendo enviado, bem como a mensagem – ou dados – que está sendo transmitida. A inspeção de pacotes tradicional examinava apenas o cabeçalho desses dados – que continha apenas informações sobre o destino e o remetente. Infelizmente, até mesmo a falsificação simples de certificados permite que invasores contornem essa defesa – o que significa que, nos dias de hoje, a inspeção profunda de pacotes é um padrão mínimo para recursos de NDR seguros.
A inspeção profunda de pacotes depende de um ponto de conexão central e de um tap de rede: isso garante acesso total às informações dos pacotes. A capacidade de visualizar não apenas o cabeçalho do pacote, mas também o conteúdo e o protocolo que o acompanha, garante um grau muito maior de visibilidade sobre o que está sendo enviado pela sua rede. Saber qual aplicativo, usuário e dispositivo está transferindo quais pacotes de dados oferece uma maneira de acelerar a compreensão e a otimização da rede.
No entanto, o DPI apresenta algumas desvantagens importantes. Os invasores já estão cientes delas. Por exemplo, o DPI exige muito poder de processamento, pois inspeciona minuciosamente cada segmento de dados do pacote. Ironicamente, portanto, o DPI é menos útil em redes de alta largura de banda, pois simplesmente não consegue inspecionar todos os pacotes da rede.
As organizações estão recorrendo cada vez mais à criptografia como meio de proteger suas comunicações de rede e interações digitais. Infelizmente, os invasores também estão. O DPI tem dificuldade para obter muitas informações de dados de rede criptografados, o que significa que eles não conseguiriam capturar comunicações criptografadas entre um trojan ransomware e seu servidor C2.
Para combater isso, sua ferramenta NDR precisa ter muito mais do que DPI em seu kit de ferramentas.
Análise de metadados
A análise de metadados (MA) representa um passo atrás em relação à abordagem hiperespecífica de pacote a pacote da inspeção profunda de pacotes (DPI), capturando, em vez disso, toda a gama de atributos sobre comunicações de rede, aplicativos e agentes – sem analisar o conteúdo completo de cada pacote. É assim que a detecção e resposta a desastres (NDR) consegue atingir a maioria dos seus melhores casos de uso.
Para cada sessão que atravessa a rede, metadados abrangentes são registrados; esses metadados se estendem para capturar uma variedade de atributos críticos que podem identificar um ataque cibernético na hora certa. Em seu nível mais básico, isso inclui os endereços IP do host e do servidor, números de porta e detalhes de geolocalização de cada conexão. Mas os metadados oferecem uma riqueza de informações maior do que apenas isso: os logs de DNS e DHCP ajudam a mapear dispositivos para endereços IP, enquanto mais detalhes sobre o acesso a páginas da web podem construir uma imagem mais clara das conexões em andamento. Os logs do Controlador de Domínio ajudam a vincular o usuário aos sistemas aos quais ele pode ter acesso. O problema do DPI da criptografia é frustrado graças à presença de metadados mesmo em páginas da web criptografadas: desde o tipo de criptografia, cifra, hash; até os nomes de domínio totalmente qualificados do cliente e do servidor; e os hashes de vários objetos como JavaScript e imagens, todos esses dados de rede podem ser canalizados para NDRs modernos.
A análise de metadados garante visibilidade de toda a rede, tornando o MA ideal para redes não protegidas por DPI. Ou seja, redes de alta largura de banda mais distribuídas. Ao mesmo tempo, observe que o MA não é afetado pela criptografia: isso permite que ele detecte e previna ataques cibernéticos avançados que se escondem atrás de processos de criptografia de tráfego. O foco em informações de rede de múltiplas fontes é muito mais adequado às pilhas de segurança multifuncionais e fortemente integradas de hoje.
Análise Comportamental
Já abordamos quais dados devem ser coletados e por quê, mas não como eles são usados para melhorar a segurança das suas redes. No passado, as tentativas de proteção de rede se concentravam em alinhar as informações dos pacotes com as assinaturas presentes em ataques de malware conhecidos. Embora seja melhor do que nada, essa abordagem deixa suas redes totalmente vulneráveis a novos ataques. Os ataques atuais não permitem erros, como comprovado pelo recente ataque de ransomware de US$ 22 milhões à Change Healthcare, e outros ainda estão por vir.
A análise comportamental é a resposta da indústria aos ataques cada vez mais inovadores e distribuídos da atualidade. Algoritmos de aprendizado de máquina permitem que todos esses metadados e informações de pacotes sejam agrupados em padrões de comportamento mais amplos. Isso é alcançado de duas maneiras diferentes: técnicas de aprendizado supervisionado e não supervisionado. O aprendizado de máquina supervisionado identifica comportamentos fundamentais comuns a várias variantes de ameaças (como o fato de que malwares recém-implantados geralmente alcançam um servidor C2), permitindo uma detecção consistente em diferentes cenários. Por outro lado, algoritmos de aprendizado de máquina não supervisionados analisam dados corporativos em uma escala muito maior, realizando bilhões de cálculos baseados em probabilidade a partir de dados observados. Esses algoritmos não se baseiam em conhecimento prévio sobre ameaças, mas categorizam os dados de forma independente e identificam padrões significativos.
Essencialmente, os algoritmos não supervisionados permitem que as ferramentas NDR estabeleçam uma linha de base do que é normal para a sua rede. Em seguida, permitem que você... SOC A equipe deve observar quaisquer conexões incomuns que surjam repentinamente: essas conexões podem ser indicadores de um ataque à cadeia de suprimentos se surgirem de repente de uma única fonte; ou, se mais dados do que a média estiverem sendo enviados para um dispositivo externo, isso pode ser evidência de um usuário malicioso ou comprometido. Tanto os modelos de aprendizado supervisionado quanto os não supervisionados são importantes, pois, em conjunto, abrangem toda a gama de análises comportamentais que suas redes precisam.
Inteligência de ameaça
A integração com feeds de inteligência de ameaças permite que o sistema NDR cruze a atividade da rede com ameaças conhecidas, endereços IP maliciosos e indicadores de comprometimento (IoCs). Isso ajuda a solução NDR a identificar e detectar ameaças que foram observadas e documentadas pela comunidade de segurança em geral. Quando combinados com soluções NDR, os feeds de inteligência de ameaças atuam como provedores de contexto rápidos e precisos. Isso vai muito além das assinaturas básicas de malware antigas, com feeds de inteligência de ameaças líderes de mercado, incluindo as táticas, técnicas e procedimentos dos ataques mais recentes, bem como seu impacto.
Essas informações contextuais ajudam uma solução de NDR a entender melhor a natureza de cada anomalia detectada e a tomar decisões mais informadas sobre a resposta apropriada. Esse suporte aos seus analistas pode ser aprofundado por meio de uma maior integração com a estrutura MITRE ATT&CK, bem como com o suporte adicional das ferramentas que já mantêm o restante da sua organização seguro.
Integração de pilha de tecnologia de segurança
Você não limitaria um analista de segurança a apenas uma plataforma – assim como os feeds de inteligência de terceiros fornecem contexto sobre as ameaças existentes, seu conjunto de tecnologias mais amplo pode oferecer uma visão personalizada do seu próprio cenário. Quando o NDR se integra com a Detecção e Resposta de Endpoint (EDR) e o Gerenciamento de Informações e Eventos de Segurança (SIEM),SIEMCom as ferramentas que você já possui, suas equipes são capazes de atuar no mesmo nível multifacetado que os atacantes.
Considere a estrutura MITRE ATT&CK: embora explicitamente desenvolvida para identificar Táticas, Técnicas e Procedimentos (TTPs), a estrutura MITRE ATT&CK apresenta uma tendência significativa para táticas de endpoint. Graças a isso, a EDR passou por uma fase de investimentos significativos em todos os setores. Isso é perfeitamente compreensível: combinar suas ferramentas com as estruturas líderes do setor é um passo na direção certa. Apesar disso, é vital ficar de olho na realidade da exploração de vulnerabilidades. Quando uma campanha de ataque está chegando ao fim, muitas técnicas críticas são, na verdade, mais fáceis de detectar da perspectiva da rede. Nesse mesmo período de um ataque em estágio avançado, os minutos passam com uma velocidade incrível – ao reduzir a importância das atividades de rede, algumas organizações estão, na verdade, prejudicando seu potencial de resposta de segurança no momento mais crítico. Analisar e correlacionar dados de endpoints e fontes de rede permite aos analistas o espectro completo de visibilidade.
Automatize a detecção e resposta de rede com o Stellar Cyber
Quando uma NDR detecta atividades suspeitas ou maliciosas na rede, esses dados precisam ser encaminhados à sua equipe de segurança com a máxima clareza e eficiência. Em eventos críticos de segurança, cada segundo importa. Tradicionalmente, os alertas baseados em rede eram enviados para as mesmas listas de alertas que todo o resto, gerando longos acúmulos de trabalho que consomem cada vez mais tempo precioso das horas limitadas dos seus analistas de segurança. Os NDRs modernos reconhecem que fluxos intermináveis de alertas prejudicam a segurança organizacional à sua maneira: em vez disso, eles buscam agrupar problemas individuais em alertas mais amplos e contextuais.
Ao se conectar ao seu conjunto mais amplo de ferramentas de defesa, uma solução automatizada de NDR pode assumir parte do trabalho pesado que está atrasando suas equipes de segurança atualmente. A triagem manual automatizada ainda é surpreendentemente linear – e lenta. Portanto, embora uma resposta multifacetada seja capaz de levar a detecção de ameaças a novos patamares, o ponto fraco ainda é o fato de que os analistas só conseguem processar uma quantidade limitada de informações por vez. Eis que surgem os algoritmos.
Essa abordagem cada vez mais holística à segurança é a base da Detecção e Resposta Estendidas. Em vez de sobrecarregar os analistas com cada vez mais ferramentas, painéis e alertas, a nova fase da segurança cibernética visa aproveitar as amplas quantidades de informações que já estão ao seu alcance por meio da automação.
Stellar Cyber's Open XDR A plataforma aproveita as capacidades de um NDR isolado e as combina com algoritmos de EDR e automação. Dessa forma, sua segurança vai além de uma análise superficial de cada área isolada da sua infraestrutura tecnológica: em vez disso, um alerta de um dispositivo pode ser comparado e contrastado com a atividade de rede associada a ele. Mais informações não apenas auxiliam o analista de segurança a compreender de forma abrangente a natureza e o impacto potencial da ameaça detectada, como também a utilização de análises avançadas permite que cada aspecto influencie o nível de gravidade de um alerta.
Ao pré-definir um alerta com sua criticidade, a Stellar Cyber XDR As ferramentas permitem visualizar de forma rápida e fácil o impacto potencial e a probabilidade de exploração. Essa automação é fundamental não apenas para lidar com grandes volumes de dados de rede, mas também para identificar anomalias e problemas que realmente precisam de correção. Reavalie hoje mesmo a relação da sua organização com os alertas de rede. veja como o Stellar orienta as equipes de segurança para tempos de resolução mais rápidos do que nunca.
