Основою корпоративної безпеки є архітектура «глибинно-ешелонованого захисту» . Глибоко-ешелонований захист (DID) – це класична оборонна концепція, що використовується у військових, яка знайшла визнання в спільноті інформаційної безпеки на початку 2000-х років. Реалізація/версія DID для інформаційної безпеки розвивалася для вирішення загроз у міру розвитку ландшафту загроз з часом.
До появи інтернету комп'ютери мали лише антивірусний захист, оскільки основною загрозою були віруси. Віруси передавались через носії (дискети тощо). З появою інтернету всі комп'ютери були підключені між собою, і такі загрози, як черв'яки, поширювалися мережами, тому нам довелося захищати мережі, і нам потрібно було контролювати, хто взагалі проникав у мережі, і так далі.
У своєму нинішньому вигляді архітектура DID розширилася, щоб вмістити багато рівнів, і досі розвивається. Отже, архітектура DID перетворилася на багаторівневу безпеку – периметр, мережа, кінцева точка, програма, користувач, дані, політики тощо. Для кожного рівня було розроблено окремий та чіткий контроль для захисту від загроз цьому рівню. Наприклад, технічні засоби контролю безпеки включали такі рішення, як брандмауери, захищені веб-шлюзи, системи виявлення вторгнень/захищених пристроїв (IDS/IPS), EDR, DLP, WAF та засоби захисту від шкідливого програмного забезпечення.
Окрім розгортання багаторівневого рішення безпеки відповідно до мінливого ландшафту загроз з часом, рішення належали, керувалися та експлуатувалися різними групами всередині компанії. Наприклад, рішення брандмауера належало команді інфраструктури під управлінням ІТ. Інша група володіла рішенням електронної пошти, а ще інша – рішенням для безпеки кінцевих точок. Це створило багаторівневе рішення, яке існувало незалежно від усіх інших рішень. Отже, концепція автономного рішення з усіма набутими знаннями залишалася в команді, відповідальній за нього – в ізольованому середовищі.
Ще однією унікальною рисою багаторівневого рішення були найкращі у своєму класі рішення. Оскільки рішення розвивалися, інновації надходили з різних джерел та дисциплін, і кожен новий рівень рішення надавав різний набір постачальників.
DID або багаторівневий підхід до безпеки добре працював для загроз з одним вектором, тобто коли загроза входила та виходила в одному й тому ж векторі. Класичним прикладом цих ранніх загроз є мережеві атаки, виявлені IDS/IPS , загрози електронної пошти, такі як спам через шлюзи електронної пошти тощо.
Однак, оскільки загрози стають складнішими, а також з'являються автоматизовані інструменти для генерації шкідливих програм, ботнети та віддалене програмування, багаторівнева модель безпеки руйнується. Це пояснюється тим, що припущення, властиве багаторівневій безпеці – що всі засоби захисту та контролю ідеально узгоджені для виявлення всіх загроз, і немає сліпих зон – виявляється хибним. Існують сліпі зони, які жоден із засобів контролю не має можливості побачити. В результаті зловмисники використовують ці сліпі зони на свою користь, що ускладнює виявлення цих шкідливих дій.
З нашого досвіду боротьби з багатовекторною загрозою зрозуміло, що всі засоби контролю, задіяні в багатовекторній загрозі, мають доступ лише до своїх «шухляд» і нічого, що перевищує їх. Пам’ятайте, що це задумано за принципом і так було розроблено поточне рішення.
Крім того, вся базова структура окремих інфраструктур, сховищ даних та механізмів реагування означає, що безпосереднє керування контролем є проблемою другого порядку (n**2 – n). Однак наявність шару поверх усього, що працює, є проблемою першого порядку (2n), яку потрібно вирішити.
Варіанти усунення сліпих зон такі:
- Нехай кожен контролює прикриття для свого сусіда, в якому він не зацікавлений.
- Найняти більше аналітиків, щоб вручну розширити видимість за межі обмеженого простору
- Отримайте інструмент, який може забезпечити видимість елементів керування та їхніх даних у всіх ізоляційних системах, а також виявляти ці багатовекторні загрози за допомогою автоматизованого збору даних, кореляції, виявлення та реагування.
Якщо ви обрали варіант №3, то ви маєте рацію!
Незалежно від назви, рішення в №3 – це конверт, який охоплює всі елементи керування для виявлення, співвіднесення, координації та забезпечення дій реагування на загрози в усіх ізоляційних системах.
І це найефективніший спосіб оптимізації багаторівневих систем безпеки з кількома елементами керування.
Its name is Open XDR.
Open XDR – це сполучна тканина між засобами контролю безпеки, розроблена для того, щоб дозволити командам безпеки розбиратися у величезних обсягах даних, що генеруються їхніми засобами контролю безпеки. Причина, чому він називається «Відкритий», не є тривіальною; це визначальна характеристика рішення. Open XDRs може отримувати дані з будь-якого контролю безпеки, включаючи будь-які EDR розгорнула організація. Потім, використання спеціально розроблених можливостей виявлення може викорінити ті багатовекторні загрози, які можуть призвести до того, що ваша організація потрапить на першу шпальту газети (або новинного веб-сайту), якщо їх не виявити.
Хоча й немає чарівної палички в кіберзахисті, Open XDR – це перспективний новий підхід до безпеки, який мінімізує сліпі зони та робить команду безпеки більш ефективною.
