Ngăn chặn các mối đe dọa ngay từ đầu: Giải thích về khả năng ứng phó mới nhất của Stellar Cyber NDR
Trong thời đại hiện đại ngày nay SOCTốc độ là yếu tố then chốt. Các mối đe dọa phát triển nhanh chóng, kẻ tấn công di chuyển thậm chí còn nhanh hơn, và các nhóm bảo mật phải có khả năng phát hiện và phản ứng trước khi thiệt hại xảy ra. Trong khi các phương pháp truyền thống Phát hiện và phản hồi mạng (NDR) tập trung vào việc xác định các hành vi đáng ngờ, Stellar Cyber còn tiến xa hơn nữa bằng cách cung cấp cho khách hàng khả năng không chỉ phát hiện mà còn hành động trực tiếp ở cấp độ mạng, tất cả từ một nền tảng duy nhất mà không cần các mô-đun bổ sung đắt tiền hay giấy phép.
Một khả năng mạnh mẽ cho phép điều này là ĐẶT LẠI TCP, một phương pháp nhẹ nhàng nhưng hiệu quả cao, vừa có thể ngay lập tức ngăn chặn các phiên mạng độc hại đang diễn ra, vừa ngăn chặn các phiên mạng độc hại trong tương lai được thiết lập. Dành cho các tổ chức đang tìm kiếm phản hồi nhanh hơn và giảm thiểu rủi ro mà không phải gánh thêm chi phí lớn, khả năng phản hồi NDR mới nhất của Stellar Cyber thông qua ĐẶT LẠI TCP mang lại tác động đáng kể.
TCP RESET là gì và tại sao nó lại quan trọng?
Trong mạng TCP/IP, TCP Reset là một cờ điều khiển được sử dụng để chấm dứt ngay lập tức một kết nối. Khi một gói tin TCP RESET được đưa vào một phiên đang hoạt động, giao tiếp giữa hai điểm cuối sẽ dừng ngay lập tức mà không cần chờ quá trình ngắt kết nối TCP thông thường. TCP RESET cũng có thể ngăn chặn việc thiết lập các kết nối mới trong quá trình bắt tay 3 chiều ban đầu của một kết nối TCP.
Trong các hoạt động bảo mật, hành động đơn giản này có giá trị to lớn. Nếu kẻ tấn công:
- Lọc dữ liệu
- Chạy phiên lệnh và điều khiển (C2)
- Quét tài sản nội bộ
- Cố gắng khai thác lỗ hổng của một ứng dụng hoặc một thiết bị
- Dịch vụ xác thực kiểu tấn công brute-force
Việc ĐẶT LẠI TCP ngay lập tức cho phép người bảo vệ cắt kết nối trước khi thiệt hại xảy ra hoặc ngăn chặn việc thiết lập các kết nối trong tương lai mà không cần dựa vào các biện pháp kiểm soát mạng phức tạp hoặc nặng nề.
Stellar Cyber triển khai TCP RESET như thế nào
Stellar Cyber's NDR Nền tảng giám sát lưu lượng mạng theo thời gian thực và đối chiếu hành vi với các mô hình phát hiện mối đe dọa. Khi phát hiện phiên độc hại hoặc đáng ngờ, nền tảng có thể phát tín hiệu TCP Reset để tắt luồng vi phạm.
Điều này được thực hiện tại cảm biến, nơi nó có thể theo dõi các kết nối TCP theo thời gian thực mà không cần phần cứng bổ sung hoặc thay đổi cơ sở hạ tầng hiện có. Nó tích hợp liền mạch vào quy trình phát hiện và nâng cao năng lực ứng phó tổng thể của tổ chức.
Tính năng này cho phép Stellar Cyber phá vỡ các kết nối độc hại ngay khi phát hiện ra mối đe dọa.
Sau đây là một số trường hợp mà việc nhanh chóng chấm dứt kết nối TCP có thể giảm thiểu tác hại:
-
Khai thác các nỗ lực với chữ ký có độ tin cậy cao Ví dụ:
Nếu Stellar Cyber phát hiện chữ ký IDS/IPS rõ ràng cho các khai thác giao thức, chẳng hạn như yêu cầu HTTP khớp với khai thác thực thi mã từ xa đã biết, thì việc chấm dứt kết nối sẽ ngăn chặn việc phân phối tải trọng khai thác hoặc phân đoạn thực thi mã. -
Xác nhận lệnh gọi lại điều khiển và kiểm soát (C2) Ví dụ:
Nếu Stellar Cyber phát hiện tín hiệu nhỏ, thường xuyên đến các địa chỉ IP hoặc tên miền độc hại đã biết hoặc đến đích được chứng minh là máy chủ C2, việc ngăn chặn kết nối TCP được thiết lập sẽ làm gián đoạn kênh điều khiển của kẻ tấn công. -
Lọc dữ liệu chủ động qua TCP với sự kết hợp DLP Ví dụ:
Nếu có quá trình truyền tệp mà các quy tắc Phòng chống mất dữ liệu (DLP) khớp với dữ liệu nhạy cảm được gửi đến máy chủ bên ngoài, việc chấm dứt ngay kết nối TCP sẽ hạn chế mất dữ liệu.
Lợi ích chính dành cho khách hàng của Stellar Cyber
1. Được xây dựng bên trong - Không bắt vít vào
Stellar Cyber cung cấp đầy đủ khả năng NDR trực tiếp trong hệ thống. Open XDR nền tảng này loại bỏ nhu cầu sử dụng một sản phẩm NDR độc lập, có chi phí cao khác. SOC Các nhà phân tích có được khả năng phát hiện và phản hồi mạng nâng cao như một phần của quy trình làm việc thống nhất – không cần công cụ bổ sung, không cần giấy phép bổ sung, không phát sinh chi phí tích hợp.
2. Sự gián đoạn thiết lập lại TCP tức thì tạo nên sự khác biệt
Inline TCP Reset cung cấp khả năng ngắt chính xác khi việc kiểm soát và thời gian là yếu tố quan trọng nhất. Các nhóm bảo mật dựa vào tính năng này để củng cố thế trận phòng thủ trong nhiều tình huống quan trọng:
-
Lọc dữ liệu
Phòng ngừa Khi kẻ tấn công cố gắng di chuyển dữ liệu nhạy cảm - trong quá trình dàn dựng ransomware hoặc hoạt động gián điệp có chủ đích - từng giây đều quý giá. TCP Reset sẽ cắt phiên giữa chừng, ngay lập tức dừng quá trình truyền dữ liệu trước khi bất kỳ dữ liệu nào rời khỏi vùng bảo vệ. -
Sự gián đoạn chỉ huy và kiểm soát (C2)
Các mối đe dọa hiện đại phụ thuộc vào các kênh C2 tương tác để thực thi, phân phối tải trọng và di chuyển ngang. Bằng cách cắt đứt kết nối đó, TCP Reset ngăn chặn kẻ tấn công hoạt động theo thời gian thực, tạo lợi thế cho bên phòng thủ. -
Kiểm soát trinh sát nội bộ
Các hoạt động giai đoạn đầu như quét hoặc liệt kê có thể bị gián đoạn một cách lặng lẽ. TCP Reset hạn chế khả năng hiển thị của đối thủ mà không kích hoạt hành vi lẩn tránh, cho phép các nhà phân tích giám sát mà không làm gia tăng mối đe dọa. -
Kiểm soát xác thực Brute-Force
Các nỗ lực đăng nhập với khối lượng lớn cho thấy có hành vi nhồi nhét thông tin đăng nhập hoặc tấn công brute force. Thay vì dựa vào giới hạn tốc độ tĩnh, TCP Reset sẽ tự động chấm dứt các phiên đăng nhập vi phạm theo thời gian thực. -
Phòng thủ khai thác Zero-Day
Ngay cả trước khi bản vá được tung ra, các nỗ lực khai thác đã bộc lộ thông qua các tải trọng bất thường hoặc hành vi quét. TCP Reset cho phép các nhà bảo vệ hành động dựa trên hành vi - chứ không phải chữ ký - bằng cách phá vỡ các phiên độc hại ngay lập tức. -
Giảm thiểu mối đe dọa nội gián
Khi người dùng hợp pháp hoặc tài khoản bị xâm phạm bắt đầu có hành vi đáng ngờ - chuyển tập tin, thăm dò khu vực bị hạn chế hoặc các kiểu truy cập bất thường - thì việc gián đoạn nội tuyến sẽ cung cấp khả năng ngăn chặn nhanh chóng, có mục tiêu mà không ảnh hưởng đến hoạt động bình thường.
3. Phản hồi nhẹ nhàng không ảnh hưởng đến mạng
4. Tăng tốc SOC Phản hồi và hiệu quả cao hơn
- Tự động kích hoạt đặt lại để có cảnh báo có độ tin cậy cao
- Thực hiện thiết lập lại thủ công trong quá trình điều tra do nhà phân tích chỉ đạo
- Kết hợp hành động vào Playbooks và Ứng dụng phản hồi
5. Tăng cường các biện pháp kiểm soát bảo mật hiện có
- Nếu kẻ tấn công trốn tránh EDR, TCP Reset vẫn chấm dứt phiên hoạt động của chúng.
- Nếu tường lửa không thể phát hiện ra các bất thường về hành vi, công nghệ phân tích NDR của Stellar Cyber vẫn có thể dừng kết nối.
6. Một công cụ mạnh mẽ để ngăn chặn sự cố
- Dừng các phiên hoặc ứng dụng đáng ngờ mà không cần cô lập toàn bộ máy chủ
- Hạn chế chuyển động của kẻ tấn công trong khi thu thập bằng chứng
- Ngăn chặn các mối đe dọa trực tiếp mà không làm gián đoạn hoạt động kinh doanh
“TCP Reset chỉ là bước khởi đầu. Tại Stellar Cyber, chúng tôi đang tiếp tục mở rộng khả năng phản hồi trực tiếp, giúp các nhà bảo mật kiểm soát chính xác lưu lượng mạng – mà không làm tăng độ phức tạp. Hãy chờ đợi nhiều tính năng phản hồi tốc độ cao, không cần cài đặt phần mềm hơn nữa, giúp tăng cường sức mạnh cho hệ thống. SOC Các nhóm cần hành động với tốc độ của máy móc, chứ không phải sau khi sự việc đã xảy ra.”
“Chúng tôi đã có thể nhanh chóng triển khai khả năng phản hồi TCP RESET, vì NDR được tích hợp sẵn trong Stellar Cyber. XDR “Nền tảng này,” Airton Coelho, CTO của Future Technologies, cho biết, “và chúng tôi đã quan sát thấy sự gián đoạn ngay lập tức của các nỗ lực đánh cắp dữ liệu đang diễn ra và việc chặn các phiên điều khiển (C2) trong môi trường không có EDR. Điều này cho phép chúng tôi ngăn chặn các mối đe dọa nâng cao và mối đe dọa zero-day trực tiếp ở lớp mạng, mà không cần cài đặt tác nhân trên các điểm cuối, với chi phí thấp hơn nhiều so với việc sử dụng công cụ NDR chuyên dụng. Đây là một tính năng tuyệt vời, vì nó cung cấp giải pháp để nhanh chóng ngăn chặn các mối đe dọa trong các môi trường quan trọng, chẳng hạn như OT/ICS, vốn không có EDR.”
Kết luận: Phản ứng nhanh như máy móc giúp ngăn chặn các mối đe dọa ngay từ đầu
- giảm thiểu rủi ro
- Cải thiện thời gian phản hồi
- Nâng cao SOC hiệu quả
- Kiểm soát sự cố mà không làm gián đoạn hoạt động kinh doanh
