现在是网络安全技术跟上对手的时候了。 既然我们已经看到如此多成功的多阶段攻击，我们需要重新评估我们从环境中的所有安全工具中看到的信号的关联方式。 相关性很有帮助，但它并不总能描绘出完整的画面。 检测和响应的下一阶段是什么？
要理解这一点，我们需要查看当前帮助安全团队组织日常任务的框架。 当恶意软件的扩散是主要策略时，Lockheed Martin Kill Chain 是一个非常流行的框架。 它非常擅长概述攻击者部署有效载荷所经历的不同阶段。 接下来是 MITRE ATT&CK 框架。 今天许多专家都在利用它，因为它更全面，描述了过去几年攻击者越来越流行的策略和技术。
这些庞大而复杂的框架的问题在于，很难编写手动规则来预测和关联来自日志源的所有信号。 正在收集和保留的日志数量猛增。 这已成为即使是最小的合作伙伴的大数据挑战。 可以做些什么来解决这个挑战？
安全平台和框架的集成是关键。 如今，许多平台都提供指向 MITRE 的链接作为其威胁情报的一部分，但通常是事后提供。 我们需要做的是实时组织和呈现框架中的警报。 攻击者必须在框架的多个阶段取得成功才能实现他们的目标。 我们只需要在其中一个阶段成功阻止它们。 阶段越早，清理的就越少。 您需要一些关键流程来完成此操作。
首先，您需要一个标准化且内容丰富的数据集。我们不再希望分析师在事后才去判断信号的危险程度——解决方案必须在创建记录之前，将所有数据与威胁情报平台进行比对，并利用这些信息丰富数据集。一旦数据采用标准格式，AI/ML 组件就可以关联环境中来自多个威胁载体的信号。警报按照攻击链进行组织，该攻击链直接对应于 MITRE 攻击框架的各个阶段。分析师看到警报后，无需再为如何确定其优先级而犹豫不决。
对于合作伙伴而言，每天组织和管理数百条警报是一项耗时耗力的工作。解决方案必须具备机器学习功能，能够提供额外的关联层，将多阶段攻击视为事件，并为每个事件分配风险评分。这比简单的警报关联更进一步，将显著减少处理时间。 SOC 分析师需要花费大量时间对警报进行分组以进行分析。理想情况下，该解决方案应允许分析师添加或删除事件警报，并调整威胁评分。
Stellar Cyber是首家提供 XDR以攻击链为核心，结合机器学习增强的基于事件的警报管理。现在正是利用机器学习自动化来检测和阻止攻击者的最佳时机。如果您想了解更多信息，请联系 brain@stellarcyber.ai
