Mis on ohutuvastus ja -kõrvaldus (TDR)?

Küberohtude ja muude turbeprobleemidega tegelemiseks seavad paljud asutused ja ettevõtted sisse turbetoimingute keskuse ehk SOC („Security Operations Center“) – tsentraliseeritud funktsiooni või meeskonna, kes vastutab organisatsiooni küberturbeseisundi tugevdamise ning ohtude ennetamise, tuvastamise ja kõrvaldamise eest. Lisaks käimasolevate küberrünnete jälgimisele ja neile reageerimisele tegeleb SOC ka ennetavalt tärkavate küberohtude ning organisatsiooni nõrkuste tuvastamisega. Enamik SOC meeskondi, kes võivad olla nii kohapealsed kui ka väljast palgatud, tegutsevad ööpäev läbi, seitse päeva nädalas.

SOC kasutab ohuanalüüsi ja tehnoloogiat proovitud, edukate ja pooleliolevate turbemurrete tuvastamiseks. Kui küberoht on tuvastatud, kasutab turbemeeskond probleemi kõrvaldamiseks või leevendamiseks ohutuvastuse ja -kõrvalduse tööriistu.

Ohutuvastus ja -kõrvaldus hõlmab enamasti järgmisi etappe.
 

• Ohutuvastus. Turbetööriistad, mis jälgivad lõpp-punkte, identiteete, võrke, rakendusi ja pilvkeskkondi, aitavad ohte ja võimalikke turbemurdeid päevavalgele tuua. Turbespetsialistid kasutavad tuvastamisest mööda hiilivate keerukamate küberohtude leidmiseks ka küberohujahi tehnikaid.
• Uurimine. Pärast riski tuvastamist kasutab SOC tehisintellekti ja muid tööriistu veendumaks, et küberoht on reaalne. Samuti tehakse kindlaks, kuidas see aset leidis ning milliseid ettevõtte varasid see mõjutab.
• Ohjeldamine. Küberründe leviku peatamiseks isoleerivad küberturbemeeskonnad ja automaatsed tööriistad nakatunud seadmed, identiteedid ja võrgud organisatsiooni ülejäänud varadest.
• Likvideerimine. Meeskonnad eemaldavad turbeintsidendi algpõhjuse; eesmärk on ründaja keskkonnast täielikult välja juurida. Samuti leevendavad nad nõrkusi, mis võivad asutuse või ettevõtte seada uute sarnaste küberrünnete ohtu.
• Taaste. Pärast seda, kui meeskonnad on mõistlikult veendunud, et küberoht või nõrkus on eemaldatud, toovad nad isoleeritud süsteemid uuesti võrku tagasi.
• Aruanne. Olenevalt intsidendi raskusastmest dokumenteerivad turbemeeskonnad ründe ning teavitavad juhtkonda, juhatust ja/või nõukogu sellest, mis juhtus ja kuidas see lahendati.
• Riskileevendus. Sarnase turbemurde kordumise vältimiseks ja edaspidi paremini reageerimiseks uurivad meeskonnad intsidenti ning otsustavad, milliseid muudatusi tuleks keskkonnas ja protsessides teha.

Küberohtude tuvastamine on muutunud aina keerulisemaks, kuna organisatsioonid on laiendanud oma jalajälge pilvkeskkondades, ühendanud rohkem seadmeid Internetiga ja läinud üle hübriidtööle. Ründajad kasutavad ära nii seda laienenud ründepinda kui ka turbetööriistade killustumist. Levinud taktikad on järgmised.
 

• Andmepüügikampaaniad. Üks kõige levinumaid meetodeid, mida ründajad kasutavad ettevõttesse tungimiseks, on selliste meilisõnumite saatmine, mis eksitavad töötajad alla laadima ründekoodi või sisestama oma identimisteabe.
• Ründevara. Paljud küberründajad kasutavad tarkvara, mis on mõeldud arvutite ja süsteemide kahjustamiseks või delikaatse teabe kogumiseks.
• Lunavara. Lunavara on teatud tüüpi ründevara, mida ründajad kasutavad kriitilise tähtsusega süsteemide ja andmete pantvangi võtmiseks, ähvardades privaatseid andmeid avalikustada või pilvressursse Bitcoini kaevandamiseks varastada, kui andmete või ressursside omanik ei maksa lunaraha. Viimasel ajal on inimeste juhitavad lunavararünded, mille korral rühm küberründajaid saab juurdepääsu organisatsiooni kogu võrgule, muutumas turbemeeskondade jaoks aina suuremaks murekohaks.
• Hajusad teenusetõkestusründed (DDoS-ründed). Arvukate robotite abil saavad ründajad halvata veebisaidi või teenuse töö, ujutades selle liiklusega üle.
• Siseoht. Kõik küberohud ei pärine väljastpoolt organisatsiooni. Alati on olemas oht, et usalduse pälvinud inimesed, kellel on juurdepääs tundlikele andmetele, võivad organisatsiooni kas kogemata või teadlikult kahjustada.
• Identiteedipõhised ründed. Enamik turbemurdeid hõlmab ründe ohvriks langenud identiteete: küberründed varastavad või arvavad ära kasutaja identimisteabe ning kasutavad seda organisatsiooni süsteemidele ja andmetele juurdepääsu saamiseks.
• Asjade Interneti (IoT) ründed. IoT seadmed on samuti küberrünnetele haavatavad – eelkõige pärandseadmed, millel pole tänapäevaste seadmetega võrreldavaid sisseehitatud turbemeetmeid.
• Tarneahelate ründed. Vahel proovib mõne organisatsiooni sihikule võtnud ründaja rikkuda tarkvara või riistvara, mille on tarninud kolmandast osapoolest teenusepakkuja.
• Koodisüst. Kasutades ära nõrkusi selles, kuidas lähtekood käitleb välisandmeid, saavad küberkurjategijad rakendusse süstida ründekoodi.

Ohtude tuvastamine
Küberturberünnete hoogustumisega sammu pidamiseks kasutavad asutused ohtude modelleerimist turbenõuete määratlemiseks, nõrkuste ja riskide tuvastamiseks ning kahjutustamismeetmete prioriseerimiseks. Hüpoteetilisi stsenaariumeid kasutades proovivad SOC töötajad viia end mõtteviisilt küberkurjategijatega samale lainepikkusele, et turbeintsidente paremini ennetada või nende mõju leevendada. MITRE ATT&CK®-i raamistik on kasulik mudel, mis aitab mõista levinumaid küberründetehnikaid ja -taktikaid.

Mitmekihiline kaitse nõuab tööriistu, mis võimaldavad keskkonda pidevalt reaalajas jälgida ja võimalikke turbeprobleeme päevavalgele tuua. Samuti peavad lahendused kattuma; kui üks tuvastusmeetod on langenud ründe ohvriks, tuvastab teine probleemi ja teavitab turbemeeskonda. Küberohtude tuvastamise lahendused kasutavad ohtude tuvastamiseks mitmesuguseid meetodeid, mille seas on näiteks järgmised.
 

• Signatuuripõhine tuvastamine. Paljud turbelahendused kontrollivad tarkvara ja liiklust, tuvastamaks kordumatuid signatuure, mis on seostatud teatud kindlat liiki ründevaraga.
• Käitumispõhine tuvastamine. Uute ja tärkavate küberohtude tabamiseks otsivad turbelahendused ka toiminguid ja käitumisi, mis on küberrünnetes tavalised.
• Anomaaliapõhine tuvastamine. Tehisintellekt ja analüüsimine aitavad meeskondadel mõista kasutajate, seadmete ja tarkvara tüüpilist käitumist. Sel viisil on võimalik tuvastada ebatavalist käitumist, mis võib viidata küberohule.

Ehkki tarkvara on äärmiselt oluline, on inimestel küberohtude tuvastamisel sama kriitiline roll. Lisaks süsteemi genereeritud teadete triaažile ja uurimisele kasutavad analüütikud ka küberohujahi tehnikaid, et ennetavalt otsida turvarikkemärke või taktikaid, tehnikaid ja protseduure, mis viitavad potentsiaalsele ohule. Need lähenemised aitavad SOC-l kiiresti tuvastada ja peatada ka keerukad, muidu raskesti tuvastavad ründed.