Mi az a fenyegetésészlelés és -kezelés (TDR)?

A kiberfenyegetések és egyéb biztonsági problémák megoldása érdekében számos szervezet állít be biztonsági üzemeltetési központot (SOC), amely egy központosított funkció vagy csapat, amely a szervezet kiberbiztonsági helyzetének javításáért, valamint a fenyegetések megelőzéséért, észleléséért és elhárításáért felelős. A folyamatos kibertámadások – A kibertámadás egy kísérlet a számítógépes rendszerek, hálózatok vagy digitális eszközök megsértésére, megzavarására vagy megrongálására, gyakran rosszindulatú célok, például adatlopás vagy pénzügyi csalás érdekében.kibertámadásokfigyelése és azok kezelése mellett az SOC proaktívan dolgozik a kibertámadások és a szervezeti biztonsági rések azonosításán is. A legtöbb helyszíni vagy kiszervezett SOC-csapat a hét minden napján, éjjel-nappal működik.

Az SOC intelligens veszélyforrás-felderítéssel és a technológia segítségével deríti fel a megkísérelt, sikeres vagy folyamatban lévő biztonsági incidenseket. A kiberfenyegetés azonosítása után a biztonsági csapat fenyegetésészlelési és -kezelési eszközöket fog használni a probléma megszüntetéséhez vagy mérsékléséhez.

A fenyegetésészlelés és -kezelés általában a következő fázisokat foglalja magában:
 

• Észlelés. A végpontokat, identitásokat, hálózatokat, alkalmazásokat és felhőket figyelő biztonsági eszközök segítenek a kockázatok és a lehetséges biztonsági incidensek feltárásában. A biztonsági szakemberek kiberveszélyforrás-keresési technikákat is alkalmaznak az észlelést elkerülő, kifinomult kiberfenyegetések feltárására.
• Vizsgálat. A kockázat azonosítása után a SOC mesterséges intelligencia és más eszközök segítségével megerősíti, hogy a kiberfenyegetés valós, meghatározza, hogyan történt, és felméri, hogy milyen vállalati eszközök érintettek.
• Elkülönítés. A kibertámadások terjedésének megállítása érdekében a kiberbiztonsági csapatok és az automatizált eszközök elkülönítik a fertőzött eszközöket, identitásokat és hálózatokat a szervezet többi eszközétől.
• Megszüntetés. A csapatok kiküszöbölik a biztonsági incidensek kiváltó okát azzal a céllal, hogy teljesen kizárják a rosszindulatú szereplőt a környezetből. Emellett olyan biztonsági réseket is felszámolnak, amelyek a szervezetet hasonló kibertámadás kockázatának tehetik ki.
• Helyreállítás. Miután a csapatok kellőképpen megbizonyosodtak arról, hogy a kiberfenyegetést vagy biztonsági rést megszüntették, az izolált rendszereket újra online állapotba hozzák.
• Jelentés. Az incidens súlyosságától függően a biztonsági csapatok dokumentációt készítenek, és tájékoztatják a vezetőket, a vezetőséget és/vagy az igazgatótanácsot a történtekről és a megoldás módjáról.
• Kockázatcsökkentés. Annak érdekében, hogy megelőzzék a hasonló biztonsági incidensek megismétlődését, és a jövőben hatékonyabbá tegyék a reagálást, a csapatok tanulmányozzák az incidenst, és meghatározzák a környezetet és a folyamatokat érintő módosításokat.

A kiberfenyegetések azonosítása egyre nehezebbé válik, mivel a szervezetek kiterjesztették felhőalapú jelenlétüket, több eszközt csatlakoztattak az internethez, és áttértek a hibrid munkahelyekre. A rosszindulatú szereplők a következő taktikákkal használják ki ezt a megnövekedett támadási felületet és a biztonsági eszközök megosztottságát:
 

• Adathalász kampányok – Ismerje meg az adathalászatot, hogy mire kell figyelnie egy támadás során, és hogyan védheti meg magát eszközökkel és tippekkel, hogy biztonságban maradjon online.Adathalász kampányok. Az egyik leggyakoribb módja annak, hogy a rosszindulatú szereplők behatoljanak egy vállalatba, olyan e-mailek küldése, amelyekkel ráveszik az alkalmazottakat, hogy rosszindulatú kódot töltsenek le vagy adják meg a hitelesítő adataikat.
• Kártevők – Tudja meg, hogyan azonosíthatja, előzheti meg és reagálhat a kártevőtámadásokra fejlett eszközökkel és proaktív biztonsági stratégiákkal.Kártevők. Sok kiberbűnöző helyez üzembe olyan szoftvert, amelynek célja a számítógépek és rendszerek megrongálása vagy bizalmas információk gyűjtése.
• Zsarolóprogramok – Tudja meg, mi a zsarolóprogram, hogyan működik, és hogyan védheti meg vállalkozását az ilyen típusú kibertámadásoktól.Zsarolóvírusok. A kártevő szoftverek egy típusát, a zsarolóprogramot használó támadók túszul ejtik a kritikus rendszereket és adatokat, azzal fenyegetőzve, hogy személyes adatokat adnak ki, vagy felhőalapú erőforrásokat lopnak el, hogy bitcoint bányásszanak, amíg a váltságdíjat ki nem fizetik. Az utóbbi időben az ember által üzemeltetett zsarolóprogramok, amelyek során kiberbűnözők egy csoportja hozzáférést szerez egy szervezet teljes hálózatához, egyre nagyobb problémát jelentenek a biztonsági csapatok számára.
• Elosztott szolgáltatásmegtagadással járó (DDoS-) támadások. A rosszindulatú szereplők botok sorozatát használva megzavarnak egy webhelyet vagy szolgáltatást azáltal, hogy elárasztják azt forgalommal.
• Belső veszélyforrás. Nem minden kiberfenyegetés származik a szervezeten kívülről. Fennáll annak a kockázata is, hogy a bizalmas adatokhoz hozzáféréssel rendelkező, megbízható személyek véletlenül vagy rosszindulatúan kárt okoznak a szervezetnek.
• Identitásalapú támadások. A legtöbb biztonsági incidens feltört identitásokat foglal magában, vagyis amikor a kiberbűnözők ellopják vagy kitalálják a felhasználói hitelesítő adatokat, és ezek használatával férnek hozzá a szervezet rendszereihez és adataihoz.
• Eszközök internetes hálózatának (IoT) támadása. Az IoT-eszközök ki vannak téve a kibertámadásoknak, különösen az örökölt eszközöknek, amelyek nem rendelkeznek a modern eszközök beépített biztonsági vezérlőkkel.
• Ellátásilánc-támadások. Előfordulhat, hogy egy rosszindulatú szereplő egy külső gyártótól származó szoftver vagy hardver illetéktelen módosításával támadja meg a szervezetet.
• Kódbeszúrás. A kiberbűnözők a forráskód külső adatok kezelésében rejlő biztonsági réseit kihasználva rosszindulatú kódot juttatnak az alkalmazásba.

Veszélyforrások észlelése
A növekvő számú kiberbiztonsági támadás megelőzése érdekében a szervezetek fenyegetésmodellezéssel határozzák meg a biztonsági követelményeket, azonosítják a biztonsági réseket és kockázatokat, valamint rangsorolják a problémák szervizelését. Az SOC hipotetikus forgatókönyvek segítségével próbál belelátni a kiberbűnözők fejébe, hogy javítani tudja a szervezet azon képességét, hogy megelőzze vagy mérsékelje a biztonsági incidensek előfordulását. A MITRE ATT&CK® keretrendszer hasznos modell a gyakori kibertámadási technikák és taktikák megértéséhez.

A többrétegű védelemhez olyan eszközökre van szükség, amelyek folyamatos, valós idejű monitorozást biztosítanak a környezetben, és felszínre hozzák a potenciális biztonsági problémákat. A megoldásoknak át kell fedniük egymást, hogy ha az egyik észlelési módszer sérül, egy másik is észlelje a problémát, és értesítse a biztonsági csapatot. A kiberfenyegetés-észlelési megoldások különböző módszereket használnak a fenyegetések azonosítására, többek között az alábbiakat:
 

• Aláírásalapú észlelés. Számos biztonsági megoldás ellenőrzi a szoftvereket és a forgalmat, hogy azonosítsa az adott típusú kártevőkhöz társított egyedi aláírásokat.
• Viselkedésalapú észlelés. Az új és újonnan felmerülő kibertámadások kiszűrése érdekében a biztonsági megoldások olyan műveleteket és viselkedést is keresnek, amelyek gyakoriak a kibertámadásokban.
• Anomálián alapuló észlelés. Az AI és az elemzések segítenek a csapatoknak megérteni a felhasználók, az eszközök és a szoftverek tipikus viselkedését, hogy azonosítani tudják a kiberfenyegetésre utaló szokatlan jelenségeket.

Bár a szoftver kritikus fontosságú, az emberek ugyanilyen fontos szerepet játszanak a kibertámadások észlelésében. A rendszer által generált riasztások osztályozása és kivizsgálása mellett az elemzők veszélyforrás-keresési technikákat alkalmaznak, hogy proaktívan kutassák a veszélyre utaló jeleket, vagy olyan taktikákat, technikákat és eljárásokat keresnek, amelyek potenciális fenyegetésre utalnak. Ezek a megközelítések segítenek az SOC-nak a kifinomult, nehezen felderíthető támadások gyors feltárásában és leállításában