Šta je Otkrivanje pretnji i reagovanje (Threat Detection and Response – TDR)?

Za rešavanje problema u vezi sa kibernetičkim pretnjama i drugim bezbednosnim incidentima, mnoge organizacije formiraju centar za bezbednosne operacije (SOC), koji predstavlja centralizovanu funkciju ili namenski tim odgovoran za unapređenje stanja kibernetičke bezbednosti, kao i za sprečavanje, otkrivanje i reagovanje na pretnje. Pored nadgledanja i odgovaranja na tekućekibernetičke napade, SOC takođe proaktivno radi na identifikovanju novih kibernetičkih pretnji i ranjivosti organizacije. Većina SOC timova, bilo da su interni ili eksterno angažovani, radi neprekidno, 24 časa dnevno, sedam dana u nedelji.

SOC tim koristi informacije o pretnjama i tehnologiju kako bi otkrio pokušaj proboja, uspešan proboj ili proboj koji je još u toku. Kada se identifikuje kibernetička pretnja, bezbednosni tim će koristiti alatke za otkrivanje pretnji i odgovore da bi uklonio ili ublažio problem.

Otkrivanje pretnji i reagovanje na njih obično uključuje sledeće faze:
 

• Otkrivanje. Bezbednosne alatke koje nadgledaju krajnje tačke, identitete, mreže, aplikacije i oblake pomažu u otkrivanju rizika i potencijalnih proboja. Stručnjaci za bezbednost takođe koristetehnike potrage za kibernetičkim pretnjama da otkriju sofisticirane kibernetičke pretnje koje izbegavaju otkrivanje.
• Ispitivanje. Kada se identifikuje rizik, SOC koristi AI i druge alatke da bi potvrdio da je kibernetička pretnja stvarna, utvrdio kako se to desilo i procenio na koje resurse preduzeća to utiče.
• Zadržavanje. Da biste zaustavili širenje kibernetičkih grupa, timovi za kibernetičku bezbednost i automatizovane alatke izoluju zaražene uređaje, identitete i mreže od ostatka resursa organizacije.
• Iskorenjivanje. Teams eliminiše osnovni uzrok bezbednosnog incidenta sa ciljem potpunog izbacivanja lošeg aktera iz okruženja. One takođe ublažavaju ranjivosti koje mogu da izlože organizaciju riziku od sličnog kibernetičkog napada.
• Oporavak. Kada timovi opravdano procene da je kibernetička pretnja ili ranjivost otklonjena, vraćaju u rad sve izolovane sisteme.
• Izveštaj. U zavisnosti od težine incidenta, bezbednosni timovi izrađuju dokumentaciju i obaveštavaju rukovodioce, direktore ili upravni odbor o detaljima događaja i načinu rešavanja.
• Ublaživanje rizika. Kako bi sprečili ponavljanje sličnog bezbednosnog proboja i poboljšali reagovanje u budućnosti, timovi proučavaju incident i utvrđuju koje je izmene potrebno uvesti u okruženje i procese.

Otkrivanje kibernetičkih pretnji postaje sve složenije kako organizacije proširuju svoje prisustvo u oblaku, povezuju sve veći broj uređaja sa internetom i prelaze na hibridni način rada. Zlonamerni akteri koriste prednosti ove povećane površine i fragmentacije bezbednosnih alatki, i to sledećim tipovima taktika:
 

• Phishing kampanje – Saznajte više o tome šta je phishing, šta u napadu treba da tražite i kako da se zaštitite uz alatke i savete za bezbedno korišćenje interneta.Phishing kampanje. Jedan od najčešćih načina koje zlonamerni akteri koriste za prodiranje u preduzeće je slanje e-poruka kojima navode zaposlene da preuzmu zlonamerni kôd ili otkriju svoje akreditive.
• Malver – Saznajte kako da otkrijete, sprečite i reagujete na napade malverom uz pomoć naprednih alatki i proaktivnih bezbednosnih strategija.Malver. Veliki broj kibernetičkih napadača primenjuje softver dizajniran tako da dovede do oštećenja računara i sistema ili prikuplja osetljive informacije.
• Ransomver – Saznajte šta je ransomver, kako funkcioniše i kako da zaštitite preduzeće od ove vrste kibernetičkog napada.Ransomver. Tip malvera, napadači ransomver-a drže kritične sisteme i podatke kao taoce, preteći da će objaviti privatne podatke ili ukrasti resurse u oblaku za rudarenje bitkoina dok se ne plati otkup. Poslednjih godina sve veći problem za bezbednosne timove predstavljaju ransomver napadi kojima aktivno upravljaju napadači, pri čemu grupa kibernetičkih napadača stiče pristup celokupnoj mreži organizacije.
• Distribuirani napadi radi onemogućavanja usluga (DDoS). Zlonamerni akteri koriste mrežu botova kako bi ometali rad veb sajta ili usluge preplavljivanjem saobraćajem.
• Insajderska pretnja. Ne dolaze svi kibernetički napadi izvan organizacije. Postoji i rizik da pouzdane osobe koje imaju pristup osetljivim podacima mogu nenamerno ili zlonamerno da naškode organizaciji.
• Napadi zasnovani na identitetu. Većina proboja uključuje ugrožene identitete, što je kada kibernetički napadači kradu ili pogađaju korisničke akreditive i koriste ih za dobijanje pristupa sistemima i podacima organizacije.
• Napadi Interneta stvari (IoT). IoT uređaji su takođe podložni kibernetičkim napadima,posebno zastareli uređaji koji nemaju ugrađene bezbednosne kontrole kao moderni uređaji.
• Napadi na lanac snabdevanja. Ponekad loš akter cilja organizaciju neovlašćenim izmenama softvera ili hardvera koji je isporučio nezavisni proizvođač.
• Ubacivanje koda. Iskorišćavanjem ranjivosti u načinu na koji izvorni kôd rukuje spoljnim podacima, kibernetički kriminalci ubacuju zlonamerni kôd u aplikaciju.

Otkrivanje pretnji
Da bi stekle prednost od rastućih napada kibernetičke bezbednosti, organizacije koriste modeliranje pretnji da definišu bezbednosne zahteve, identifikuju ranjivosti i rizike i daju prioritet oporavku. Koristeći hipotetičke scenarije, SOC pokušava da pristupi umu kibernetičkih kriminalca kako bi mogli da poboljšaju mogućnost organizacije da spreči ili ublaži bezbednosne incidente. MITRE ATT&CK® okvir je koristan model za razumevanje uobičajenih tehnika i taktika kibernetičkih napada.

Višeslojna odbrana zahteva alatke koje obezbeđuju neprekidno nadgledanje okruženja u realnom vremenu i potencijalne bezbednosne probleme. Rešenja takođe moraju da se preklapaju, tako da ako je jedan metod otkrivanja ugrožen, drugi će otkriti problem i obavestiti bezbednosni tim. Rešenja za otkrivanje kibernetičkih pretnji koriste različite metode za identifikovanje pretnji, uključujući:
 

• otkrivanje zasnovano na potpisu. Mnoga bezbednosna rešenja skeniraju softver i saobraćaj kako bi identifikovala jedinstvene potpise koji su povezani sa određenim tipom malvera.
• otkrivanje zasnovano na ponašanju. Kako bi otkrila nove i rastuće kibernetičke pretnje, bezbednosna rešenja prate aktivnosti i obrasce ponašanja koji su karakteristični za kibernetičke napade.
• Otkrivanje zasnovano na anomalijama. Veštačka inteligencija i analitika pomažu timovima da razumeju uobičajene obrasce ponašanja korisnika, uređaja i softvera kako bi mogli da uoče neuobičajene aktivnosti koje mogu ukazivati na kibernetičku pretnju.

Iako je softver od ključnog značaja, ljudi imaju podjednako važnu ulogu u otkrivanju kibernetičkih pretnji. Pored određivanja i istraživanja sistemski generisanih upozorenja, analitičari koriste tehnike potraga za kibernetičkim pretnjama da bi proaktivno pretraživaliindikacije ugrožavanjaili traže taktike, tehnike i procedure koje predlažu potencijalnu pretnju. Ovakvi pristupi pomažu SOC timu u brzom otkrivanju i zaustavljanju sofisticiranih napada koje je teško otkriti