Що таке виявлення загроз і реагування на них?

Для боротьби з кіберзагрозами та іншими проблемами безпеки багато організацій створюють центр безпеки (security operations center, SOC) – централізовану функцію або команду, яка відповідає за покращення стану кібербезпеки в організації та запобігання, виявлення та реагування на загрози. На додачу до моніторингу та реагування на поточні кібератаки, SOC також виконує проактивну роботу з виявлення нових кіберзагроз і вразливостей організації. Більшість команд SOC, які можуть входити до складу організації або складатися із залучених зі сторони виконавців, працюють цілодобово та без вихідних.

Для виявлення спроб порушень, успішних або поточних порушень SOC використовує аналіз кіберзагроз та інші технології. Після виявлення кіберзагрози команда з безпеки використовує інструменти виявлення загроз і реагування, щоб усунути проблему або зменшити її.

Виявлення загроз і реагування на них зазвичай включають такі етапи:
 

• Виявлення. Інструменти захисту, які контролюють кінцеві точки, ідентичності, мережі, програми та хмари, допомагають виявити ризики та потенційні порушення. Фахівці з безпеки також використовують методи відстеження кіберзагроз, намагаючись помітити складні кіберзагрози, що уникають виявлення.
• Розслідування. Коли ризик виявлено, SOC за допомогою штучного інтелекту та інших інструментів з’ясовує, чи кіберзагроза реальна, визначає, як вона виникла, і оцінює, на які ресурси компанії вона вплинула.
• Локалізація. Щоб зупинити поширення кібератаки, команди кібербезпеки та автоматизовані інструменти ізолюють інфіковані пристрої, ідентичності та мережі від решти ресурсів організації.
• Ліквідація. Команди усувають першопричину інциденту з безпекою, маючи на меті повністю вигнати зловмисника з середовища. Вони також зменшують уразливості, які можуть піддати організацію ризику подібної кібератаки.
• Відновлення. Після того як команди переконаються, що кіберзагрозу або вразливість видалено, вони повертають усі ізольовані системи до мережі.
• Звіт Залежно від серйозності інциденту команди безпеки документують і сповіщають керівництво про те, що сталося та яких заходів вжито.
• Зниження ризиків. Щоб запобігти виникненню подібних порушень і поліпшити майбутнє реагування, команди вивчають інцидент і визначають, які зміни потрібно внести до середовища та процесів.

Виявляти кіберзагрози стає дедалі важче, оскільки організації розширюють свої хмарні ресурси, підключають дедалі більше пристроїв до Інтернету та переходять на гібридні робочі місця. Зловмисники користуються цією розширеною поверхнею атаки та розрізненістю інструментів захисту, застосовуючи такі типи тактики:
 

• Фішингові кампанії. Один із найпоширеніших способів проникнення зловмисників у компанію, – це розсилання електронних листів, у яких співробітників обманним чином примушують завантажувати шкідливий код або надавати свої облікові дані.
• Зловмисні програми. У багатьох кібератаках розгортається програмне забезпечення, призначене для пошкодження комп’ютерів і систем або збирання конфіденційної інформації.
• Зловмисні програми з вимогою викупу. Зловмисні програми з вимогою викупу, різновид шкідливого програмного забезпечення, беруть у заручники критично важливі системи та дані, погрожуючи розкрити приватні дані, або крадуть хмарні ресурси для видобування біткойнів, доки не буде сплачено викуп. Останнім часом дедалі більшу проблему для команд із безпеки становлять зловмисні програми з вимогою викупу, керовані людиною, коли група кіберзловмисників отримує доступ до всієї мережі організації.
• Розподілені атаки типу "відмова в обслуговуванні" (DDoS). За допомогою низки ботів зловмисники порушують роботу веб-сайту або служби, переповнюючи їх трафіком.
• Внутрішня загроза. Не всі кіберзагрози походять із-поза меж організації. Існує також ризик того, що довірені особи з доступом до делікатних даних можуть ненавмисно чи зловмисно завдати шкоди організації.
• Атаки на основі ідентичності. У більшості порушень задіяні зламані ідентичності, тобто зловмисники викрадають або вгадують облікові дані користувачів і використовують їх, щоб отримати доступ до систем і даних організації.
• Атаки на Інтернет речей (IoT). Пристрої IoT також вразливі до кібератак, особливо застарілі пристрої, які не мають вбудованих засобів керування безпекою, як сучасні пристрої.
• Атаки на ланцюжки постачання. Іноді зловмисники атакують організацію, втручаючись у програмне забезпечення або устаткування, яке надає сторонній постачальник.
• Впровадження коду. Використовуючи вразливості в обробці зовнішніх даних вихідним кодом, кіберзлочинці впроваджують у програму зловмисний код.

Виявлення загроз
Щоб випередити зростання атак на кібербезпеку, організації використовують моделювання загроз для визначення вимог до безпеки, виявлення вразливостей і ризиків, а також визначення пріоритетів у виправленні. Використовуючи гіпотетичні сценарії, SOC намагається вирахувати імовірні дії кіберзлочинців, щоб покращити здатність організації відвертати інциденти з безпекою або пом’якшувати їх. Платформа MITRE ATT&CK® – це корисна модель для розуміння поширених методів і тактики кібератак.

Багатошаровий захист потребує інструментів, які забезпечують безперервний моніторинг середовища в реальному часі та виявляють потенційні проблеми безпеки. Рішення також мають дублювати одне одного, щоб у разі невдачі одного методу виявлення інший виявив проблему та повідомив команду з безпеки. Рішення з виявлення кіберзагроз використовують різноманітні методи ідентифікування загроз, зокрема:
 

• Виявлення на основі сигнатури. Багато рішень для захисту сканують програмне забезпечення та трафік для виявлення унікальних сигнатур, пов’язаних із певними типами зловмисних програм.
• Виявлення на основі поведінки. Для зручнішого виявлення нових кіберзагроз рішення для захисту також шукають дії та закономірності поведінки, які часто трапляються під час кібератак.
• Виявлення на основі аномалій. ШІ та аналітика допомагають командам зрозуміти типову поведінку користувачів, пристроїв і програмного забезпечення, щоб бути спроможними виявити щось незвичайне, що може вказувати на кіберзагрозу.

Хоча програмне забезпечення критично важливе, люди відіграють не менш важливу роль у виявленні кіберзагроз. На додачу до сортування й вивчення створюваних системою оповіщень аналітики використовують методи відстеження кіберзагроз, щоб заздалегідь знаходити ознаки зламу, або шукають тактику, методи та процедури, які вказують на потенційну загрозу. Ці підходи допомагають SOC швидко викривати та зупиняти складні атаки, які важко виявити