Несмотря на обилие телеметрических данных, имеющихся в распоряжении аналитиков, многие группы по обеспечению безопасности сталкиваются с трудностями при поиске ответов на несколько базовых вопросов в ходе расследования инцидентов: что произошло? Какие у нас есть доказательства? Как мы можем быть уверены, что видим всю картину в контексте?
Чтобы ответить на эти вопросы, группам необходимо выйти за рамки оповещений — наиболее распространённой основы для первоначальной сортировки. Однако расследования (и их результаты) требуют обоснованных доказательств, а не предположений, которые, как правило, предлагают оповещения.
По мере ускорения обнаружения уязвимостей (так называемая «эра Mythos») полезность оповещений снижается. Большинство организаций не в состоянии расследовать такой объем новых находок с помощью существующих рабочих процессов. Даже при повышенной автоматизации группам SecOps требуются подтвержденные доказательства активных атак и уязвимостей, а не просто дополнительные необработанные телеметрические данные.
Поскольку ИИ ускоряет как атаки, так и защиту, командам по безопасности необходимо заложить основу, которая позволит им проверять обнаруженные факты, понимать поведение злоумышленников и блокировать подозрительный трафик до того, как он приведет к нарушению безопасности.
В книге Ричарда Бейтлича «NDR Essentials: A Practical Guide to Network Detection and Response» (Основы NDR: практическое руководство по сетевому обнаружению и реагированию), изданной в партнерстве с Corelight, рассматривается, как сетевое обнаружение и реагирование (NDR) помогает специалистам ориентироваться в современных реалиях сетевой безопасности. Это бесплатное руководство представляет собой введение в NDR и практический ресурс для команд, стремящихся усилить поиск угроз и расследования с помощью ИИ.
Многие программы безопасности сосредоточены на предотвращении. Однако реальность такова, что организации не могут просто сместить акцент влево или вправо. Внимание и контроль должны охватывать всю последовательность атаки.
Если бы превентивные меры были простым решением, украденные учетные данные не сработали бы, как только злоумышленник закрепился бы в системе. Вредоносное ПО было бы остановлено на периметре. А данные никогда бы не покидали среду хранения.
Тем не менее такие события происходят постоянно.
По этим причинам Бейтлич утверждает, что устойчивые программы безопасности должны сосредоточиться на пресечении: выявлении и срыве вредоносной деятельности до того, как злоумышленники достигнут своих целей.
Настоящий успех защиты зависит от способности организации изолировать и сдерживать злоумышленников после первоначального проникновения, но до полномасштабного взлома. По его мнению, пресечение переносит акцент с базовых списков блокировки на активное пресечение угроз внутри периметра. Оно позволяет снижать уязвимости и сдерживать угрозы, помогая остановить атаку до того, как противник достигнет своей основной цели.
В руководстве объясняется, как NDR поддерживает пресечение угроз, обеспечивая видимость трафика, проходящего по всей сети. Стоит подробно рассмотреть четыре основных источника сетевых доказательств:
Современная система NDR не просто выступает в роли пассивного барьера, а способствует активному вмешательству. Она предоставляет специалистам по безопасности ситуационную осведомленность и контекст, необходимые для предотвращения распространения атаки и сохранения высококачественных сетевых доказательств.
Поиск угроз начинается с гипотезы
Одна из самых убедительных глав книги посвящена тому, как организации могут совершенствовать поиск угроз, чтобы противостоять современным методам злоумышленников, способным обходить традиционные средства обнаружения.
По мнению Бейтлича, поиск угроз не должен основываться на реагировании на сигналы тревоги. Напротив, он должен начинаться с гипотезы о методах злоумышленников. После формирования гипотезы аналитик запускает запросы к сетевым журналам и сеансам, чтобы либо подтвердить, либо опровергнуть эту теорию.
Сетевые данные остаются центральным элементом расследования. К сетевым методам, поддерживающим проактивный поиск угроз, относятся:
Отслеживание крупных исходящих передач данных
В центре внимания при поиске угроз должны быть конкретные, наблюдаемые аномалии, а не общие предупреждения о безопасности — именно это можно получить, наблюдая за сетевыми транзакциями.
ИИ в обнаружении и реагировании на сетевые угрозы
Искусственный интеллект преобразил сетевую защиту так же, как он преобразил атаки на сеть. В главе 5 руководства Бейтлич описывает, как аналитики SOC могут использовать ИИ во благо — повышая эффективность, снижая когнитивную нагрузку и улучшая сбор доказательств.
Он подробно рассматривает три функциональные области:
Оптимизированные механизмы обработки оповещений: где и как собираются данные о трафике — на периферии и/или в центре — и как это влияет на анализ.
Агентная сортировка для ускорения циклов реагирования на инциденты: как следует использовать автономные агенты для выполнения сценариев действий, но, что не менее важно, для повышения уровня способностей человеческих аналитиков к принятию стратегических решений.
Взаимодействие инструментов: хотя сеть часто называют «объективной реальностью», современное расследование атак требует целостного взгляда на сеть, конечные устройства, облачные платформы, приложения и т. д. Оркестрация на основе ИИ координирует изолированные инструменты и их результаты.
Для достижения максимальной эффективности специалисты могут интегрировать эти модели ИИ в повседневные рабочие процессы с учетом своих конкретных сценариев использования (подробно описанных в книге).
Хотя ИИ является неизбежным элементом современной цифровой экосистемы, проверка человеком по-прежнему остается критически важным контрольным пунктом. По крайней мере в ближайшей перспективе автоматизация должна подлежать регулированию, чтобы предотвратить «галлюцинации» или непреднамеренные последствия. При правильном использовании ИИ приносит пользу как расследованиям, так и аналитикам, которые их ведут.
Успешные оперативные команды постоянно стремятся к совершенствованию процессов. Операторы должны развивать методы расследования, чтобы соответствовать современным темпам и уровню сложности, и сеть служит для этого основой. В книге предлагается множество оперативных рекомендаций, и две из них выделяются своей эффективностью:
Начальные базовые значения для оповещений: слишком большое количество заранее включенных правил приводит к «оповещательной усталости». В свою очередь, «оповещательная усталость» притупляет бдительность и/или заваливает работой команды безопасности. Поэтому Бейтлич рекомендует организациям применять стратегию «нулевого базового значения». Подробнее об этом методе можно прочитать в электронной книге.
Определения оповещений: операторы должны рассматривать оповещение как начало расследования, а не как окончательное определение события. Такой подход способствует тщательному сбору доказательств в поддержку или опровержение гипотезы, гарантируя, что по итогам расследования аналитик сможет однозначно ответить на вопрос: что произошло? Какие у нас есть доказательства? Как мы можем быть уверены, что видим всю картину в контексте?
Почему блокировка сетевых атак важна именно сейчас
Злоумышленники продолжают совершенствовать свои тактики, но сетевые доказательства остаются окончательным источником достоверной информации для защиты. Специалисты, желающие построить современную и отказоустойчивую архитектуру безопасности, найдут в этой электронной книге практические стратегии.
Ценность руководства «NDR Essentials» заключается не просто в том, что оно объясняет суть NDR. Оно предоставляет практическую основу для осмысления современных расследований.
Чтобы подробнее изучить эти концепции, скачайте бесплатный PDF-файл со страницы «NDR Essentials». Для организаций, стремящихся внедрить эти современные стратегии защиты, дополнительная информация доступна на сайте corelight.com/elitedefense.
Corelight: обнаружение и реагирование в сети
Corelight предоставляет решение для обнаружения и реагирования в сети (NDR), которое ускоряет расследование угроз благодаря защите на основе искусственного интеллекта. Используя всестороннюю видимость сети, поведенческую аналитику и обнаружение на основе доказательств, платформа Open NDR от Corelight сочетает глубокую сетевую телеметрию с контекстом, позволяющим принимать конкретные меры. Аналитики могут быстрее выявлять угрозы, с уверенностью подтверждать результаты и четко определять необходимые действия.
Узнайте больше на сайте corelight.com/elitedefense.