Какво представлява откриване и реакция на заплахи (TDR)?

За да се справят с киберзаплахите и други проблеми на сигурността, много организации създават Оперативен център за сигурност (SOC), който представлява централизирана функция или екип, отговарящ за подобряване на състоянието на киберсигурността на организацията и за предотвратяване, откриване и реагиране на заплахи. В допълнение към наблюдението и реагирането на текущи кибератаки, SOC извършва и проактивна работа за идентифициране на нововъзникващи киберзаплахи и организационни уязвимости. Повечето екипи на SOC, които могат да бъдат на място или възложени на външен изпълнител, работят денонощно, седем дни в седмицата.

SOC използва разузнаване за заплахи и технологии, за да разкрие опит за пробив, успешен пробив или пробив в процес на изпълнение. След като бъде идентифицирана киберзаплаха, екипът по сигурността ще използва инструменти за откриване на заплахи и реагиране, за да елиминира или намали проблема.

Откриването и реакцията на заплахи обикновено включват следните етапи:
 

• Откриване. Инструментите за защита, които следят крайните точки, идентичностите, мрежите, приложенията и облаците, помагат за разкриване на рискове и потенциални нарушения. Специалистите по сигурността използват и техники за проактивно търсене на киберзаплахи, за да откриват сложни киберзаплахи, които избягват откриване.
• Разследване. След като рискът бъде идентифициран, SOC използва ИИ и други инструменти, за да потвърди, че киберзаплахата е реална, да определи как се е случила и да оцени кои активи на компанията са засегнати.
• Задържане. За да спрат разпространението на кибератаката, екипите за киберсигурност и автоматизираните инструменти изолират заразените устройства, идентичности и мрежи от останалите активи на организацията.
• Изкореняване. Екипите елиминира първопричината за инцидента със защитата, като целта е лошото действащо лице да бъде напълно изхвърлено от средата. Те също така намаляват уязвимостите, които могат да изложат организацията на риск от подобна кибератака.
• Възстановяване. След като екипите са достатъчно сигурни, че киберзаплахата или уязвимостта са отстранени, те възстановяват онлайн всички изолирани системи.
• Доклад. В зависимост от сериозността на инцидента екипите по сигурността документират и информират лидерите, изпълнителните директори и/или управителния съвет за това какво се е случило и как е било разрешено.
• Ограничаване на риска. За да се предотврати повторно подобно нарушение и да се подобри реакцията в бъдеще, екипите проучват инцидента и определят промените, които трябва да се направят в средата и процесите.

Идентифицирането на киберзаплахите става все по-трудно, тъй като организациите разширяват обхвата на облачните си услуги, свързват повече устройства към интернет и преминават към хибридно работно място. Лошите действащи лица се възползват от тази разширена площ и от фрагментацията на инструментите за сигурност със следните видове тактики:
 

• Фишинг кампании. Един от най-често срещаните начини за проникване в компанията е чрез изпращане на имейли, които подмамват служителите да изтеглят зловреден код или да предоставят своите идентификационни данни.
• Злонамерен софтуер. Много кибератаки разполагат със софтуер, който е предназначен за повреждане на компютри и системи или за събиране на поверителна информация.
• Рансъмуер. Като вид зловреден софтуер рансъмуер хакерите държат критични системи и данни като заложници, като заплашват да освободят лични данни или да откраднат ресурси в облака, за да добиват биткойни, докато не бъде платен откуп. Напоследък все по-често срещан проблем за екипите по сигурността става управляваният от хора рансъмуер, при който група кибератакисти получават достъп до цялата мрежа на организацията.
• Разпределени атаки за отказ на услуга (DDoS). С помощта на поредица от ботове лошите играчи нарушават функционирането на даден уебсайт или услуга, като ги заливат с трафик.
• Вътрешна заплаха. Не всички киберзаплахи идват извън организацията. Съществува и риск доверени лица с достъп до чувствителни данни да навредят на организацията по невнимание или злонамерено.
• Атаки, базирани на идентичност. Повечето нарушения са свързани с компрометирани самоличности, т.е. когато кибератакистите откраднат или отгатнат потребителските идентификационни данни и ги използват, за да получат достъп до системите и данните на организацията.
• Атаки в областта на интернет на нещата (IoT). Устройствата на IoT също са уязвими за кибератаки, особено старите устройства, които не разполагат с вградените контроли за сигурност, каквито имат съвременните устройства.
• Атака срещу верига за доставки. Понякога лошото действащо лице атакува организацията, като манипулира софтуер или хардуер, предоставени от доставчик от трета страна.
• Инжектиране на код. Като се възползват от уязвимости в начина, по който изходният код обработва външни данни, киберпрестъпниците инжектират зловреден код в дадено приложение.

Откриване на заплахи
За да изпреварят нарастващите атаки в областта на киберсигурността, организациите използват моделиране на заплахите, за да определят изискванията за сигурност, да идентифицират уязвимостите и рисковете и да определят приоритетите за отстраняване. Използвайки хипотетични сценарии, SOC се опитва да проникне в съзнанието на киберпрестъпниците, за да може да подобри способността на организацията да предотвратява или смекчава инциденти със сигурността. Рамката MITRE ATT&CK® е полезен модел за разбиране на обичайните техники и тактики за кибератаки.

Многопластовата защита изисква инструменти, които осигуряват непрекъснато наблюдение на средата в реално време и разкриват потенциални проблеми със сигурността. Решенията също така трябва да се припокриват, така че ако един метод за откриване е компрометиран, вторият да открие проблема и да уведоми екипа по сигурността. Решенията за откриване на киберзаплахи използват различни методи за идентифициране на заплахи, включително:
 

• Откриване, базирано на подписи. Много решения за сигурност сканират софтуера и трафика, за да идентифицират уникални сигнатури, които са свързани с определен тип зловреден софтуер.
• Откриване, базирано на поведението. За да помогнат за улавянето на нови и нововъзникващи киберзаплахи, решенията за сигурност също така търсят действия и поведения, които са често срещани при кибератаките.
• Откриване, базирано на аномалии. ИИ и анализите помагат на екипите да разберат типичното поведение на потребителите, устройствата и софтуера, за да могат да идентифицират нещо необичайно, което може да означава киберзаплаха.

Въпреки че софтуерът е от решаващо значение, хората играят също толкова важна роля в откриването на киберзаплахи. В допълнение към сортирането и разследването на сигнали, генерирани от системата, анализаторите използват техники за лов на киберзаплахи, за да търсят проактивно индикации за компрометиране, или търсят тактики, техники и процедури, които предполагат потенциална заплаха. Тези подходи помагат на SOC бързо да разкрива и спира сложни и трудни за откриване атаки