Co je detekce hrozeb a reakce na ně (TDR)?

Mnoho organizací za účelem řešení kybernetických hrozeb a dalších problémů se zabezpečením zřídilo Security Operations Center (SOC). To je centralizovaná funkce nebo tým mající zodpovědnost za zlepšování kybernetické bezpečnosti organizace a za prevenci a detekování hrozeb a reagování na ně. Kromě monitorování a reakce na probíhající kybernetické útoky tým SOC také proaktivně pracuje na identifikaci vznikajících kybernetických hrozeb a možných ohrožení zabezpečení organizace. Většina týmů SOC, které můžou působit přímo na pracovišti nebo můžou být externí, funguje nepřetržitě sedm dní v týdnu.

SOC používá analýzu hrozeb a technologie k odhalování pokusů o porušení zabezpečení – úspěšných nebo probíhajících. Po zjištění kybernetické hrozby použije tým pro zabezpečení nástroje pro detekci hrozeb a reakce k odstranění nebo zmírnění problému.

Součástí detekce hrozeb a reakce na ně jsou obvykle následující fáze:
 

• Detekce. Nástroje zabezpečení, které monitorují koncové body, identity, sítě, aplikace a cloudy, pomáhají přednášet rizika a potenciální porušení zabezpečení. Odborníci na zabezpečení také používají techniky proaktivního vyhledávání kybernetických hrozeb k odhalování sofistikovaných kybernetických hrozeb, které se vyhnuly detekci.
• Prověřování. Po zjištění rizika používá SOC AI a další nástroje k potvrzení, jestli se jedná o skutečnou kybernetickou hrozbu, určení způsobu, jakým k ní došlo, a posouzení ovlivněných prostředků společnosti.
• Potlačení. Aby zabránily šíření takového kybernetického útoku, týmy a automatizované nástroje kybernetické bezpečnosti izolují infikovaná zařízení, identity a sítě od zbytku prostředků organizace.
• Odstranění. Týmy eliminují hlavní příčinu bezpečnostního incidentu s cílem zcela odstranit škodlivého aktéra z prostředí. Zmírňují také možná místa ohrožení zabezpečení, která můžou organizaci vystavit riziku podobného kybernetického útoku.
• Obnovení. Jakmile mají týmy přiměřenou jistotu, že kybernetickou hrozbu nebo ohrožení zabezpečení odstranily, zapojí všechny izolované systémy zpět do režimu online.
• Reportování. V závislosti na závažnosti incidentu týmy zabezpečení incident zdokumentují a informují vedoucí, management a případně představenstvo o tom, co se stalo a jak byl incident vyřešen.
• Omezení rizik. Aby se předešlo opakování podobného porušení zabezpečení a zlepšila se reakce v budoucnosti, týmy incident prostudují a identifikují změny, které je potřeba udělat v prostředí a procesech.

Identifikování kybernetických hrozeb je čím dál obtížnější s tím, jak organizace rozšiřují využívání cloudu, připojují k internetu více zařízení a přecházejí na hybridní pracoviště. Škodliví aktéři využívají tyto rozšířené možnosti útoků a fragmentaci v nástrojích zabezpečení s následujícími typy taktik:
 

• Phishingové kampaně – Seznamte se s útoky phishing, na co se při útoku zaměřit a jak se chránit pomocí nástrojů a tipů, abyste byli v online prostředí v bezpečí.Phishingové kampaně. Jedním z nejběžnějších způsobů, jak škodliví aktéři infiltrují společnost, je odeslání e-mailů, které oklamou zaměstnance, aby stáhli škodlivý kód nebo poskytli své přihlašovací údaje.
• Malware. Mnoho kybernetických útočníků nasazuje software, který je navržen tak, aby poškozoval počítače a systémy nebo shromažďoval citlivé informace.
• Ransomware. Typ malwaru, kdy útočníci drží důležité systémy a data jako rukojmí a vyhrožují zveřejněním soukromých dat nebo krádeží cloudových prostředků k těžbě bitcoinů, dokud nebude zaplaceno výkupné. V poslední době se stále větším problémem pro týmy zabezpečení stává ransomware řízený lidmi, kdy skupina kyberútočníků získá přístup do celé sítě organizace.
• Distribuované útoky s cílem odepření služeb (DDoS). Pomocí řady robotů naruší škodliví aktéři web nebo službu tím, že je zahlcují provozem.
• Insiderská hrozba. Ne všechny kybernetické hrozby pocházejí zvenčí mimo organizaci. Existuje také riziko, že organizaci můžou neúmyslně nebo ze zlého úmyslu poškodit důvěryhodné osoby s přístupem k citlivým údajům.
• Útoky založené na identitě. Většina porušení zabezpečení zahrnuje ohrožené identity, což znamená, že kybernetičtí útočníci ukradnou nebo uhodnou přihlašovací údaje uživatelů a použijí je k získání přístupu k systémům a datům organizace.
• Útoky na Internet věcí (IoT). Zařízení IoT jsou také zranitelná vůči kybernetickým útokům, zejména starší zařízení, která nemají integrované kontroly zabezpečení jako moderní zařízení.
• Útoky na dodavatelské řetězce. Někdy škodlivý aktér cílí na organizaci tím, že manipuluje se softwarem nebo hardwarem dodávaným třetí stranou.
• Injektáž kódu. Zneužitím míst možného ohrožení zabezpečení v tom, jakým způsobem zdrojový kód zpracovává externí data, můžou kyberzločinci do aplikace vložit škodlivý kód.

Detekce hrozeb
Aby organizace získaly náskok před rostoucím počtem kybernetických útoků, využívají modelování hrozeb k definování požadavků na zabezpečení, identifikaci ohrožení zabezpečení a rizik a stanovení priorit nápravy. S využitím hypotetických scénářů se týmy SOC snaží proniknout do myšlení kyberzločinců, aby mohly zlepšit schopnost organizace předcházet bezpečnostním incidentům nebo je zmírňovat. Architektura MITRE ATT&CK® je užitečný model pro pochopení běžných technik a taktik kybernetických útoků.

Vícevrstvá obrana vyžaduje nástroje, které poskytují nepřetržité monitorování prostředí v reálném čase a odhalují potenciální problémy se zabezpečením. Řešení se také musí překrývat, takže pokud dojde k ohrožení jedné metody detekce, druhá metoda problém detekuje a upozorní tým zabezpečení. Řešení pro detekci kybernetických hrozeb používají k identifikaci hrozeb různé metody, mezi které patří:
 

• Detekce založená na signaturách. Mnoho řešení zabezpečení kontroluje software a provoz a identifikuje jedinečné signatury, které jsou přidružené ke konkrétnímu typu malwaru.
• Detekce založená na chování. Aby bylo možné zachytávat nové a vznikající kybernetické hrozby, hledají řešení zabezpečení také akce a chování, které jsou při kybernetických útocích běžné.
• Detekce založená na anomáliích. AI a analýza pomáhají týmům porozumět typickému chování uživatelů, zařízení a softwaru, aby mohly identifikovat něco neobvyklého, co může ukazovat na kybernetickou hrozbu.

Přestože software má zásadní význam, lidé hrají při detekci kybernetických hrozeb stejně důležitou roli. Kromě třídění a zkoumání upozornění generovaných systémem používají analytici techniky vyhledávání kybernetických hrozeb k proaktivnímu vyhledávání indikace ohrožení, nebo hledají taktiky, techniky a postupy, které naznačují potenciální hrozbu. Tyto přístupy pomáhají týmům SOC rychle odhalit a zastavit sofistikované útoky, které se obtížně zjišťují.