Hvad er registrering af og respons på trusler (TDR)?

For at løse cybertrusler og andre sikkerhedsproblemer opretter mange organisationer et SOC (Security Operations Center), som er en centraliseret funktion eller et team, der er ansvarlig for at forbedre en organisations cybersikkerhedstilstand og forhindre, registrere og reagere på trusler. Ud over at overvåge og reagere på igangværende cyberangreb arbejder en SOC også proaktivt på at identificere kommende cybertrusler og sikkerhedsrisici i organisationen. De fleste SOC-teams, der kan være på stedet eller udliciteret, arbejder døgnet rundt, syv dage om ugen.

SOC bruger trusselsintelligens og teknologi til at afdække et forsøgt, vellykket eller igangværende brud. Når der er identificeret en cybertrusler, bruger sikkerhedsteamet værktøjet til registrering af og respons på trusler til at fjerne eller afhjælpe problemet.

Registrering af og respons på trusler omfatter typisk følgende faser:
 

• Registrering. Sikkerhedsværktøjer, der overvåger slutpunkter, identiteter, netværk, apps og cloudmiljøer, hjælper med at løse risici og potentielle brud. Sikkerhedsmedarbejdere bruger også teknikker til jagt på cybertrusler til at afdække avancerede cybertrusler, der undgår registrering.
• Undersøgelse. Når en risiko er identificeret, bruger SOC AI og andre værktøjer til at bekræfte, at cybertruslen er reel, fastslå, hvordan det skete, og vurdere, hvilke virksomhedsaktiver der påvirkes.
• Indeslutning. For at stoppe spredningen af en cyberangreb isolerer cybersikkerhedsteams og automatiserede værktøjer inficerede enheder, identiteter og netværk fra resten af organisationens aktiver.
• Udryddelse. Teams fjerner rodårsagen til en sikkerhedshændelse med det formål at fjerne den skadelige aktør helt fra miljøet. De afhjælper også sikkerhedsrisici, der kan bringe organisationen i fare for en lignende cyberangreb.
• Genoprettelse. Når teams er rimeligt sikre på, at en cybertrussel eller sårbarhed er blevet fjernet, bringer de alle isolerede systemer online igen.
• Rapport. Afhængigt af hændelsens alvorsgrad dokumenterer sikkerhedsteams og briefledere, ledere og/eller bestyrelsen, hvad der skete, og hvordan det blev løst.
• Risikoafhjælpning. Teams undersøger hændelsen og identificerer ændringer, der skal foretages i miljøet og processerne, for at forhindre et lignende brud i at ske igen og forbedre responsen i fremtiden.

Det er blevet sværere og sværere at identificere cybertrusler, efterhånden som organisationer har udvidet deres cloudfodaftryk, forbundet flere enheder til internettet og overgået til en hybridarbejdsplads. Skadelige aktører udnytter dette udvidede overfladeområde og fragmenteringen af sikkerhedsværktøjer med følgende typer taktikker:
 

• Phishingkampagner. En af de mest almindelige måder, hvorpå skadelige aktører infiltrerer en virksomhed, er ved at sende mails, der narrer medarbejdere til at downloade skadelig kode eller angive deres legitimationsoplysninger.
• Malware. Mange cyberangreb udruller software, der er udviklet til at beskadige computere og systemer eller indsamle følsomme oplysninger.
• Ransomware. En type malware, hvor ransomware-hackere holder kritiske systemer og data i venteposition og risikerer at frigive private data eller stjæle cloudressourcer for at mine bitcoin, indtil der betales en løsesum. For nylig er menneskestyret ransomware, hvor en gruppe cyberangreb får adgang til hele organisationens netværk, blevet et voksende problem for sikkerhedsteams.
• Distributed Denial-of-Service-angreb (DDoS). Ved hjælp af en række robotter forstyrrer skadelige aktører et websted eller en tjeneste ved at overfylde det med trafik.
• Insidertrussel. Ikke alle cybertrusler kommer fra uden for en organisation. Der er også risiko for, at betroede personer med adgang til følsomme data utilsigtet eller ondsindet kan skade organisationen.
• Identitetsbaserede angreb. De fleste brud involverer kompromitterede identiteter, hvilket er, når cyberangribere stjæler eller gætter brugerlegitimationsoplysninger og bruger dem til at få adgang til en organisations systemer og data.
• Tingenes internet (IoT). IoT-enheder er også sårbare over for cyberangreb, især ældre enheder, der ikke har de indbyggede sikkerhedskontroller, som moderne enheder gør.
• Angreb på forsyningskæden. Nogle gange er en skadelig aktør rettet mod en organisation ved at manipulere med software eller hardware, der leveres af en tredjepartsleverandør.
• Kodeinjektion. Ved at udnytte sikkerhedsrisici i den måde, kildekode håndterer eksterne data på, indsætter cyberkriminelle skadelig kode i et program.

Opdage trusler
For at komme foran stigende cybersikkerhedsangreb bruger organisationer trusselsmodellering til at definere sikkerhedskrav, identificere sårbarheder og risici og prioritere afhjælpning. Ved hjælp af hypotetiske scenarier forsøger SOC at komme i tanke om cyberkriminelle, så de kan forbedre organisationens evne til at forhindre eller afhjælpe sikkerhedshændelser. MITRE ATT&CK®-strukturen er en nyttig model til at forstå almindelige cyberangrebsteknikker og -taktikker.

Et forsvar med flere lag kræver værktøjer, der sikrer løbende overvågning af miljøet i realtid og giver mulighed for at løse potentielle sikkerhedsproblemer. Løsninger skal også overlappe, så hvis en registreringsmetode kompromitteres, vil en anden registrere problemet og give sikkerhedsteamet besked. Løsninger til registrering af cybertrusler bruger en række forskellige metoder til at identificere trusler, herunder:
 

• Signaturbaseret registrering. Mange sikkerhedsløsninger scanner software og trafik for at identificere entydige signaturer, der er knyttet til en bestemt type malware.
• Adfærdsbaseret registrering. For at hjælpe med at fange nye og kommende cybertrusler søger sikkerhedsløsninger også efter handlinger og adfærd, der er almindelige i cyberangreb.
• Registrering baseret på uregelmæssigheder. Kunstig intelligens og analyse hjælper teams med at forstå den typiske funktionsmåde for brugere, enheder og software, så de kan identificere noget usædvanligt, der kan indikere en cybertrusler.

Selvom software er kritisk, spiller folk en lige så vigtig rolle i registrering af cybertrusler. Ud over at prioritere og undersøge systemgenererede advarsler bruger analytikere jagtteknikker til cybertrusler til proaktivt at søge efter indikationer på kompromittering, eller de leder efter taktikker, teknikker og procedurer, der foreslår en potentiel trussel. Disse tilgange hjælper SOC med hurtigt at afdække og stoppe avancerede angreb, der er svære at registrere