Mikä on uhkien havaitseminen ja reagointi (TDR)?

Monet organisaatiot ovat perustaneet tietoturvakeskuksen (SOC) vastatakseen kyberuhkiin ja muihin tietoturvaongelmiin. Se on keskitetty toiminto tai tiimi, joka on vastuussa organisaation kyberturvallisuustason parantamisesta sekä uhkien estämisestä, havaitsemisesta ja niihin reagoimisesta. Sen lisäksi, että SOC valvoo jatkuvia kyberhyökkäyksiä ja reagoi niihin, se pyrkii myös tunnistamaan uusia kyberuhkia ja organisaation haavoittuvuuksia ennakoivasti. Useimmat SOC-tiimit, jotka voivat toimia paikan päällä tai olla ulkoistettuja, tekevät työtä kellon ympäri seitsemänä päivänä viikossa.

SOC käyttää uhkatietoja ja teknologiaa löytääkseen yritettyjä, onnistuneita tai käynnissä olevia murtoja. Kun kyberuhka on tunnistettu, tietoturvatiimi käyttää uhkien havaitsemis- ja reagointityökaluja ongelman poistamiseksi tai lieventämiseksi.

Uhkien havaitseminen ja reagointi sisältävät yleensä seuraavat vaiheet:
 

• Havaitseminen. Tietoturvatyökalut, jotka valvovat päätepisteitä, käyttäjätietoja, verkkoja, sovelluksia ja pilvipalveluita, auttavat riskien ja mahdollisten rikkomuksien havaitsemisessa. Tietoturva-ammattilaiset käyttävät myös tekniikoita kyberuhkien etsimiseen paljastaakseen kehittyneitä kyberuhkia, jotka välttävät havaitsemiseksi tulemisen.
• Tutkinta. Kun riski on tunnistettu, SOC käyttää tekoälyä ja muita työkaluja vahvistaakseen, että kyberuhka on todellinen, määrittääkseen, miten se tapahtui, ja arvioidakseen, mitkä yrityksen resurssit ovat altistuneet uhalle.
• Eristäminen. Kyberhyökkäyksen leviämisen estämiseksi kyberturvallisuustiimit ja automaattiset työkalut eristävät tartunnan saaneet laitteet, käyttäjätiedot ja verkot muista organisaation resursseista.
• Hävittäminen. Tiimit poistavat tietoturvahäiriön perimmäisen syyn tavoitteenaan häätää haitallinen toimija kokonaan ympäristöstä. He myös korjaavat haavoittuvuuksia, jotka saattavat altistaa organisaation samanlaiselle kyberhyökkäykselle.
• Palautuminen. Kun tiimit ovat kohtuullisen varmoja siitä, että kyberuhka tai haavoittuvuus on poistettu, he palauttavat eristetyt järjestelmät takaisin online-tilaan.
• Raportti. Tapauksen vakavuudesta riippuen tietoturvatiimit dokumentoivat ja tiedottavat johtajille, päälliköille ja/tai hallitukselle, mitä tapahtui ja miten tapaus ratkaistiin.
• Riskien lieventäminen. Jotta samankaltainen rikkomus ei toistuisi ja jotta siihen voidaan reagoida jatkossa paremmin, tiimit tutkivat tapausta ja tunnistavat, mitä muutoksia ympäristöön ja prosesseihin täytyy tehdä.

Kyberuhkien havaitseminen on muuttunut yhä vaikeammaksi, kun organisaatiot ovat laajentaneet pilvipalveluiden jalanjälkeään, yhdistäneet enemmän laitteita Internetiin ja siirtyneet hybridityöhön. Haitalliset toimijat hyödyntävät tätä laajentunutta pinta-alaa ja tietoturvatyökalujen pirstoutumista käyttämällä seuraavantyyppisiä taktiikoita:
 

• Tietojenkalastelukampanjat. Yksi yleisimmistä tavoista, joilla haitalliset toimijat tunkeutuvat yrityksen järjestelmään, on sähköpostiviestien lähettäminen, joissa huijataan työntekijöitä lataamaan haitallinen koodi tai antamaan tunnistetietonsa.
• Haittaohjelmat. Monet kyberhyökkäysten tekijät käyttävät ohjelmistoja, jotka on suunniteltu vahingoittamaan tietokoneita ja järjestelmiä tai keräämään arkaluonteisia tietoja.
• Kiristysohjelmat. Kiristysohjelmahyökkäysten, jotka ovat yksi haittaohjelmien tyyppi, tekijät ottavat tärkeitä järjestelmiä ja tietoja panttivangiksi ja uhkaavat levittää yksityisiä tietoja tai varastaa pilviresursseja bitcoinien louhintaa varten, kunnes lunnasraha on maksettu. Viime aikoina ihmisten tekemistä kiristysohjelmahyökkäyksistä, joissa ryhmä kyberhyökkääjiä pääsee käsiksi organisaation koko verkkoon, on tullut kasvava ongelma tietoturvatiimeille.
• Hajautetut palvelunestohyökkäykset (DDoS). Bottijoukkoja käyttämällä haitalliset toimijat häiritsevät verkkosivustoa tai palvelua kohdistamalla siihen paljon liikennettä.
• Sisäiset uhat. Kaikki kyberuhat eivät ole peräisin organisaation ulkopuolelta. On myös olemassa riski, että luotetut henkilöt, joilla on pääsy arkaluonteisiin tietoihin, voivat vahingossa tai haitallisesti vahingoittaa organisaatiota.
• Käyttäjätietoihin perustuvat hyökkäykset. Useimmissa rikkomuksissa on kyse vaarantuneista käyttäjätiedoista eli siitä, kun kyberhyökkäysten tekijät varastavat tai arvaavat käyttäjän tunnistetietoja ja käyttävät niitä päästäkseen sisälle organisaation järjestelmiin ja tietoihin.
• Esineiden Internet (IoT) -hyökkäykset. IoT-laitteet ovat myös alttiita kyberhyökkäyksille, erityisesti vanhat laitteet, joissa ei ole nykyaikaisten laitteiden sisäisiä suojaustoimintoja.
• Toimitusketjuhyökkäykset. Joskus haitallinen toimija hyökkää organisaatioon peukaloimalla kolmannen osapuolen ohjelmistoja tai laitteistoja.
• Koodin lisäämishyökkäykset. Kyberrikolliset hyödyntävät heikkouksia, jotka liittyvät siihen, miten lähdekoodi käsittelee ulkoisia tietoja, ja lisäävät haitallisen koodin sovellukseen.

Uhkien havaitseminen
Jotta organisaatiot pysyvät kasvavien kyberturvallisuus edellä, ne käyttävät uhkien mallinnusta tietoturvavaatimusten määrittämiseen, haavoittuvuuksien tunnistamiseen ja korjauksien priorisoimiseen. Hypoteettisten skenaarioiden avulla SOC yrittää päästä kyberrikollisten pään sisälle, jotta he voivat parantaa organisaation kykyä estää tai lieventää tietoturvahäiriöitä. MITRE ATT&CK® -ratkaisu on hyödyllinen malli yleisten kyberhyökkäystekniikoiden ja -taktiikoiden ymmärtämiseen.

Monikerroksinen puolustus edellyttää työkaluja, jotka tarjoavat jatkuvan reaaliaikaisen ympäristön valvonnan ja tuovat esiin mahdollisia tietoturvaongelmia. Ratkaisujen on myös oltava päällekkäisiä, jotta jos yksi havaitsemismenetelmä vaarantuu, toinen menetelmä voi havaita ongelman ja ilmoittaa siitä tietoturvatiimille. Kyberuhkien havaitsemisratkaisut havaitsevat uhkia useilla eri tavoilla, esimerkiksi seuraavilla:
 

• Allekirjoituspohjainen tunnistus. Monet tietoturvaratkaisut tarkistavat ohjelmistoja ja liikennettä tunnistaakseen yksilölliset allekirjoitukset, jotka liittyvät tietyntyyppiseen haittaohjelmaan.
• Käyttäytymispohjainen tunnistus. Tietoturvaratkaisut etsivät kyberhyökkäyksille yleisiä toimintoja ja käyttäytymisiä estääkseen uudet kyberuhat.
• Poikkeamiin perustuva tunnistus. Tekoäly ja analytiikka auttavat tiimejä ymmärtämään käyttäjien, laitteiden ja ohjelmistojen tyypillistä toimintaa, jotta ne tunnistavat mahdollisesti kyberuhkaan viittaavan epätavallisen toiminnan.

Vaikka ohjelmistot ovat tärkeitä, ihmisillä on yhtä tärkeä rooli kyberuhkien havaitsemisessa. Luokittelun ja järjestelmän luomien hälytysten tutkimisen lisäksi analyytikot käyttävät kyberuhkien etsintätekniikoita etsiäkseen ennakoivasti merkkejä vaarantumisesta tai etsiäkseen taktiikoita, tekniikoita ja menettelytapoja, jotka viittaavat mahdolliseen uhkaan. Nämä lähestymistavat auttavat SOC:tä paljastamaan ja estämään kehittyneitä ja vaikeasti havaittavia hyökkäyksiä nopeasti