מהו זיהוי איומים ותגובה (TDR)?

כדי לטפל באיומי סייבר ובבעיות אבטחה אחרות, ארגונים רבים מגדירים מרכז תפעול אבטחה (SOC), שהוא פונקציה מרוכזת או צוות האחראי לשיפור מצב אבטחת הסייבר של הארגון ומניעה, זיהוי ותגובה לאיומים. בנוסף לניטור ולתגובה למתקפות סייבר מתמשכות, SOC גם פועל באופן יזום כדי לזהות איומי סייבר ופגיעות ארגונית מתפתחים. רוב צוותי SOC, שעשויים להיות באתר או במיקור חוץ, פועלים מסביב לשעון, שבעה ימים בשבוע.

SOC משתמש בינת איומים, ובטכנולוגיה כדי לחשוף ניסיון להפרה, הפרה שהצליחה או הפרה שמתבצעת. לאחר זיהוי איומי סייבר, צוות האבטחה ישתמש בכלי זיהוי איומים ותגובה כדי למנוע את הבעיה או להפחית אותה.

זיהוי איומים ותגובה כולל בדרך כלל את השלבים הבאים:
 

• זיהוי. כלי אבטחה המנטרים נקודות קצה, זהויות, רשתות, אפליקציות ועננים מסייעים לחשוף סיכונים והפרות פוטנציאליות. מומחי אבטחה משתמשים גם בטכניקות ציד איומי סייבר כדי לחשוף איומי סייבר מתוחכמים שמתחמקים מהזיהוי.
• חקירה. לאחר זיהוי סיכון, SOC משתמש בבינה מלאכותית ובכלים אחרים כדי לוודא שאיום הסייבר אמיתי, לקבוע כיצד זה קרה ולהעריך אילו נכסי חברה הושפעו.
• בלימה. כדי להפסיק את ההתפשטות של מתקפות סייבר, צוותי אבטחת סייבר וכלים אוטומטיים מבודדים מכשירים, זהויות ורשתות נגועים משאר הנכסים של הארגון.
• מיגור. צוותים מסלקים את הגורם העיקרי לתקרית האבטחה כדי לפנות את הגורם העוין לחלוטין מהסביבה. הם גם מצמצמים פגיעויות שעלולות לסכן את הארגון למתקפות סייבר דומות.
• שחזור. לאחר שהצוותים בטוחים באופן סביר שאיום סייבר או פגיעות הוסרו, הם מביאים את כל המערכות המבודדות למצב מקוון.
• דוח. בהתאם לחומרת המקרה, צוותי האבטחה יתעדו וידריכו מנהלים, מנהלים בכירים ו/או חברי צוות לגבי מה שקרה וכיצד הבעיה נפתרה.
• צמצום סיכונים. כדי להימנע מהתרחשות של הפרות דומות שוב ולשפר את התגובה בעתיד, צוותים חוקרים את המקרה ומזהים שינויים שיש לבצע בסביבה ובתהליכים.

זיהוי איומי סייבר הפך להיות קשה יותר ויותר מאחר שארגונים הרחיבו את טביעת הרגל שלהם בענן, חיברו יותר מכשירים לאינטרנט ועברו למקום עבודה היברידי. גורמים עוינים מנצלים את השטח המורחב הזה ואת הפיצול בכלי אבטחה עם סוגי הטקטיקה הבאים:
 

• קמפיינים של דיוג. אחת הדרכים הנפוצות ביותר שגורמים עוינים מסתננים לחברה היא על-ידי שליחת הודעות דואר אלקטרוני שגורמות לעובדים להוריד קוד זדוני או לספק את האישורים שלהם.
• תוכנה זדונית. תוקפי סייבר רבים פורסים תוכנה שנועדה לגרום נזק למחשבים ולמערכות או לאסוף מידע רגיש.
• תוכנות כופר. סוג של תוכנה זדונית, תוקפי תוכנת כופר מחזיקים מערכות קריטיות ונתונים כבני ערובה, מאיימים לשחרר נתונים פרטיים או לגנוב משאבי ענן כדי לכרות ביטקוין עד שישולם כופר. לאחרונה, תוכנת כופר המופעלת על-ידי אנשים, שבה קבוצה של תוקפי סייבר משיגה גישה לרשת המלאה של ארגון, הפכה לבעיה שהולכת וגדלה עבור צוותי אבטחה.
• מתקפות מסוג מניעת שירות מבוזרת (DDoS). באמצעות סידרה של בוטים, גורמים עוינים משבשים אתר אינטרנט או שירות על-ידי הצפתם בתעבורה.
• איום מבפנים. לא כל איומי הסייבר מגיעים מחוץ לארגון. קיים גם סיכון שאנשים מהימנים בעלי גישה לנתונים רגישים עלולים להזיק לארגון בשוגג או בזדוניות.
• מתקפות מבוססות זהות. רוב ההפרות כוללות זהויות שנחשפו לסכנה, כלומר כאשר תוקפי סייבר גונבים או מנחשים אישורי משתמש ומשתמשים בהם כדי לקבל גישה למערכות ולנתונים של ארגון.
• מתקפות האינטרנט של הדברים (IoT). מכשירי IoT פגיעים גם למתקפות סייבר, במיוחד מכשירים מדור קודם שאינם כוללים את פקדי האבטחה המוכללים שיש במכשירים מודרניים.
• מתקפות שרשרת אספקה. לפעמים גורם עוין מתמקד בארגון על-ידי טיפול שלא כדין בתוכנה או בחומרה שסופקה על-ידי ספק חיצוני.
• הזרקת קוד. על-ידי ניצול פגיעויות באופן שבו קוד המקור מטפל בנתונים חיצוניים, פושעי סייבר מחדירים קוד זדוני ליישום.

זיהוי איומים
כדי להקדים את מתקפות אבטחת הסייבר המתגברות, ארגונים משתמשים במודל איומים כדי להגדיר דרישות אבטחה, לזהות פגיעויות וסיכונים ולתעדף תיקון. באמצעות תרחישים היפותטיים, ה- SOC מנסה להיכנס למוחם של פושעי סייבר כדי שיוכל לשפר את יכולת הארגון למנוע או להפחית אירועי אבטחה. מסגרת MITRE ATT&CK® היא מודל שימושי להבנת טכניקות וטקטיקות נפוצות של מתקפות סייבר.

הגנה רב-שכבתית דורשת כלים המספקים ניטור רציף בזמן אמת של הסביבה וחשיפת בעיות אבטחה פוטנציאליות. פתרונות חייבים גם לחפוף, כך שאם שיטת זיהוי אחת נחשפת לסכנה, שיטת זיהוי שנייה תזהה את הבעיה ותיידע את צוות האבטחה. פתרונות זיהוי איומי סייבר משתמשים במגוון שיטות לזיהוי איומים, כולל:
 

• זיהוי מבוסס חתימה. פתרונות אבטחה רבים סורקים תוכנות ותעבורה כדי לזהות חתימות ייחודיות המשויכות לסוג ספציפי של תוכנות זדוניות.
• זיהוי מבוסס אופן פעולה. כדי לעזור ללכוד איומי סייבר חדשים, פתרונות אבטחה מחפשים גן פעולות ואופני פעולה נפוצים במתקפות סייבר.
• זיהוי מבוסס אנומליה. בינה מלאכותית וניתוח עוזרים לצוותים להבין את אופני הפעולה האופייניים של משתמשים, מכשירים ותוכנות כדי שהם יוכלו לזהות משהו חריג שעשוי להצביע על איומי סייבר.

למרות שתוכנה היא קריטית, לאנשים יש תפקיד חשוב במידה שווה בזיהוי איומי סייבר. בנוסף לקביעת סדר עדיפויות וחקירת התראות שנוצרו על-ידי המערכת, האנליסטים משתמשים בטכניקות ציד של איומי סייבר כדי לחפש באופן יזום אינדיקציות לסכנה, או שהם מחפשים את הטקטיקה, הטכניקות וההליכים שיכולים להוות איום פוטנציאלי. גישות אלה עוזרות ל- SOC לחשוף ולעצור במהירות מתקפות מתוחכמות וקשות לזיהוי