Hva er trusseloppdagelse og -respons (TDR)?

For å håndtere datatrusler og andre sikkerhetsproblemer, har mange organisasjoner konfigurert et sikkerhetsoperasjonssenter (SOC), som er en sentralisert funksjon eller et team som er ansvarlig for å forbedre organisasjonens cybersikkerhet og forhindre, oppdage og svare på trusler. I tillegg til å overvåke og svare på pågående cyberangrep, gjør en SOC også proaktivt arbeid for å identifisere nye datatrusler og organisatoriske sårbarheter. De fleste SOC-team, som kan være på stedet eller outsourcet, opererer døgnet rundt, sju dager i uken.

SOC bruker trusselinformasjon og teknologi til å avdekke et forsøk på, vellykket eller pågående brudd. Når en datatrussel er identifisert, vil sikkerhetsteamet bruke trusseloppdagelses- og responsverktøy for å eliminere eller redusere problemet.

Trusseloppdagelse og -respons omfatter vanligvis følgende faser:
 

• Oppdagelse. Sikkerhetsverktøy som overvåker endepunkter, identiteter, nettverk, apper og skyer, bidrar til å avdekke risikoer og potensielle brudd. Sikkerhetseksperter bruker også jaktteknikker for datatrusler til å avdekke sofistikerte datatrusler som unngår oppdagelse.
• Etterforskning. Når en risiko er identifisert, bruker SOC AI og andre verktøy for å bekrefte at datatrusselen er reell, fastslå hvordan den skjedde og vurdere hvilke firmaressurser som påvirkes.
• Begrensning. For å stoppe spredning av et cyberangrep isolerer nettsikkerhetsteam og automatiserte verktøy infiserte enheter, identiteter og nettverk fra resten av organisasjonens ressurser.
• Utrydding. Team eliminerer hovedårsaken til en sikkerhetshendelse med mål om å utestenge den dårlige aktøren fullstendig fra miljøet. De reduserer også sårbarheter som kan sette organisasjonen i fare for et lignende cyberangrep.
• Gjenoppretting. Etter at teamene er rimelig sikre på at en datatrussel eller sårbarhet har blitt fjernet, bringer de alle isolerte systemer tilbake på nettet.
• Rapporter. Avhengig av hvor alvorlig hendelsen er, vil sikkerhetsteamene dokumentere og informere ledere, direktører og/eller styret om hva som skjedde, og hvordan det ble løst.
• Risikoreduksjon. For å forhindre at et lignende brudd skjer igjen og for å forbedre responsen i fremtiden, studerer team hendelsen og identifiserer endringer som skal gjøres i miljøet og prosessene.

Identifisering av datatrusler har blitt stadig vanskeligere ettersom organisasjoner har utvidet sitt skyfotavtrykk, koblet flere enheter til Internett og gått over til en hybrid arbeidsplass. Dårlige aktører drar nytte av dette utvidede overflateområdet og fragmenteringen i sikkerhetsverktøy med følgende taktikktyper:
 

• Phishing-kampanjer. En av de vanligste måtene dårlige aktører infiltrerer et selskap på, er ved å sende e-postmeldinger som lurer ansatte til å laste ned skadelig kode eller oppgi legitimasjonen sin.
• Skadelig programvare. Mange cyberangripere distribuerer programvare som er utformet for å skade datamaskiner og systemer, eller samle inn sensitiv informasjon.
• Løsepengevirus. Løsepengevirusangripere er en type skadelig programvare, de holder kritiske systemer og data som gisler, truer med å frigi private data eller stjele skyressurser for å utvinne bitcoin helt til løsepenger betales. Nylig har menneskelig drevet løsepengevirus, der en gruppe cyberangripere får tilgang til hele organisasjonens nettverk, blitt et økende problem for sikkerhetsteam.
• DDoS-angrep (Distributed Denial-of-Service). Ved hjelp av en serie roboter forstyrrer dårlige aktører et nettsted eller en tjeneste ved å oversvømme det med trafikk.
• Interne trusler. Ikke alle datatrusler kommer fra utenfor en organisasjon. Det er også en risiko for at klarerte personer med tilgang til sensitive data utilsiktet eller ondsinnet kan skade organisasjonen.
• Identitetsbaserte angrep. De fleste brudd involverer kompromitterte identiteter, som er når cyberangripere stjeler eller gjetter brukerlegitimasjon og bruker den til å få tilgang til organisasjonens systemer og data.
• Tingenes Internett (IoT)-angrep. IoT-enheter er også sårbare for cyberangrep, spesielt eldre enheter som ikke har de innebygde sikkerhetskontrollene som moderne enheter har.
• Angrep på forsyningskjeder. Noen ganger retter en dårlig aktør seg mot en organisasjon ved å tukle med programvare eller maskinvare som leveres av en tredjepartsleverandør.
• Kodeinjeksjon. Ved å utnytte sårbarheter i hvordan kildekode håndterer eksterne data, injiserer nettkriminelle skadelig kode i et program.

Oppdage trusler.
For å komme i forkant av økende cybersikkerhetsangrep bruker organisasjoner trusselmodellering til å definere sikkerhetskrav, identifisere sårbarheter og risikoer og prioritere utbedring. Ved hjelp av hypotetiske scenarioer prøver SOC å trenge inn i tankene til nettkriminelle, slik at de kan forbedre organisasjonens evne til å forhindre eller redusere sikkerhetshendelser. MITRE ATT&CK®-rammeverket er en nyttig modell for å forstå vanlige teknikker og taktikker for cyberangrep.

Et forsvar med flere lag krever verktøy som gir kontinuerlig sanntidsovervåking av miljøet og viser potensielle sikkerhetsproblemer. Løsninger må også overlappe hverandre, slik at hvis én oppdagelsesmetode er kompromittert, vil en annen oppdage problemet og varsle sikkerhetsteamet. Løsninger for oppdagelse av datatrusler bruker en rekke metoder for å identifisere trusler, inkludert:
 

• Signaturbasert oppdagelse. Mange sikkerhetsløsninger skanner programvare og trafikk for å identifisere unike signaturer, som er knyttet til en bestemt type skadelig programvare.
• Virkemåtebasert oppdagelse. Sikkerhetsløsninger ser også etter handlinger og atferd som er vanlige i cyberangrep, for å hjelpe til med å fange opp nye og kommende datatrusler.
• Avviksbasert oppdagelse. AI og analyse hjelper team med å forstå de typiske atferdene til brukere, enheter og programvare, slik at de kan identifisere noe uvanlig som kan indikere en datatrussel.

Selv om programvare er avgjørende, spiller mennesker en like viktig rolle i oppdagelse av datatrusler. I tillegg til å sortere og undersøke systemgenererte varsler, bruker analytikere jaktteknikker for datatrusler til proaktivt å søke etter indikasjoner på kompromiss, eller de ser etter taktikker, teknikker og prosedyrer som antyder en potensiell trussel. Disse tilnærmingene hjelper SOC med raskt å avdekke og stoppe sofistikerte angrep som er vanskelige å oppdage