Wat is bedreigingsdetectie en -respons (TDR)?

Om cyberbedreigingen en andere veiligheidsproblemen aan te pakken, zetten veel organisaties een Security Operations Center (SOC) op. Een SOC is een gecentraliseerde functie of team dat verantwoordelijk is voor het verbeteren van de cyberbeveiligingspostuur van een organisatie en voor het voorkomen, detecteren en reageren op bedreigingen. Naast het bewaken en reageren op lopende cyberaanvallen, werkt een SOC ook proactief aan het identificeren van opkomende cyberdreigingen en beveiligingsproblemen van organisaties. De meeste SOC-teams, die lokaal of uitbesteed kunnen zijn, werken 24 uur per dag, zeven dagen per week.

De SOC maakt gebruik van bedreigingsinformatieen -technologie om een poging tot, succesvolle of lopende inbreuk te ontdekken. Zodra een cyberbedreiging is geïdentificeerd, gebruikt het beveiligingsteam hulpprogramma's voor bedreigingsdetectie en -respons om het probleem te elimineren of te beperken.

Bedreigingsdetectie en -respons omvat doorgaans de volgende fasen:
 

• Detectie. Beveiligingshulpprogramma's waarmee eindpunten, identiteiten, netwerken, apps en clouds worden bewaakt, helpen risico's en mogelijke schendingen aan het licht te brengen. Beveiligingsprofessionals gebruiken ook technieken zoalscyberbedreigingen opsporen om geavanceerde cyberbedreigingen te ontdekken die detectie omzeilen.
• Onderzoek. Zodra een risico is geïdentificeerd, maakt de SOC gebruik van AI en andere hulpprogramma's om te bevestigen dat de cyberaanval echt is, te bepalen hoe het is gebeurd en te beoordelen welke bedrijfsactiva worden beïnvloed.
• Insluiting. Om de verspreiding van een cyberaanval te stoppen, isoleren cyberbeveiligingsteams en geautomatiseerde hulpprogramma's geïnfecteerde apparaten, identiteiten en netwerken van de rest van de activa van de organisatie.
• Eliminatie. Teams elimineren de hoofdoorzaak van een beveiligingsincident met als doel kwaadwillenden volledig uit de omgeving te verwijderen. Ze beperken ook beveiligingsproblemen in de organisatie die de mogelijke oorzaak van een vergelijkbare cyberaanval kunnen vormen.
• Herstel. Nadat teams er redelijk zeker van zijn dat een cyberbedreigingen of beveiligingsprobleem is verwijderd, brengen ze de geïsoleerde systemen weer online.
• Rapport. Afhankelijk van de ernst van het incident, documenteren en informeren beveiligingsteams leidinggevenden, executives en/of het bestuur over wat er is gebeurd en hoe het is opgelost.
• Risicobeperking. Om te voorkomen dat een soortgelijke schending zich opnieuw voordoet en om de respons in de toekomst te verbeteren, bestuderen teams het incident en identificeren ze wijzigingen die moeten worden aangebracht in de omgeving en processen.

Het identificeren van cyberdreigingen is steeds moeilijker geworden naarmate organisaties hun cloud-voetafdruk hebben uitgebreid, meer apparaten met het internet hebben verbonden en zijn overgestapt naar een hybride werkplek. Kwaadwillenden profiteren van deze uitgebreide mogelijkheden en de fragmentatie in beveiligingshulpprogramma's met de volgende soorten tactieken:
 

• Phishingcampagnes. Een van de meest voorkomende manieren waarop kwaadwillenden een bedrijf infiltreren, is door e-mailberichten te verzenden die werknemers verleiden schadelijke code te downloaden of hun toegangsgegevens op te geven.
• Malware. Veel cyberaanvallers implementeren software die is ontworpen om computers en systemen te beschadigen of gevoelige informatie te verzamelen.
• Ransomware. Ransomware is een type malware, ransomware-aanvallers houden kritieke systemen en gegevens vast en dreigen om privégegevens vrij te geven of cloudbronnen te stelen om bitcoin te minen totdat er een afkoopsom wordt betaald. Onlangs is door de mens uitgevoerde ransomware, waarbij een groep cyberaanvallers toegang krijgt tot het hele netwerk van een organisatie, een groeiend probleem geworden voor beveiligingsteams.
• DDoS-aanvallen (Distributed Denial-of-Service). Met behulp van een reeks bots verstoren kwaadwillenden een website of service door deze te overspoelen met verkeer.
• Interne bedreiging. Niet alle cyberaanvallen zijn afkomstig van buiten een organisatie. Er bestaat ook een risico dat vertrouwde personen met toegang tot gevoelige gegevens onbedoeld of kwaadwillig schade kunnen toebrengen aan de organisatie.
• Op identiteit gebaseerde aanvallen. De meeste inbreuken hebben betrekking op gecompromitteerde identiteiten. Dit is wanneer cyberaanvallers toegangsgegevens stelen of raden en deze gebruiken om toegang te krijgen tot de systemen en gegevens van een organisatie.
• Internet of Things (IoT)-aanvallen. IoT-apparaten zijn ook kwetsbaar voor cyberaanvallen, met name verouderde apparaten die niet beschikken over de ingebouwde beveiligingsmaatregelen die moderne apparaten wel gebruiken.
• Aanvallen op toeleveringsketen. Soms valt een kwaadwillende een organisatie aan door te knoeien met software of hardware die wordt geleverd door een externe leverancier.
• Code-injectie. Door misbruik te maken van beveiligingsproblemen in de manier waarop broncode externe gegevens verwerkt, injecteren cybercriminelen schadelijke code in een toepassing.

Het opsporen van bedreigingen
Organisaties gebruiken bedreigingsmodellen om beveiligingsvereisten te bepalen, beveiligingsproblemen en risico's te identificeren en prioriteit te geven aan herstel om de toenemende cyberbeveiligingsaanvallen voor te blijven. Met behulp van hypothetische scenario's probeert de SOC de denkwijze van cybercriminelen te begrijpen, zodat ze het vermogen van de organisatie kunnen verbeteren om beveiligingsincidenten te voorkomen of te beperken. Het MITRE ATT&CK-framework® is een nuttig model voor het begrijpen van algemene technieken en tactieken voor cyberaanvallen.

Voor een meerlagige beveiliging zijn hulpprogramma's vereist die continue realtime bewaking van de omgeving bieden en mogelijke beveiligingsproblemen aan het licht kunnen brengen. Oplossingen moeten ook overlappen, zodat als één detectiemethode wordt aangetast, een tweede het probleem detecteert en het beveiligingsteam erover kan informeren. Oplossingen voor cyberbedreigingendetectie gebruiken verschillende methoden om bedreigingen te identificeren, waaronder:
 

• Detectie op basis van handtekeningen. Veel beveiligingsoplossingen scannen software en verkeer om unieke handtekeningen te identificeren die zijn gekoppeld aan een specifiek type malware.
• Detectie op basis van gedrag. Beveiligingsoplossingen zoeken ook naar acties en gedragingen die vaak voorkomen bij cyberaanvallen om nieuwe en opkomende cyberbedreigingen te detecteren.
• Detectie op basis van anomalie. AI en analyse helpen teams het typische gedrag van gebruikers, apparaten en software te begrijpen, zodat ze ongebruikelijk gedrag kunnen identificeren dat mogelijk duidt op een cyberaanval.

Hoewel software essentieel is, spelen mensen een even belangrijke rol bij de detectie van cyberdreigingen. Naast het behandelen en onderzoeken van door het systeem gegenereerde waarschuwingen, gebruiken analisten opsporingstechnieken voor cyberbedreigingen om proactief te zoeken naar indicaties van inbreuk: Informatie over het bewaken, identificeren, gebruiken en reageren op indicaties van inbreuk.indicaties van inbreuk, of ze zoeken naar tactieken, technieken en procedures die wijzen op een mogelijke bedreiging. Met deze benaderingen kan de SOC snel geavanceerde, moeilijk te detecteren aanvallen ontdekken en stoppen