Ce este detectarea amenințărilor și răspunsul (TDR)?

Pentru a aborda amenințările cibernetice și alte probleme de securitate, multe organizații au configurat un centru de operațiuni de securitate (SOC), care este o funcție sau o echipă centralizată, responsabilă pentru îmbunătățirea poziției de securitate cibernetică a unei organizații și pentru prevenirea, detectarea și răspunsul la amenințări. În plus față de monitorizarea și răspunsul la atacurile cibernetice permanente, un SOC lucrează, de asemenea, proactiv pentru a identifica amenințările cibernetice și vulnerabilitățile organizaționale emergente. Majoritatea echipelor SOC, care pot fi locale sau externalizate, funcționează non-stop, șapte zile pe săptămână.

SOC utilizează investigarea amenințărilorși tehnologie pentru a descoperi tentativele de breșe ori breșele reușite sau în curs. După identificarea unei amenințări cibernetice, echipa de securitate va utiliza instrumentele de detectare a amenințărilor și de răspuns pentru a elimina sau a atenua problema.

Detectarea amenințărilor și răspunsul includ de obicei următoarele etape:
 

• Detectare. Instrumentele de securitate care monitorizează punctele finale, identitățile, rețelele, aplicațiile și mediile cloud ajută la identificarea riscurilor și a breșelor potențiale. De asemenea, specialiștii în securitate utilizează tehnici de detectare cibernetică pentru a descoperi amenințări cibernetice sofisticate care se sustrag detectării.
• Investigație. După ce este identificat un risc, SOC utilizează inteligența artificială și alte instrumente pentru a confirma că amenințarea cibernetică este reală, pentru a determina cum s-a întâmplat și pentru a evalua ce active ale firmei sunt afectate.
• Izolare. Pentru a opri extinderea unui atac cibernetic, echipele de securitate cibernetică și instrumente automatizate izolează dispozitivele, identitățile și rețelele infectate de restul activelor organizației.
• Eradicare. Teams elimină cauza principală a unui incident de securitate cu scopul de a elimina complet actorul rău intenționat din mediu. De asemenea, acestea atenuează vulnerabilitățile care pot pune organizația în pericol față de un atac cibernetic similar.
• Recuperare. După ce echipele sunt convinse în mod justificat că a fost eliminată o amenințare cibernetică sau o vulnerabilitate, acestea aduc toate sistemele izolate înapoi online.
• Raport. În funcție de severitatea incidentului, echipele de securitate vor documenta și îi vor informa pe lideri, directori și/sau membrii consiliului despre ce s-a întâmplat și cum s-a soluționat.
• Atenuarea riscurilor. Pentru a preveni reapariția unei breșe similare și pentru a îmbunătăți răspunsul în viitor, echipele analizează incidentul și identifică modificările de adus mediului și proceselor.

Identificarea amenințărilor cibernetice a devenit din ce în ce mai dificilă, întrucât organizațiile și-au extins amprenta în cloud, au conectat mai multe dispozitive la internet și au trecut la un loc de muncă hibrid. Actori rău intenționați profită de această zonă extinsă de suprafață și de fragmentarea din instrumentele de securitate cu următoarele tipuri de tactici:
 

• Campanii de phishing. Una dintre cele mai comune modalități prin care actorii rău intenționați se infiltrează într-o firmă constă în trimiterea de e-mailuri care îi păcălesc pe angajați să descarce cod rău intenționat sau să își furnizeze acreditările.
• Malware. Mulți atacatori cibernetici implementează software proiectat să deterioreze computere și sisteme sau să colecteze informații confidențiale.
• Ransomware. Un tip de malware, atacatorii ransomware țin ostatice sisteme și date critice, amenințând că eliberează date private sau că fură resurse din cloud pentru a mina bitcoin, până la plata unei răscumpărări. Recent, ransomware-ul operat de om, în care un grup de atacatori cibernetici obține acces la întreaga rețea a unei organizații, a devenit o problemă tot mai mare pentru echipele de securitate.
• Atacuri distribuite de tip refuz-serviciu (DDoS). Utilizând o serie de roboți, actori rău intenționați perturbă un site web sau un serviciu, inundându-l cu trafic.
• Amenințare din interior. Nu toate amenințările cibernetice provin din afara unei organizații. Există și riscul ca persoane de încredere cu acces la date confidențiale să dăuneze din greșeală sau cu rea intenție organizației.
• Atacuri bazate pe identitate. Majoritatea breșelor implică identități compromise, adică situații în care atacurile cibernetice fură sau ghicesc acreditările de utilizator și le utilizează pentru a obține acces la sistemele și datele unei organizații.
• Atacuri asupra Internet of Things (IoT). Dispozitivele IoT sunt, de asemenea, vulnerabile la atacurile cibernetice, în special dispozitivele moștenite care nu au controalele de securitate încorporate pe care de care dispun dispozitivele moderne.
• Atacuri asupra lanțului de aprovizionare. Uneori, un actor rău intenționat vizează o organizație, falsificând software-ul sau hardware-ul furnizat de un furnizor terț.
• Injectarea de cod. Prin exploatarea vulnerabilităților din modul în care codul sursă gestionează datele externe, infractorii cibernetici injectează cod rău intenționat într-o aplicație.

Detectarea amenințărilor
Pentru a fi în fața atacurilor de securitate cibernetică în creștere, organizațiile utilizează modelarea amenințărilor pentru a defini cerințele de securitate, a identifica vulnerabilitățile și riscurile, și a acorda prioritate remedierii. Utilizând scenarii ipotetice, SOC încearcă să intre în mintea infractorilor cibernetici, astfel încât să poată îmbunătăți capacitatea organizației de a preveni sau a atenua incidentele de securitate. Cadrul MITRE ATT&CK® este un model util pentru înțelegerea tehnicilor și a tacticilor comune de atacuri cibernetice.

O apărare pe mai multe niveluri necesită instrumente care oferă monitorizare continuă în timp real a mediului și care aduc la suprafață probleme potențiale de securitate. Soluțiile trebuie, de asemenea, să se suprapună, astfel încât, dacă o metodă de detectare este compromisă, o a doua să detecteze problema și să informeze echipa de securitate. Soluțiile de detectare a amenințărilor cibernetice utilizează o varietate de metode pentru a identifica amenințările, inclusiv:
 

• Detectarea bazată pe semnături. Multe soluții de securitate scanează software-ul și traficul pentru a identifica semnăturile unice asociate cu un anumit tip de malware.
• Detectarea bazată pe comportamente. Pentru a vă ajuta să capturați amenințări cibernetice noi și emergente, soluțiile de securitate caută, de asemenea, acțiuni și comportamente comune în atacurile cibernetice.
• Detectarea bazată pe anomalii. Inteligența artificială și analizele ajută echipele să înțeleagă comportamentele tipice ale utilizatorilor, dispozitivelor și software-ului, astfel încât să poată identifica ceva neobișnuit, care poate indica o amenințare cibernetică.

Deși software-ul este esențial, utilizatorii joacă un rol la fel de important în detectarea amenințărilor cibernetice. În plus față de trierea și investigarea alertelor generate de sistem, analiștii utilizează tehnici de căutare activă a amenințărilor cibernetice, pentru a căuta în mod proactiv indicii de compromitere, sau caută tactici, tehnici și proceduri care sugerează o amenințare potențială. Aceste abordări ajută SOC să descopere și să oprească rapid atacurile sofisticate, greu de detectat