Vad är identifiering och åtgärd av hot (TDR)?

För att åtgärda cyberhot och andra säkerhetsproblem har många organisationer skapat ett center för säkerhetsfunktioner (SOC), som är en centraliserad funktion eller ett team som ansvarar för att förbättra organisationens cybersäkerhetsstatus och förhindra, identifiera och svara på hot. Förutom att övervaka och svara på pågående cyberattacker, utför ett SOC även proaktivt arbete för att identifiera nya cyberhot och sårbarheter i organisationen. De flesta SOC-team, som kan vara på plats eller outsourcade, arbetar dygnet runt, sju dagar i veckan.

SOC använder hotinformation och teknologi för att upptäcka ett försök till, lyckat eller pågående intrång. När en cyberhot har identifierats använder säkerhetsteamet verktyg för identifiering och åtgärd av hot för att eliminera eller åtgärda problemet.

Identifiering och åtgärd av hot omfattar vanligtvis följande steg:
 

• Upptäckt. Säkerhetsverktyg som övervakar slutpunkter, identiteter, nätverk, appar och moln hjälper dig att upptäcka risker och potentiella överträdelser. Säkerhetspersonal använder också tekniker för cyberhotsjakt för att upptäcka sofistikerade cyberhot som kringgår identifiering.
• Undersökning. När en risk har identifierats använder SOC AI och andra verktyg för att bekräfta att cyberhotet är verkligt, fastställer hur det inträffade och utvärdera vilka företagstillgångar som påverkas.
• Inneslutning. För att stoppa spridningen av en cyberattack isolerar cybersäkerhetsteam och automatiserade verktyg infekterade enheter, identiteter och nätverk från resten av organisationens tillgångar.
• Radering. Teams eliminerar rotorsaken till en säkerhetsincident med målet att avlägsna den dåliga aktören helt från miljön. De minskar också sårbarheter som kan utgöra en risk för en liknande cyberattack i organisationen.
• Återställning. Efter att teamen är rimligt övertygade om att ett cyberhot eller en sårbarhet har tagits bort tar de alla isolerade system online igen.
• Rapport. Beroende på incidentens allvarlighetsgrad kommer säkerhetsteamen att dokumentera och informera ledare, chefer och/eller styrelsen om vad som hände och hur det löstes.
• Riskreducering. För att förhindra att liknande intrång inträffar igen och för att förbättra svaret i framtiden studerar teamen incidenten och identifierar ändringar som ska göras i miljön och processerna.

Identifiering av cyberhot har blivit allt svårare i takt med att organisationer har utökat sitt molnavtryck, anslutit fler enheter till Internet och övergått till en hybridarbetsplats. Dåliga aktörer drar nytta av den här utökade ytan och fragmenteringen i säkerhetsverktyg med följande typer av taktiker:
 

• Nätfiskekampanjer. Ett av de vanligaste sätten som dåliga aktörer infiltrerar ett företag på är att skicka e-postmeddelanden som lurar anställda att ladda ned skadlig kod eller ange sina autentiseringsuppgifter.
• Skadlig kod. Många cyberangripare distribuerar programvara som är utformad för att skada datorer och system eller samla in känslig information.
• Utpressningstrojan. En typ av skadlig kod, angripare med utpressningstrojaner håller kritiska system och data som gisslan och hotar att släppa privata data eller stjäla molnresurser för att utvinna bitcoin tills en lösensumma betalas. Nyligen har utpressningstrojaner som drivs av människor, där en grupp cyberangripare får åtkomst till en organisations hela nätverk, blivit ett växande problem för säkerhetsteam.
• DDoS-attacker (distribuerad överbelastningsattack). Med hjälp av en serie robotar stör dåliga aktörer en webbplats eller tjänst genom att översvämma den med trafik.
• Internt hot. Alla cyberhot kommer inte från utanför en organisation. Det finns också en risk att betrodda personer med åtkomst till känsliga data oavsiktligt eller skadligt kan skada organisationen.
• Identitetsbaserade attacker. De flesta överträdelser omfattar komprometterade identiteter, vilket är när cyberangripare stjäl eller gissar användarautentiseringsuppgifter och använder dem för att få åtkomst till en organisations system och data.
• Sakernas Internet-attacker (IoT). IoT-enheter är också sårbara för cyberattacker, särskilt äldre enheter som inte har de inbyggda säkerhetskontroller som moderna enheter gör.
• Attacker mot försörjningskedjan. Ibland riktar sig en dålig aktör mot en organisation genom manipulering av programvara eller maskinvara som tillhandahålls av en tredjepartsleverantör.
• Kodinmatning. Genom att utnyttja sårbarheter i hur källkoden hanterar externa data matar cyberbrottslingar in skadlig kod i ett program.

Identifiera olika hot
För att komma före ökande cybersäkerhetsattacker använder organisationer hotmodellering för att definiera säkerhetskrav, identifiera sårbarheter och risker och prioritera åtgärder. Med hjälp av hypotetiska scenarier försöker SOC komma in i cyberkriminellas sinne så att de kan förbättra organisationens förmåga att förhindra eller mildra säkerhetsincidenter. Ramverket MITRE ATT&CK® är en användbar modell för att förstå vanliga tekniker och taktiker för cyberattacker.

Ett flerskiktsskydd kräver verktyg som ger kontinuerlig övervakning i realtid av miljön och potentiella säkerhetsproblem. Lösningar måste också överlappa varandra, så att om en identifieringsmetod komprometteras identifierar en andra problemet och meddelar säkerhetsteamet. Lösningar för identifiering av cyberhot använder en mängd olika metoder för att identifiera hot, bland annat:
 

• Signaturbaserad identifiering. Många säkerhetslösningar söker igenom programvara och trafik för att identifiera unika signaturer som är associerade med en viss typ av skadlig kod.
• Beteendebaserad identifiering. För att fånga upp nya och framväxande cyberhot letar säkerhetslösningar också efter handlingar och beteenden som är vanliga vid cyberattacker.
• Avvikelsebaserad identifiering. AI och analys hjälper team att förstå vanliga beteenden för användare, enheter och programvara så att de kan identifiera något ovanligt som kan tyda på en cyberhot.

Även om programvara är viktig spelar människor en lika viktig roll vid identifiering av cyberhot. Förutom att trigga och undersöka systemgenererade varningar, använder analytiker jakttekniker för cyberthot för att proaktivt söka efter indikationer på kompromiss, eller så letar de efter taktik, tekniker och procedurer som tyder på ett potentiellt hot. Dessa metoder hjälper SOC att snabbt upptäcka och stoppa sofistikerade, svåridentifierade attacker