Viditelnost, automatizace a orchestrace pomocí nulová důvěra (Zero Trust)
Jednou z významných změn v perspektivách, které jsou znaménou nulová důvěra (Zero Trust) architektury zabezpečení, se ve výchozím nastavení přesouvá od vztahu důvěryhodnosti směrem k vztahu důvěryhodnosti po výjimce. Po potřebě důvěryhodnosti však potřebujete nějaký spolehlivý způsob vytvoření vztahu důvěryhodnosti. Vzhledem k tomu, že již nepředpokládáte, že požadavky jsou důvěryhodné, je vytvoření prostředku k ověření důvěryhodnosti požadavku zásadní pro prokázání důvěryhodnosti žádosti k určitému bodu v čase. Tato ověření identity vyžaduje schopnost získat přehled o aktivitách v žádosti a okolí.
V našich dalších průvodcích nulová důvěra (Zero Trust) jsme definovali přístup k implementaci komplexního nulová důvěra (Zero Trust) přístupu napříč identitami, koncovými body a zařízeními, daty, aplikacemi, infrastrukturou a sítí. Všechny tyto investice zvyšují viditelnost, což vám dává lepší data pro rozhodování o důvěryhodnosti. Přijetím přístupu nulová důvěra (Zero Trust) v těchto šesti oblastech však nutně zvýšíte počet analytiků bezpečnostních operací (SOC), které potřebují zmírnit. Vaši analytici se stávají rušnější než kdy jindy, když už je nedostatek talentů. To může vést k chronické únavě výstrah a analytikům chybí kritická upozornění.
S každou z těchto jednotlivých oblastí, které vytvářejí vlastní relevantní výstrahy, potřebujeme integrovanou schopnost spravovat výsledný nárůst dat, abychom lépe bránili hrozbám a ověřili důvěru v transakci.
Chcete, aby tato možnost:
- Detekujte hrozby a ohrožení zabezpečení.
- Vyšetřovat.
- Zareagovat.
- Lovit.
- Poskytnutí dalšího kontextu prostřednictvím analýzy hrozeb
- Posouzení ohrožení zabezpečení
- Získání pomoci od špičkových odborníků
- Zabraňte nebo zablokujte události v rámci pilířů.
Správa hrozeb zahrnuje reaktivní i proaktivní detekci a vyžaduje nástroje, které podporují obojí.
Reaktivní detekce je, když se incidenty aktivují z jednoho ze šesti pilířů, které je možné prozkoumat. Kromě toho produkt pro správu, jako je SIEM, bude pravděpodobně podporovat další vrstvu analýz, která bude rozšiřovat a korelovat data, což vede k označení incidentu jako špatného. Dalším krokem by pak bylo prozkoumat, abyste získali úplný příběh útoku.
Proaktivní zjišťování spočívá v tom, že na data použijete proaktivní vyhledávání, abyste prokázali ohroženou hypotézu. Proaktivní vyhledávání hrozeb začíná předpokladem, že jste byli porušeni – hledáte důkaz o tom, že skutečně došlo k porušení zabezpečení.
Proaktivní vyhledávání hrozeb začíná hypotézou založenou na aktuálních hrozbách, jako jsou útoky phishing covid-19. Analytici začínají s touto hypotetickou hrozbou, identifikují klíčové ukazatele ohrožení a proaktivní vyhledávání dat, abyste zjistili, jestli nedošlo k ohrožení prostředí. Pokud existují indikátory, scénáře proaktivního vyhledávání můžou vést k analýzám, které by organizace informovaly, pokud by se určité indikátory znovu vyskytly.
V obou směrech, jakmile se zjistí incident, musíte ho prozkoumat, abyste vytvořili kompletní příběh útoku. Co dalšího udělal uživatel? Jaké další systémy byly zapojeny? Jaké spustitelné soubory byly spuštěny?
Pokud šetření vede k tomu, že se naučíte reagovat, můžete provést nápravné kroky. Pokud například vyšetřování odhalí mezery v nasazení nulové důvěryhodnosti, je možné zásady upravit, aby tyto mezery řešily a zabránily budoucím nežádoucím incidentům. Kdykoli je to možné, je žádoucí automatizovat nápravné kroky, protože zkracuje dobu potřebnou pro analytika SOC k vyřešení hrozby a přechodu na další incident.
Další klíčovou komponentou při posuzování hrozeb je začlenění známé inteligence hrozeb proti přijatým datům. Pokud je známo, že ip adresa, hodnota hash, adresa URL, soubor, spustitelný soubor atd. jsou chybné, dají se identifikovat, prošetřit a opravit.
V pilíři infrastruktury jsme strávili čas na řešení ohrožení zabezpečení. Pokud je systém známý jako ohrožený a hrozba využila tuto chybu zabezpečení, jedná se o něco, co by mohlo být zjištěno, vyšetřováno a opravováno.
Abyste mohli tyto taktiky použít ke správě hrozeb, měli byste mít centrální konzolu, která správcům SOC umožní zjišťovat, zkoumat, opravovat, hledat, využívat analýzu hrozeb, porozumět známým ohrožením zabezpečení, spoléhat se na odborníky na hrozby a blokovat hrozby napříč některým ze šesti pilířů. Nástroje potřebné k podpoře těchto fází fungují nejlépe, pokud jsou konvergované do jednoho pracovního postupu a poskytují bezproblémové prostředí, které zvyšuje efektivitu analytika SOC.
Bezpečnostní operační centra často nasazují kombinaci technologií SIEM a SOAR ke shromažďování, zjišťování, zkoumání a reakci na hrozby. Microsoft nabízí Microsoft Sentinel jako svou nabídku SIEM jako služby. Microsoft Sentinel ingestuje všechna data Microsoft Defenderu for Identity a třetích stran.
Microsoft 365 Defender, klíčový kanál do Služby Azure Sentinel, poskytuje jednotnou sadu podnikových obrany, která přináší ochranu, detekci a reakci na kontext napříč všemi komponentami Microsoftu 365. Díky tomu, že zákazníci, kteří používají Microsoft 365, můžou získat přehled a ochranu napříč koncovými body, nástroji pro spolupráci, identitami a aplikacemi.
Prostřednictvím této hierarchie umožňujeme našim zákazníkům maximalizovat jejich zaměření. I když rozpoznávání kontextu a automatizované nápravy může Microsoft 365 Defender detekovat a zastavit mnoho hrozeb, aniž by bylo nutné přidat další únavu výstrah pro již přetížené pracovníky SOC. Pokročilý proaktivní vyhledávání v programu Microsoft 365 Defender přináší tento kontext pro vyhledávání a zaměřuje se na mnoho klíčových bodů útoku. A proaktivní vyhledávání a orchestrace v celém ekosystému prostřednictvím služby Azure Sentinel poskytuje možnost získat správný přehled o všech aspektech heterogenního prostředí, a přitom minimalizovat kognitivní přetížení operátora.
Viditelnost, automatizace a orchestrace nulová důvěra (Zero Trust) cílů nasazení
Při implementaci komplexní architektury nulová důvěra (Zero Trust) pro viditelnost, automatizaci a orchestraci doporučujeme zaměřit se nejprve na tyto počáteční cíle nasazení: |
|
|
|
Po dokončení se zaměřte na tyto další cíle nasazení: |
|
|
Příručka pro viditelnost, automatizaci a orchestraci nulová důvěra (Zero Trust) nasazení
Tato příručka vás provede kroky potřebnými ke správě viditelnosti, automatizace a orchestrace podle principů architektury zabezpečení nulová důvěra (Zero Trust).
|
Počáteční cíle nasazení |
I. Vytvoření viditelnosti
Prvním krokem je vytvoření viditelnosti povolením služby Microsoft Threat Protection (MTP).
Postupujte následovně:
- Zaregistrujte si jednu z úloh Microsoftu 365 Defenderu.
- Povolte úlohy a navazujte připojení.
- Nakonfigurujte detekci na vašich zařízeních a infrastruktuře, abyste mohli okamžitě vidět aktivity probíhající v prostředí. To vám poskytne důležité "vytáčení tónu", aby se spustil tok důležitých dat.
- Povolte Microsoft 365 Defenderu, abyste získali viditelnost napříč úlohami a detekci incidentů.
II. Povolení automatizace
Dalším klíčovým krokem po navázání viditelnosti je povolení automatizace.
Automatizovaná šetření a náprava
S Microsoft 365 Defenderem jsme automatizovali šetření i nápravu, která v podstatě poskytuje další analýzu SOC vrstvy 1.
Automatizované šetření a náprava (AIR) je možné povolit postupně, abyste mohli vyvinout úroveň pohodlí s akcemi, které se provádějí.
Postupujte následovně:
- Povolte funkci AIR pro testovací skupinu.
- Analyzujte kroky šetření a akce odezvy.
- Postupně přejděte na automatické schvalování pro všechna zařízení, abyste zkrátili dobu detekce a odezvy.
Propojení datových konektorů Microsoft Purview a relevantních produktů třetích stran s Microsoft Sentinelem
Aby bylo možné získat přehled o incidentech, které jsou výsledkem nasazení modelu nulová důvěra (Zero Trust), je důležité propojit Microsoft 365 Defender, datové konektory Microsoft Purview a relevantní produkty třetích stran do služby Azure Sentinel, aby bylo možné poskytnout centralizovanou platformu pro vyšetřování a reakci na incidenty.
V rámci procesu datového připojení je možné povolit relevantní analýzy pro aktivaci incidentů a sešitů pro grafické znázornění dat v průběhu času.
Propojení dat analýzy hrozeb s Microsoft Sentinelem
I když jsou strojové učení a fúzní analýzy k dispozici, je také užitečné ingestovat data analýzy hrozeb do Microsoft Sentinelu, aby bylo možné identifikovat události, které souvisejí se známými špatnými entitami.
|
Další cíle nasazení |
III. Povolení dalších ovládacích prvků ochrany a detekce
Povolení dalších ovládacích prvků zlepšuje signál přicházející do Microsoftu 365 Defenderu a Sentinelu, aby se zlepšila viditelnost a schopnost orchestrovat odpovědi.
Kontrolní mechanismy redukce prostoru útoku představují jednu takovou příležitost. Tyto ochranné kontroly nejen blokují určité aktivity, které jsou nejvíce spojené s malwarem, ale také se snaží použít konkrétní přístupy, které mohou pomoci odhalit nežádoucí uživatele využívající tyto techniky dříve v procesu.
Produkty popsané v této příručce
Microsoft Azure
Microsoft Defender for Identity
Microsoft 365
Série průvodce nasazením nulová důvěra (Zero Trust)