Rychlá detekce anomálií a reakce (Secure Future Initiative)

Název pilíře: Monitorování a detekce hrozeb

Název vzoru: Rychlá detekce anomálií a odezva

Kontext a problém

Moderní aktéři hrozeb se rychle a tiše pohybují. Bez schopnosti detekovat neobvyklou aktivitu v reálném čase riskují organizace, že útočníkům umožní přesunout se laterálně, eskalovat oprávnění nebo exfiltrovat data, než si dokonce všimnou. Detekce anomálií ve velkém měřítku ale představuje problémy:

  • Objem a rozmanitost anomálií mohou zahltit bezpečnostní týmy falešně pozitivními výsledky.
  • Nekonzistentní protokolování a telemetrie způsobují, že zjišťování je nespolehlivé nebo opožděné.
  • Omezená automatizace a nízká kvalita dat zpomalují šetření a brání efektivní reakci.
  • Tajnosti vložené do kódu nebo systémů mohou být zneužity ještě předtím, než je odhalena anomálie, což zvyšuje riziko.

Bez proaktivního, inteligentního a automatizovaného systému pro identifikaci a reakci na anomálie můžou aktéři hrozeb zneužít slepá místa a narušit provoz beztrestností.

Řešení

Microsoft implementoval rychlou detekci anomálií a reakce v rámci zabezpečené budoucí iniciativy, aby posílila svůj defenzivní postoj. Cílem: detekovat neobvyklé chování v reálném čase, korelovat ho s taktikou aktéra hrozeb a aktivovat rychlé automatizované odpovědi.

Přístup Microsoftu zahrnuje:

  • Vylepšené zabezpečení identit pomocí nových funkcí zabezpečení Entra ID pro zabezpečení sdílených přihlašovacích údajů napříč systémy produktivity, jako jsou e-maily, OneDrive, SharePoint a Teams.
  • Implementace sjednoceného standardizovaného logování auditu napříč všemi službami a prostředími pro posílení spolehlivých detekčních schopností.
  • Integrace detekčních modulů s platformami SIEM a SOAR, jako jsou Microsoft Sentinel a Microsoft Defender for Cloud Apps, za účelem zjednodušení třídění a zrychlení automatizovaných odpovědí
  • Použití analýzy chování uživatelů a entit (UEBA) k monitorování aktivit, jako je nemožné cestování, zneužití přihlašovacích údajů nebo neobvyklý přístup z zřídka používaných zařízení.
  • Povolení komplexního monitorování rozhraní API, koncových bodů a akcí uživatelů za účelem zajištění viditelnosti napříč hybridními prostředími

Díky přesunu nad rámec detekce založeného na podpisu a nasazení analýzy chování, která cílí na taktiku, techniky a postupy reálného útočníka (TTPs), můžou naše bezpečnostní týmy rychle identifikovat vzory spojené se zneužitím přihlašovacích údajů, laterálním pohybem, zneužitím oprávnění a exfiltrací dat. To jim umožňuje rychle implementovat cílené detekce mapované na toto chování.

Od září 2024 společnost Microsoft přidala více než 200 detekcí hlavních TTPS napříč infrastrukturou Microsoftu. Ty jsou průběžně upřesňovány pomocí cvičení červeného týmu, aktualizací informací o hrozbách a analýzy po incidentech.

Tato kombinace strojového učení, automatizace a behaviorální analýzy zajišťuje, že Microsoft dokáže detekovat hrozby a reagovat na ně v sekundách – ne na hodiny.

Vodítko

Organizace můžou použít podobný model pomocí následujících postupů, které je možné provést:

Případ použití Doporučená akce Zdroj
Stanovení standardních hodnot chování
  • Pomocí statistických modelů a strojového učení můžete definovat normální aktivitu napříč systémy.
  • Monitorujte síťový provoz, chování uživatelů a systémové události a vytvořte robustní směrný plán.
Standardizace a centralizace protokolů
  • Implementujte jednotnou knihovnu protokolování, která zajišťuje konzistentní telemetrii.
  • Protokoly můžete ukládat v zabezpečeném, neměnném a centralizovaném systému pro přístup v reálném čase.
 Protokolování a auditování zabezpečení Azure
Použití strojového učení a automatizace
  • Pomocí AI můžete detekovat anomálie a automatizovat nápravu hrozeb s vysokou mírou důvěryhodnosti.
  • Průběžně trénujte modely s využitím dat specifických pro prostředí a analýzy hrozeb.
Zabezpečení přihlašovacích údajů a monitorování zneužití
  • Prohledejte všechny zdrojové kódy a závislosti na tajných kódech pomocí nástrojů, jako je GitHub Advanced Security.
  • Povolte ochranu pro push na Git a upřednostněte nápravu živých citlivých údajů.
  • Pokud je to možné, nahraďte přihlašovací údaje řešeními bez hesla, jako je ID Entra a Spravované identity Azure.
 
Integrace pracovních postupů detekce a odpovědí
  • Předá upozornění na anomálie do nástrojů SIEM/SOAR, jako je Microsoft Sentinel pro automatizované třídění a reakce.
  • Vyvíjejte playbooky pro řešení uzamčení účtů, izolace systému a eskalace upozornění.
Průběžné testování a vylepšování
  • Provádění cvičení týmu Red Team a simulací protivníka k testování účinnosti detekce.
  • Zkontrolujte a aktualizujte logiku detekce na základě získaných poznatků.
 Řízení zabezpečení: Penetrační testy a Red Team cvičení

Výsledky

Provádění tohoto cíle vedlo k:

  • Kratší doba setrvání a rychlejší identifikace maskovaných útoků.
  • Automatizovaná náprava vysoce spolehlivě rozpoznaných anomálií
  • Vylepšená efektivita SOC díky nižším falešně pozitivním výsledkům
  • Lepší ochrana tajných kódů a citlivých systémů před zneužitím
  • Škálovatelné adaptivní detekce, které se vyvíjejí spolu s taktikou útočníka

Výhody

  • Obrana v reálném čase: Modely ML zachytá hrozby v sekundách a snižují okno útoku.
  • Konzistentní viditelnost: Centralizované protokolování zajišťuje, že žádné chování nezůstane nemonitorováno.
  • Kratší doba šetření: Vysoce kvalitní výstrahy s kontextovým rozšiřováním zjednodušují pracovní postupy analytiků.
  • Zabezpečené výchozí prostředí: Tajné údaje jsou blokovány při příjmu změn a monitorovány pro odhalení, k zamezení běžných vektorů útoku.

Kompromisy

  • Značné investice do standardizace a infrastruktury detekce telemetrie
  • Vývoj kanálů strojového učení přizpůsobených jedinečnému profilu hrozeb Od Microsoftu
  • Optimalizace prahových hodnot upozornění, aby se zabránilo únavě z upozornění a falešným poplachům
  • Průběžné zásady správného řízení pro zajištění zachování standardů ochrany osobních údajů
  • Kulturní změna, která integruje zpětnou vazbu z řízení červeného týmu do vývoje pravidel pro kontinuální detekci

Klíčové faktory úspěchu

Pokud chcete sledovat úspěch, změřte následující:

  • Střední doba detekce (MTTD) a reakce (MTTR) na vysoce rizikové anomálie
  • Procento vyřešených upozornění prostřednictvím automatizace
  • Pokrytí telemetrie rozhraní API a protokolu napříč prostředími
  • Počet živých tajemství zjištěných a opravených za čtvrtletí
  • Falešně pozitivní míra detekce chování
  • Doba do odvolání přihlašovacích údajů po vystavení

Shrnutí

Moderní útočníci se můžou rychle pohybovat mezi systémy, ukrást data nebo získat kontrolu před tím, než si někdo všimne. Organizace by proto měly zacházet s detekcí a reakcí jako s průběžným úsilím – neustále aktualizovat pravidla, zlepšovat automatizaci a přizpůsobovat se novým hrozbám.

Implementací rychlé detekce a reakce na anomálie můžete zlepšit schopnost vaší organizace držet krok před vyvíjejícími se hrozbami.

  • Last updated on