Tietoturvatyökalut luovat signaalin; uhkatietojen avulla voit määrittää toiminnan.
SOC -tiimeille uhkatiedon arvo ei ole siinä, että se lisää uutta tietovirtaa – se parantaa tiettyjä päätöksiä havainnointi- ja vastaustyönkulussa: minkä toiminnan pitäisi käynnistää havaitseminen, mitkä hälytykset priorisoida, missä tutkitaan seuraavaksi, kuinka pitkälle laajuus vastausta ja mitä vahvistaa sen jälkeen.
Tämän vuoksi uhkatiedon ei pitäisi olla SOC ulkopuolella passiivisena syötteenä tai satunnaisena tutkimusresurssina. Hyvin käytettynä siitä tulee osa päivittäistä tietoturvatoimintaa, se muokkaa tunnistuslogiikkaa, rikastuttaa hälytyksiä, ohjaa tutkimuksia, tukee uhkien etsintä ja auttaa torjuntaryhmiä toimimaan oikealla kiireellä.
Miksi SOC tiimit tarvitsevat uhkatietoa parempien tietoturvapäätösten tekemiseksi
Nykyaikaisten SOC-ryhmien odotetaan havaittavan ja reagoivan nopeasti, mutta analyytikot joutuvat usein käsittelemään osittaista näyttöä. Hälytys voi sisältää epäilyttävän verkkotunnuksen, tiedoston tiivisteen, prosessin, kirjautumisen, haavoittuvan omaisuuden tai estyneen yhteyden. Signaali itsessään ei välttämättä kerro, onko toiminta eristetty, osa laajempaa hyökkäysmallia vai riittävän kiireellinen eskaloituakseen välittömästi.
Tämä aiheuttaa käytännön ongelmia. Analyytikot käyttävät aikaa tapahtumiin, jotka ovat teknisesti epäilyttäviä, mutta riskialttiita. Vakava toiminta voi jäädä rutiinihälytysten joukkoon. Aiheeseen liittyvät signaalit voidaan tutkia erikseen. Havaintosäännöt voivat keskittyä ilmaisimiin, jotka hyökkääjät voivat helposti korvata. Vastauspäätökset voivat riippua liian voimakkaasti yksittäisen analyytikon kokemuksesta.
Haasteena ei ole vain hälytysäänen voimakkuus; se on epävarmuutta. Uhkatietoisuus vähentää epävarmuutta tuomalla ulkopuolista tietoa SOC -päätöksiin: aktiiviset kampanjat, tunnettu infrastruktuuri, haittaohjelmien käyttäytyminen, hyödynnetyt haavoittuvuudet, hyökkääjätekniikat, sektorikohdistus ja todennäköisesti seuraavat vaiheet.
Uhkien tiedustelu tukee SOC -työnkulkua
Uhkien tiedustelu parantaa SOC havaitsemista ja reagointia, kun se auttaa tiimejä vastaamaan viiteen toiminnalliseen kysymykseen:
- Mitä meidän tulisi havaita?
- Mitkä hälytykset ovat tärkeimpiä?
- Mistä meidän pitäisi seuraavaksi tutkia?
- Miten meidän pitäisi vastata?
- Mitä meidän pitäisi parantaa jälkeenpäin?
Näillä kysymyksillä on merkitystä, koska SOC ei ole yksittäinen funktio . Havaintotekniikka, triage, tutkinta, uhkien etsintä, häiriötilanteiden hallinta ja jatkuva parantaminen edellyttävät kaikki erilaista älykkyyttä.
Havaintoinsinööri voi tarvita Sigma-, YARA- tai Suricata-tyylistä logiikkaa, kartoitettuja tekniikoita ja uusia indikaattoreita. Ensimmäisen tason analyytikko saattaa tarvita nopeaa hälytysten täydentämistä ja luottamuspisteiden arviointia. Uhkien metsästäjä saattaa tarvita tietoja kampanjasta ja hyökkääjän käyttäytymistä. Hätäkeskus voi tarvita asiaan liittyviä indikaattoreita, todennäköisiä sivuttaisliikereittejä ja suojarakennuksen ohjausta. SOC johtaja saattaa tarvita näkemyksen havaitsemisaukoista, toistuvista hyökkäyskuvioista ja operatiivisista riskeistä.
Uhkatiedon voimakkain käyttö ei ole pelkkä "lisäkonteksti" - se on tiedustelutietoja, jotka toimitetaan tarkasti oikeaan päätöspisteeseen.
Uhkatietojen avulla tunnistustekniikan parantaminen
Havaitseminen alkaa ennen varoitusta, jolloin SOC tiimiä voidaan muuttaa todellisen uhkatoiminnan havaitsemislogiikaksi. Jos kampanja on kohdistettu tietyn alan organisaatioille, käyttämällä tunnettua alkukäyttötapaa tai hyödyntämällä tiettyä haavoittuvuutta, SOC voi käyttää kyseistä tietoa havaintojen luomiseen, virittämiseen tai vahvistamiseen.
Tämä voi sisältää koneellisesti luettavia ilmaisimia, kuten haitallisia IP-osoitteita, verkkotunnuksia, URL-osoitteita ja tiivisteitä. Se voi sisältää myös tunnistussääntöjä, haittaohjelmien allekirjoituksia, haavoittuvuustietoa, komento- ja hallintamalleja ja hyökkääjien käyttäytymistä, jotka on kartoitettu MITER ATT&CK:n kaltaisiin kehyksiin.
Tärkeä ero on, että uhkatiedon hallinta tukee indikaattoreihin ja käyttäytymiseen perustuvaa havaitsemista.
Indikaattorit ovat tärkeitä tunnetun haitallisen toiminnan nopeassa tunnistamisessa, mutta niiden käyttöarvo voi laskea nopeasti. Hyökkääjät voivat kiertää infrastruktuuria, vaihtaa verkkotunnuksia, muuttaa tiivisteitä ja muokata työkaluja. Käyttäytymiseen perustuvaa tunnistusta on usein vaikeampi välttää, koska se keskittyy siihen, mitä hyökkääjien on vielä tehtävä: pääsyn saamiseen, käyttöoikeuksien eskalointiin, kirjautumistietojen tyhjentämiseen, liikkumiseen sivusuunnassa, pysyvyyden vahvistamiseen, kommunikointiin komento-ja-hallinta-infrastruktuurin tai datan lavastamisen kanssa.
Tässä yhteydessä taktinen tiedustelu on erityisen hyödyllistä, sillä se auttaa havaitsemisryhmiä ymmärtämään, miten hyökkääjät käyttäytyvät, eivät pelkästään sitä, mitä esineitä he ovat käyttäneet aiemmin.
Esimerkiksi tietojenkalasteluverkkotunnus voi kadota nopeasti, mutta sitä seuraava tietomurron jälkeinen toiminta – epäilyttävä PowerShell-käyttö, kirjautumistietojen käyttö, epätavallinen etäpalvelun suorittaminen tai epänormaalit todennustavat – voi olla kestävämpää. Uhkatietojärjestelmä auttaa SOC tiimiä rakentamaan havaintoja näiden mallien ympärille. Tuloksena on vahvempi tunnistuspeitto, ei vain pidempi luettelo indikaattoreista.
Uhkatietojen käyttö SOC hälytysten priorisoimiseen lajittelun aikana
Triage on tilanne, jossa SOC päättää, miten analyytikon aikaa käytetään. Kaikki hälytykset eivät ansaitse yhtä kiirettä. Epäilyttävä kirjautuminen, päätepisteiden tunnistus tai verkkoyhteys voi olla vakavampi tilanne, jos se liittyy aktiiviseen kampanjaan, hyödynnettyyn haavoittuvuuteen, komento- ja valvontainfrastruktuuriin, kiristysohjelmien valmisteluun tai uhkatekijään, jonka tiedetään kohdistuvan organisaation toimialaan.
Uhkatietojen avulla analyytikot voivat tehdä eron nopeammin. Esimerkiksi haavoittuvuusvaroitus tulee kiireellisemmäksi, jos tiedustelutiedot osoittavat aktiivista hyväksikäyttöä Internetiin päin olevia järjestelmiä vastaan. Verkkotunnuksen hälytys tulee vakavammaksi, jos verkkotunnus on linkitetty nykyiseen tietojenkalasteluinfrastruktuuriin, joka on kohdistettu samankaltaisiin organisaatioihin. Päätepistetapahtuma ansaitsee nopeamman eskaloinnin, jos käyttäytyminen vastaa tunnettuja tunnistetietojen varkauksia tai sivuttaisliiketekniikoita.
Tässä myös automaattinen rikastaminen on tärkeää. Koneluettava älykkyys voi auttaa SIEM, SOAR-, EDR-, XDR-, NGFW-, IDS/IPS- ja uhkien tiedustelualustoja parantamaan hälytyksiä maine-, luottamus-, lähde-, kampanja- ja indikaattorisuhteilla.
Hyvin käytettynä tämä auttaa analyytikoita erottamaan rutiinikohinat signaaleista, jotka vaativat tarkempaa tutkimusta.
Huonosti käytettynä se voi toimia päinvastoin. Syöte, joka on täynnä vanhentuneita, päällekkäisiä tai heikosti luotettavia indikaattoreita, voi aiheuttaa vääriä positiivisia tuloksia ja lisätä työmäärää. Uhkatietoisuus parantaa triaasia vain, kun se on olennaista, ajantasaista ja integroitu analyytikkojen jo käyttämiin työkaluihin.
Uhkatietojen käyttö SOC -tutkimusten ja uhkien metsästyksen ohjauksessa
Kun hälytyksestä tulee tutkinta, kysymys muuttuu. Analyytikon ei enää tarvitse tietää vain onko jokin epäilyttävää; heidän on tiedettävä, mitä muuta voidaan yhdistää.
Onko tiedosto linkitetty tunnettuun haittaohjelmaperheeseen? Onko verkkotunnus esiintynyt nykyisessä kampanjassa? Onko infrastruktuuri edelleen aktiivinen? Muistuttaako toiminta kiristyshaittaohjelmia, tilin haltuunottoa, verkon hyväksikäyttöä tai APT-toimintaa? Onko olemassa liittyviä indikaattoreita, joita voit etsiä eri puolilta ympäristöä?
Uhkatietojen avulla tutkimukset siirtyvät yksittäisistä todisteista työhypoteesiin.
Ihmisten luettava älykkyys on erityisen tärkeää tässä. Kampanjaraportointi, haittaohjelmien analysointi, hiekkalaatikko, tiedostojen samankaltaisuus, vaikuttavuus, digitaalinen jalanjälkitieto ja analyytikkotutkimus voivat auttaa tutkijoita ymmärtämään todennäköisen hyökkäyspolun.
Tämä tukee myös uhkien metsästystä. Sen sijaan, että hakisivat laajasti "kaikkia epäilyttävää", metsästäjät voivat etsiä tiettyjä käyttäytymismalleja, jotka liittyvät asiaankuuluviin kampanjoihin, sektoreihin, haavoittuvuuksiin tai hyökkääjien tekniikoihin.
Jos esimerkiksi tiedustelutiedot osoittavat, että uhkatekijä hyökkää teollisuuden organisaatioihin avoimen etäkäytön kautta, metsästäjät voivat etsiä epätavallisia todennusmalleja, epäilyttävää hallintatyökalujen käyttöä, liittyvää infrastruktuuria ja käytön jälkeistä toimintaa. Jos tiedustelutiedot osoittavat, että kiristyshaittaohjelma suorittaa tyypillisesti tietojen välivaiheen ennen salausta, metsästäjät voivat etsiä pakkaustoimintoa, epätavallista arkiston luomista, suuria sisäisiä siirtoja tai pääsyä arkaluonteisiin tiedosto-osuuksiin.
Uhkatietotiedosta tulee kartta tutkinnassa. Se ei korvaa analyytikoiden harkintaa, mutta se auttaa analyytikoita päättämään, minne etsiä seuraavaksi.
Uhkatietojen avulla parannetaan vaaratilanteiden reagoinnin laajuutta ja nopeutta
Vaikeimmat vastauspäätökset ovat usein laajuuskysymyksiä. Pitäisikö SOC tunnisteen estää pääsy epäilyttävään verkkotunnukseen, IP-osoitteeseen tai URL-osoitteeseen, vai eskaloidako tietohäiriövastaus? Pitäisikö yksi isäntä eristää vai pitäisikö tiimin etsiä siihen liittyviä kompromisseja useiden järjestelmien välillä? Pitäisikö kirjautumistiedot nollata? Pitäisikö haavoittuva järjestelmä korjata pikaisesti? Pitäisikö laki-, riski- tai johtoryhmille tiedottaa?
Uhkatietoisuus auttaa tiimejä välttämään kaksi yleistä virhettä: alireagoiminen vakavaan toimintaan ja ylireagointi heikkoihin signaaleihin.
Jos tiedustelutiedot yhdistävät havaitun toiminnan kiristysohjelmien käyttöönottoon, torjuntaryhmien on ehkä eristettävä ongelman kohteena olevat järjestelmät, etsittävä kirjautumistietovarkauksia, tarkistettava sivuttaisliike ja suojattava varmuuskopioinfrastruktuuri. Jos verkkotunnuksen luotettavuus on alhainen eikä se liity aktiiviseen infrastruktuuriin, mitattu vastaus voi olla sopiva.
Uhkatietoisuus voi myös parantaa vastausohjeita. Yleinen haittaohjelmien pelikirja voi kehottaa analyytikoita eristämään isäntä, keräämään todisteita ja estämään indikaattoreita – kaikki ovat tarpeeksi hyödyllisiä. Uhkatietoinen pelikirja on kuitenkin tarkempi: mitä esineitä etsitään, mihin järjestelmiin voidaan kohdistaa seuraavaksi, mitkä pysyvyysmenetelmät ovat todennäköisiä, mitkä tunnistetiedot voivat olla vaarassa ja mitä torjuntatoimenpiteitä suositellaan.
Tämä on erityisen hyödyllistä tilanteissa, joissa nopeus on tärkeintä. Koska analyytikoilla ei ole aikaa tutkia kaikkia mahdollisuuksia tyhjästä, he tarvitsevat älykkyyttä, joka auttaa heitä toimimaan oikeasuhteisesti ja nopeasti.
Uhkatietojen vahvistaminen SOC kypsyyden parantamiseksi ajan mittaan
Uhkatietojen käyttö ei ole hyödyllistä vain reaaliaikaisten hälytysten ja vaaratilanteiden aikana – se auttaa myös SOC tiimejä parantamaan toimintamalliaan.
Tutkinnan jälkeen tiedustelu voi auttaa tiimejä tunnistamaan, mitkä havainnot toimivat, mitkä signaalit jäivät huomioimatta ja mitä valvontaa on vahvistettava. Jos tapahtumaan liittyy tekniikka, jota nykyinen analytiikka ei kata, tunnistustekniikka voi täyttää aukon. Jos analyytikoilla on vaikeuksia ymmärtää kampanjaa, tietovaatimuksia voidaan jalostaa. Jos vastaus oli epäjohdonmukainen, pelikirjat voidaan päivittää.
Tämä luo palautesilmukan:
- Uhkatietojen ilmoittaminen havainnoista.
- Havainnot luovat hälytyksiä.
- Hälytykset johtavat tutkimuksiin.
- Tutkimukset paljastavat aukkoja.
Nämä aukot parantavat älykkyysvaatimuksia, tunnistuslogiikkaa ja vastausprosesseja. Ajan mittaan tämä auttaa SOC tarkentumaan, jolloin se vähentää kuolleita kulmia, parantaa havaitsemisen kattavuutta, ohjaa pöytäharjoituksia, tukee vastustajan emulointia ja antaa johtajille selkeämmän kuvan operatiivisista riskeistä.
Myös SOC konsultointi, kompromissien arviointi, hätätilanteiden reagointivalmius ja uhkien metsästyskoulutus voivat vahvistaa tiedustelutietojen arvoa. Työkaluilla on merkitystä, mutta prosessit, taidot ja asiantuntijaohjaus määräävät, muuttaako älykkyys tuloksia.
Yleisiä syitä uhkatiedon epäonnistumiseen SOC -toiminnassa
Uhkatiedon epäonnistuminen epäonnistuu, kun sitä käsitellään tiedonkeruuharjoituksena eikä päätöksentekokykynä.
Yleisiä ongelmia ovat:
- Huonosti suodatetut syötteet, jotka aiheuttavat melua ennen kuin ne tavoittavat analyytikot tai päätepisteiden valvontaa
- Vanhentuneet ilmaisimet
- Ei selkeitä tietoturvavaatimuksia
- Rajoitettu integrointi SIEM, SOAR-, EDR-, XDR- tai tapausten hallinnan työnkulkuihin
- Liiallinen riippuvuus ilmaisimista hyökkääjän toiminnan sijaan
- Hyödyllisiä raportteja tutkijoille, mutta ei analyytikoiden käytettävissä
- Ei palautesilmukkaa SOC löydösten ja tiedusteluprioriteettien välillä
- Ei selkeää omistajaa tiedustelutietojen muuttamiseen havainnoista, metsästyksistä, pelikirjoista tai vastaustoimista.
Ongelmana on harvoin tiedon puute, vaan tiedon ja käytön välinen kuilu. SOC ei tarvitse kaikkia mahdollisia indikaattoreita, mutta se tarvitsee sen ympäristön kannalta olennaista, päätöksentekohetkellä käytettävissä olevaa älykkyyttä, johon analyytikot voivat luottaa.
Operationalisoitu uhkatiedustelu kypsässä SOC :ssa
Kypsä SOC käyttää uhkatietoa useissa muodoissa.
Koneluettava älykkyys tukee automaatiota ja työkalujen integrointia. Se syöttää SIEM, SOAR-, EDR-, XDR-, NGFW-, IDS/IPS- ja uhkien tiedustelualustoille indikaattoreita, sääntöjä ja jäsenneltyä dataa, jotka voivat täydentää hälytyksiä, tukea estosta ja nopeuttaa alkutunnistetta.
Ihmisten luettavissa oleva älykkyys tukee analyytikoiden harkintaa. Se selittää kampanjat, haittaohjelmat, hyökkääjien käyttäytymisen, infrastruktuurin, tekijän, alakohdistuksen ja todennäköiset seuraavat vaiheet.
Koneella luettavan ja ihmisen luettavissa olevan älykkyyden lisäksi asiantuntijatuki auttaa monimutkaisissa kysymyksissä ja asiantuntijatuki monimutkaisissa kysymyksissä. Näitä voivat olla analyytikoiden käyttöoikeudet, tapaturmien tuki, uhkien etsintäopastus, SOC kypsyystyö tai strategisia neuvoja siitä, miten tiedustelu tulisi integroida tietoturvatoimintoihin.
Tavoitteena on tehdä älykkyydestä käyttökelpoinen SOC -työnkulussa, ei vain rakentaa suurempaa tietokirjastoa.
Tämä tarkoittaa vaatimusten määrittämistä, älykkyyden integroimista työkaluihin, relevanttien toimintojen kartoittamista havaintoihin, tutkimusten tukemista syvemmällä analyysillä ja oppituntien palauttamista SOC parantamiseen.
Anna SOC: lle sen tarvitsemat tiedot havaitakseen asiaankuuluvat uhat nopeammin, priorisoidakseen hälytyksiä nopeammin ja vastatakseen tarkasti. Tutustu siihen, miten Kaspersky Threat Intelligence auttaa yritystietoturvatiimiä muuttamaan uhkatiedot käytännön toimiksi
