تجزیه و تحلیل و بصری‌سازی هشدارها

از هر عضوی از تیم SOC بپرسید، آن‌ها تایید خواهند کرد: خستگی ناشی از هشدارها واقعی است. یکی از مهم‌ترین قابلیت‌ها برای مبارزه با این خستگی، بصری‌سازی‌هایی است که به تحلیل‌گران اجازه می‌دهد هشدارها را تجزیه و تحلیل کنند. با ابزارهای مناسب، تحلیل‌گران می‌توانند به سرعت و به راحتی درک کنند که در طول توالی حمله چه اتفاقی افتاده است. این کمک می‌کند سیاست‌هایی برای جلوگیری از وقوع مجدد حملات مشابه تنظیم شوند.

ایده خوبی است که قابلیت‌های بصری‌سازی هشدارهایی که هر فروشنده EDR ارائه می‌دهد را بررسی کنید. به دنبال راه‌حل‌هایی باشید که تمام رویدادهای مرتبط با هشدار را به صورت بصری نمایش دهند. شما باید بتوانید یک فرآیند یا رویداد خاص را انتخاب کنید تا شهرت، تاکتیک‌ها، تکنیک‌ها و روش‌ها (TTPs)، خط فرمان استفاده شده و اطلاعات دیگر را ببینید. بصری‌سازی باید اطلاعات قابل عملیاتی درباره رویدادهایی که در طول یک هشدار رخ داده‌اند، از جمله جایی که پیشگیری اعمال شده، منبع و آنچه مهاجم ممکن است تلاش کرده باشد، ارائه دهد. شما نباید به چیزی کمتر از این رضایت دهید.

موارد استفاده از EDR: شکار تهدید

شکار تهدید برای صنعت جدید نیست، اما قطعاً یک مفهوم جدید برای بسیاری از تیم‌های امنیتی، به ویژه آن‌هایی که تازه با EDR آشنا شده‌اند، می‌باشد. شکار تهدید عبارت است از جستجوی شاخص‌های تهاجم (IOCs) در سرورهای ابری عمومی و خصوصی، نقاط انتهایی و شبکه‌ها. این شاخص‌ها می‌توانند نشانه‌ای از تهاجم، نفوذ یا استخراج داده باشند.

شکار تهدید با پاسخ به حادثه متفاوت است زیرا شکار تهدید پیشگیرانه است، در حالی که پاسخ به حادثه واکنشی است. با این حال، این دو نقش دست در دست هم کار می‌کنند. در واقع، بسیاری از تیم‌های امنیتی اعضای کارکنان خود را به وظیفه شکار تهدید اختصاص می‌دهند؛ اغلب این افراد پاسخ‌دهندگان موفق به حادثه هستند که تجربه‌شان به آن‌ها کمک می‌کند تا به درستی رفتار مهاجم را پیش‌بینی کنند و بدانند که در مرحله بعد چه کاری انجام خواهند داد.

برای بهینه‌سازی شکار تهدید و اطمینان از اثربخشی آن، به دنبال راه‌حل‌هایی باشید که داده‌های جامع و اطلاعات تهدید گسترده جمع‌آوری می‌کنند، که تمام اطلاعات مورد نیاز شما را برای شکار پیشگیرانه تهدیدات، کشف رفتار مشکوک، مختل کردن حملات در حال انجام، تعمیر سریع آسیب، مدیریت آسیب‌پذیری و رسیدگی به نقاط ضعف در دفاع‌ها فراهم می‌کنند. راه‌حل‌های برتر به شما اجازه می‌دهند تا داده‌های خام و فیلتر نشده نقاط انتهایی را جستجو کنید، حتی اگر نقطه انتهایی آفلاین باشد. با ایجاد فهرست‌های نظارتی خودکار، باید بتوانید شکار خود را در سراسر شرکت‌های بزرگ مقیاس دهید و هرگز دو بار یک تهدید را شکار نکنید.

تحقیقات قانونی

شناسایی دقیق چگونگی وقوع یک نفوذ، از جمله شناسایی تاکتیک‌ها، تکنیک‌ها و روش‌ها (TTPs) و درک مسیرهایی که مهاجمان طی کرده‌اند، برای جلوگیری از حملات مشابه در آینده حیاتی است. اینجا است که دید گسترده وارد می‌شود: هر چه داده‌های بیشتری در اختیار محققان قانونی باشد، تحلیل آن‌ها دقیق‌تر خواهد بود.

راه‌حل EDR شما باید بتواند کل زنجیره حمله را بصری‌سازی کند. این کار شناسایی علت اصلی یک حادثه را آسان‌تر می‌کند. تحلیل‌گران باید بتوانند به سرعت از هر مرحله حمله عبور کنند تا به رفتار مهاجم پی ببرند، نقاط ضعف امنیتی را ببندند و از هر تکنیک حمله جدیدی درس بگیرند.