Sicherheitsteams stehen vor einer ständigen Herausforderung: Die Tools sind vorhanden, die Warnmeldungen gehen ein, doch oft fehlen das Fachwissen und die Kapazitäten, um auf die Erkenntnisse aus den Daten zu reagieren.
HuntIQ ist Taniums Antwort auf diese Lücke: eine dreiteilige, fortschrittliche Support-Option, die die fortschrittlichen Forschungs-Dashboards von Guardian, die Funktionen von Tanium Security Operations sowie erfahrene, praxisorientierte Bedrohungsjäger kombiniert, die 12 Monate lang direkt in den Kundenumgebungen eingesetzt werden.
Michael Bailey, Director for Threat Hunting bei Tanium, bringt mehr als 20 Jahre Erfahrung (einschließlich der Analyse von Malware und Datenpaketen auf nationaler Ebene für das Verteidigungsministerium) mit, um diese Initiative zu leiten und gemeinsam mit zu definieren, wie proaktive Bedrohungssuche in Unternehmensumgebungen in großem Maßstab aussieht.
In dieser Folge erläutert Michael, was HuntIQ ist, wie die drei Komponenten des Systems zusammenwirken und wie das Einsatzmodell in der Praxis aussieht. Er erläutert, wie Bedrohungsjäger Hypothesen mithilfe datengestützter, informationsgestützter, entitätsorientierter und TTP-basierter Ansätze entwickeln, und warum das 12-monatige Projektmodell von zentraler Bedeutung ist, um einen Mehrwert zu schaffen, den viele kurzfristige Sicherheitsprojekte möglicherweise nicht bieten können. Er geht zudem auf eine Frage ein, die sich viele Sicherheitsexperten stellen, wenn sie zum ersten Mal von HuntIQ hören: Wird dieses Team meine derzeitigen Mitarbeiter ersetzen?
Michael veranschaulicht zudem, wie die Echtzeit-Datenerfassungsfunktionen von Tanium und die auf Jupyter Notebook basierenden Hunter-Tools den gesamten Workflow der Bedrohungssuche unterstützen – von der Hypothese über die Analyse bis hin zur wiederholbaren, dokumentierten Erkennung.
Falls Ihr Sicherheitsteam Schwierigkeiten hat, das Beste aus Ihrer Tanium-Investition herauszuholen oder Lücken in der Transparenz Ihrer gesamten Umgebung zu schließen, sollten Sie sich diese Folge unbedingt ansehen. Sehen Sie sich die gesamte Folge unten an.
Wichtige Erkenntnisse
- Die drei Komponenten von HuntIQ: HuntIQ besteht aus dem hochqualifizierten Forschungsteam von „ “ Guardian (das Guardian-Dashboards erstellt, welche Führungskräften und Sicherheitsteams relevante Informationen über ihre Infrastruktur liefern), dem Tanium-Produkt für den Sicherheitsbetrieb (Direct Response, das IR-Produkt, das sich zu „Security Operations“ weiterentwickelt) sowie erfahrenen, praxisorientierten Bedrohungsjägern, die seit 12 Monaten direkt in den Kundenumgebungen tätig sind.
- Das 12-monatige Beratungsmodell „“: Im Gegensatz zu kurzfristigen „Scan-and-Report“-Projekten verbringen die HuntIQ-Berater 12 Monate damit, die geschäftlichen Anwendungsfälle, Probleme und Fähigkeiten eines Kunden kennenzulernen, wobei Kunden die Unterstützung bei der Umsetzung häufig als eine der wichtigsten Wertquellen dieser Dienstleistung nennen.
„“ Eines der Dinge, die ich an der Sicherheitsbranche nicht mag, ist diese Einstellung: „Hey, bezahlen Sie mich.“ „Ich komme kurz vorbei, führe ein paar Scans durch, übergebe Ihnen ein Produkt und gehe dann wieder, richtig?“Ein sehr kurzfristiges Engagement – unsere Arbeit unterscheidet sich grundlegend davon.”Michael Bailey, Leiter des Bereichs „Threat Hunting“ bei Tanium
- Konkrete Kundenerfolge aus der „Private Preview“ v: Erste Kundenimplementierungen zeigten, dass HuntIQ in der Lage ist, böswillige Treiberaktivitäten – einschließlich Krypto-Mining – in Umgebungen aufzudecken, in denen herkömmliche Sicherheitstools blinde Flecken aufwiesen.
„. Wir haben bei diesem einen Kunden 46 000 Treiber überprüft und dabei 16 potenziell schädliche Treiber gefunden.“ Ein Teil davon betraf konkret das Schürfen von Kryptowährungen, das innerhalb ihrer Umgebung stattfand.”Michael Bailey, Leiter des Bereichs „Threat Hunting“ bei Tanium
- Teams stärken, statt sie zu ersetzen: Die „Hunter“ von HuntIQ arbeiten direkt mit dem vorhandenen Sicherheitspersonal zusammen, schulen dieses in der Nutzung der Tanium-API und der fortschrittlichen Tools und stellen den Kunden die vom Team entwickelten „Hunter“-Tools zur Verfügung, sodass der Nutzen der Zusammenarbeit weit über einzelne „Hunts“ hinausgeht.
„Wir sind nicht hier, um ihnen die Arbeitsplätze wegzunehmen.“ „Wir sind da, um sie als Teil ihres Teams zu unterstützen.“Michael Bailey, Leiter des Bereichs „Threat Hunting“ bei Tanium
- Kategorien von Hypothesen zur Bedrohungssuche: Die Suche basiert auf datengestützten Beobachtungen, Informationsfeeds, unternehmensspezifischem Wissen darüber, was für das Unternehmen am wichtigsten ist, TTPs (Taktiken, Techniken und Verfahren) von Advanced Persistent Threats (APTs) oder hybriden Kombinationen all dieser Elemente, wobei unternehmensspezifische Suchansätze als entscheidendes Unterscheidungsmerkmal hervorgehoben werden, da sie eine umfassende Vertrautheit mit der Kundenumgebung erfordern.
- Tanium als zentrale Quelle für Transparenz: Tanium kann Unternehmen dabei unterstützen , Lücken in der Endpunkttransparenz innerhalb ihres gesamten Sicherheitsstacks aufzudecken, Daten zu validieren, Fragen zu beantworten, die von anderen Tools aufgeworfen werden, und in einigen Fällen Daten zu erfassen, die an anderer Stelle möglicherweise nicht zutage getreten sind – darunter ein Beispiel eines 2023 -Kunden, bei dem es um eine bösartige Verknüpfung ging, die von bestehenden Kontrollmechanismen nicht erkannt worden war.
- Jupyter-Notebooks als Tools für die Sicherheitsüberprüfung: Das HuntIQ-Team nutzt Jupyter-Notebooks und Python für die Datenanalyse und erstellt so wiederholbare und dokumentierte Sicherheitsüberprüfungen, die direkt an Kunden weitergegeben und an die Tanium-Entwicklungsabteilung zurückgemeldet werden können, um sie möglicherweise in das Produkt selbst zu integrieren.
Weitere Ressourcen
- Tanium Threat Response – Funktionen zur Erkennung und Reaktion auf Endgeräten: Entdecken Sie das Tanium-Produkt, das das Herzstück der HuntIQ-Komponente für Sicherheitsoperationen bildet, und erfahren Sie, wie es die Erkennung, Untersuchung und Reaktion in Ihrer gesamten Endgeräteumgebung unterstützt.
- Wie Tanium HuntIQ von Experten geleitete Bedrohungssuche für Sicherheitsteams in Unternehmen bereitstellt: Ein genauerer Blick auf HuntIQ und darauf, wie die erfahrenen Bedrohungsjäger von Tanium mit Sicherheitsteams zusammenarbeiten, um komplexe Bedrohungen proaktiv aufzudecken und die Sicherheitsabläufe zu stärken.
- Tanium Threat Response 4,12 – Benutzerhandbuch zur Erkennung, Untersuchung und Reaktion auf Vorfälle: Technische Dokumentation zur Konfiguration und Nutzung von Tanium Threat Response für das Alarmmanagement, die Erkennung und die Untersuchung von Endgeräten.
