Organisationen können es sich nicht leisten, vollständig von einem Sicherungsseil aus Datenfeeds in einer Größe abhängig zu bleiben, um Angriffe zu erkennen. Taniums Chief Security Architect Ryan Kazanciyan bietet Anleitungen, wie Sie die besten Bedrohungsdaten finden, um die einzigartigen Bedürfnisse Ihres Unternehmens zu erfüllen.
Bitten Sie einen CISO, seine oder ihre wichtigsten Prioritäten zu identifizieren, und Sie werden durchgehend ein Element oben auf der Liste hören: eine bessere Nutzung von Bedrohungsdaten. Tatsächlich hat sich Threat Intelligence zu einem Milliarden-Dollar-Segment der Cybersicherheitsbranche entwickelt und ist ein Schwerpunkt zahlreicher Cybersicherheitsrichtlinien und legislativer Bemühungen, wie dem Cybersecurity Information Sharing Act von 2015.
Aber ein kritisches Problem wird oft übersehen: Wo können Unternehmen mit begrenzten Ressourcen und einer Vielzahl von Bedrohungsindikatoren die besten Informationen über ihre Netzwerke finden? Ich habe letzte Woche auf dem Cyber Disrupt Summit des Center for Strategic and International Studies in Washington, DC, über dieses Thema gesprochen.
Das Teilen von Bedrohungsdaten hat Wert und Einschränkungen – und es ist wichtig für Organisationen und politische Entscheidungsträger, zu verstehen, was dies sind, wie sie berücksichtigt werden und welche zusätzlichen Strategien priorisiert werden müssen.
Die Grenzen von Bedrohungsdaten
Die zwischen Organisationen geteilten Bedrohungsdaten haben drei wichtige, miteinander verbundene Grenzen:
- Es ist für Angreifer einfach, ihre digitalen „Fußabdrücke“ zu ändern. Die Bedrohungsindikatoren, die normalerweise von Organisationen gemeinsam genutzt werden – Netzwerkadressen, Datei-Hashes, DNS-Namen und URLs – sind spröde und können schnell geändert werden. Die wertvollsten Informationen, wie Angriffsmuster und Handwerkskunst, werden oft von Sicherheitsanbietern in „walled Gardens“ gespeichert und in Formaten verwaltet, die oft nicht zwischen verschiedenen Organisationen oder Technologien austauschbar sind.
- Es ist schwierig, die Qualität von Bedrohungsdaten zu validieren. Threat-Sharing-Programme konzentrieren sich darauf, Indikatoren so schnell wie möglich an die relevanten Verbraucher zu übermitteln, anstatt sie zu validieren. Wenige Organisationen verfügen jedoch über die Fähigkeit oder Ressourcen, fortlaufende qualitative Bewertungen der Bedrohungsdaten durchzuführen, die sie aufnehmen, oder der Art und Weise, wie ihre Netzwerk- und Endpunktüberwachungstools sie konsumieren und analysieren. Dies führt zu höheren Raten falscher Negative und falscher Positiver, unzureichendem Kontext, um fundierte Entscheidungen in großem Maßstab zu treffen, und dem Risiko einer Fehlzuordnung von Bedrohungen. Dies ist besonders schwierig, da Angreifer zunehmend legitime Netzwerk- und Endpunktressourcen einsetzen, um ihre Aktivitäten zu verschleiern.
- Du spielst immer nach. Sie lernen vielleicht neue Techniken und Erkennungsmethoden, aber es ist immer, nachdem Angreifer ihre Taktiken bereits in den Außendienst eingeführt haben.
Ergänzen externer Bedrohungsdaten durch Blick nach innen
Die Grundlage der Sicherheitsbemühungen eines Unternehmens muss das Verständnis Ihres eigenen Netzwerks und die einfache Unterscheidung von „normalen“ von wirklich bösartigen Anomalien sein. In der Praxis kann das Hintergrundrauschen der meisten großen, heterogenen Netzwerke dies äußerst schwierig machen. Der erste Schritt zur Problembewältigung ist die Anwendung von Technologien und Prozessen, die kontinuierlich alle Assets identifizieren können, die Sie verteidigen. Der nächste Schritt besteht darin, diese Assets automatisch auf der Grundlage Dutzender kritischer Attribute aufzuzählen und zu gruppieren, die ihre Angriffsfläche definieren.
Viele Organisationen kämpfen immer noch mit der ersten Hälfte dieser Bemühungen. Im US-Bundesbereich haben mehrere Agenturen, die Phase 1 des Programms für kontinuierliche Diagnose und Risikominderung (CDM) durchlaufen, festgestellt, dass sie ihre Anzahl der Geräte um 200 % bis 300 % unterschätzt haben. Im öffentlichen und privaten Sektor ist es üblich, sich auf veraltete Systembestände und Change Management-Datenbanken zu verlassen, die mit veralteten Daten gefüllt sind. Solche veralteten Systeme und Datenbanken bieten keinen ausreichenden Systemkontext, um das Risiko angemessen zu bewerten und zu überwachen.
Zu den Eigenschaften, die die Gefährdungsanfälligkeit eines Systems beeinflussen, gehören: seine installierten Anwendungen und Dienste; die Benutzer, die sich bei ihm und von ihm aus authentifizieren; seine Netzwerkschnittstellen; die Daten, die es speichert; sowie Konfiguration und wichtige Sicherheitseinstellungen. Die automatische Kategorisierung von Systemgruppen basierend auf sich ständig ändernden Attributen bildet die Grundlage für ein dynamisches Inventar, das wirklich als Grundlage für Erkennungs- und Reaktionsbemühungen dienen kann.
Ein gemischter Ansatz zur Bedrohungserkennung
Moderne Bedrohungserkennung erfordert einen ausgewogenen Ansatz. Für alle Einschränkungen können extern beschaffte Bedrohungsdaten – wenn sie mit ausreichendem Umfang und ausreichender Visibilität in einer Umgebung angewendet werden – automatisch eine Teilmenge bösartiger Aktivitäten identifizieren und kontextualisieren. Spezielle Tools zur Überwachung von Endpunkten und Netzwerksicherheit können zusätzliche Erkennungsmechanismen für breitere Angriffsmuster hinzufügen. Solche Tools dienen als Ergänzung zu den Praktiken der Ableitung von Informationen aus Ihrer eigenen Umgebung und der automatischen Erkennung von Änderungen, die Anomalien verursachen oder das Risikoprofil Ihrer Assets beeinflussen.
Wir können den Weg, den wir in den letzten 20 Jahren angetreten haben, nicht mehr fortsetzen, ganz abhängig von einem Sicherungsseil aus einheitlichen Datenfeeds von Sicherheitsanbietern zur Erkennung von Angriffen. Glücklicherweise beginnen politische Entscheidungsträger und Unternehmen gleichermaßen damit, dies zu realisieren und verfolgen Prozesse und Technologien, die es Organisationen ermöglichen, ihre eigenen Assets wirklich zu verstehen und zu verteidigen.
Wenn Sie mehr über dieses Thema erfahren möchten, lesen Sie meine vollständigen Anmerkungen auf dem Cyber Disrupt Summit des Center for Strategic and International Studies in Washington hier (aus der 6:28-6:48 Marke).
Über den Autor: In seiner Rolle als Chief Security Architect von Tanium verfügt Ryan Kazanciyan über mehr als 14 Jahre Erfahrung in den Bereichen Vorfallreaktion, forensische Analyse und Penetrationstests. Ryan überwacht das Design und die Roadmap für die Threat Response-Angebote von Tanium und leitet das Tanium Endpoint Detection and Response (EDR)-Team. Vor seinem Eintritt bei Tanium überwachte Ryan Untersuchungs- und Behebungsbemühungen bei Mandiant und arbeitete mit Dutzenden von Fortune- 500 -Organisationen zusammen, die von gezielten Angriffen betroffen waren. Ryan hat Hunderte von Vorfallshelfern als Ausbilder für Black Hat und die Cyber-Squad des FBI geschult. Er ist ein beitragender Autor für „Incident Response and Computer Forensics 3rd Edition“ (McGraw-Hill, 2014). Ryan arbeitet auch als technischer Berater für die Fernsehserie „Herr Robot“, wo er mit den Autoren und dem Produktionsteam zusammenarbeitet, um die in der Show dargestellten Hacks zu entwerfen.
