Uzņēmumā var būt labi drošības rīki un daudz brīdinājumu, bet tas vēl nenozīmē, ka kāds redz notiekošo kopumā.
Kiberincidents bieži nesākas ar vienu nepārprotamu notikumu, pēc kura ekrānā iedegas sarkana lampiņa ar uzrakstu “uzbrukums”. Daudz biežāk tas sākas ar vairākiem atsevišķiem signāliem, kuri katrs pats par sevi var izskatīties diezgan nevainīgi.
Pieslēgšanās no neierastas vietas. Vairāki neveiksmīgi MFA mēģinājumi. Lietotājam mainītas piekļuves tiesības. Uz datora sāk darboties neparasts process. Pēkšņi pieaug failu aktivitāte.
Atsevišķi katram no šiem notikumiem var būt pilnīgi normāls skaidrojums. Saliekot tos kopā, situācija var izskatīties pavisam citādi.
Tieši tāpēc drošības signāls vēl nav incidents. Bet arī šķietami nenozīmīgs signāls nedrīkst automātiski nonākt miskastē.
Drošības rīks redz notikumu. Tam vēl vajag kontekstu
Uzņēmuma IT vidē katru dienu rodas milzīgs daudzums datu par notiekošo.
Lietotāji pieslēdzas sistēmām, ierīces startē procesus, tiek atvērti un pārvietoti faili, mainītas tiesības, sūtīti e-pasti un notiek saziņa starp sistēmām. Daļa no šīs informācijas tiek reģistrēta žurnālfailos un drošības sistēmās.
Ja sistēma pamana darbību, kas atbilst noteiktam riskam vai detekcijas nosacījumam, tā rada brīdinājumu.
Tas ir vajadzīgs. Bet brīdinājums pats par sevi vēl neatbild uz galveno jautājumu – kas īsti notiek?
MITRE ATT&CK uzbrukumu tehnikas sasaista ar daudziem dažādiem datu avotiem, savukārt CISA drošības notikumu reģistrēšanas vadlīnijās uzsver ne tikai notikumu savākšanu, bet arī to centralizāciju un korelāciju. Citiem vārdiem – incidenta aina veidojas no vairākiem avotiem, nevis viena ieraksta vienā sistēmā.
Viena darbība var būt normāla. Darbību secība - vairs nē
Pieņemsim pavisam vienkāršu scenāriju.
Darbinieks pieslēdzas uzņēmuma kontam no vietas, no kuras iepriekš nav strādājis. Nekas ārkārtējs – cilvēki ceļo, strādā attālināti, maina interneta pieslēgumus.
Nedaudz vēlāk tam pašam kontam parādās vairāki MFA atteikumi.
Pēc tam tiek mainītas tā piekļuves tiesības.
Un vēl pēc neilga laika uz lietotāja datora parādās neparasta aktivitāte.
Katram no šiem signāliem atsevišķi varētu atrast ikdienišķu skaidrojumu. Taču kopā tie jau ir pietiekams iemesls situāciju izmeklēt.
Šo dažādo notikumu sasaistīšanu sauc par korelāciju.
Mūsdienu drošības platformas daļu šī darba var izdarīt automātiski – sasaistīt signālus, grupēt brīdinājumus un palīdzēt analītiķim ātrāk ieraudzīt iespējamu incidentu. Taču arī laba tehnoloģiskā korelācija pati par sevi vēl neatrisina jautājumu par to, kurš situāciju izvērtē un ko dara tālāk. SIEM vai XDR nav tas pats, kas SOC, un monitorings nav incidentu pārvaldība.
Te parādās triāža
Kad sistēmas rada brīdinājumus, kādam tie ir jāizvērtē.
Drošības operācijās šo sākotnējo izvērtēšanu sauc par triāžu.
Praksē tās uzdevums ir saprast, ar ko mums ir darīšana. Vai tas ir nekaitīgs notikums? Kļūdaina detekcija? Aizdomīga aktivitāte, kuru nepieciešams papētīt? Vai jau incidents, kurā jārīkojas?
Šeit konteksts kļūst kritiski svarīgs.
Vienam un tam pašam tehniskajam notikumam var būt pilnīgi atšķirīga nozīme atkarībā no tā, kurš lietotājs iesaistīts, kāda ir viņa loma, kāda ierīce izmantota, kas noticis pirms tam un vai paralēli citās sistēmās ir vēl citi signāli.
Tāpēc SOC darbs nav sēdēšana pie ekrāna un sarkano paziņojumu skaitīšana.
Uzdevums ir no liela daudzuma tehniskas informācijas nonākt līdz pietiekami pamatotai izpratnei, lai varētu pieņemt lēmumu.
Ar incidenta atklāšanu darbs nebeidzas
Pieņemsim, ka aizdomas apstiprinās.
Tagad ir jāizlemj, ko darīt.
Varbūt jābloķē lietotāja konts. Varbūt jāizolē konkrēta ierīce. Jāsaglabā informācija tālākai izmeklēšanai. Jānoskaidro, vai skartas citas sistēmas. Atkarībā no incidenta jāiesaista uzņēmuma IT komanda, vadība vai citas atbildīgās personas.
Tāpēc incidentu pārvaldība nav tikai tehniska detekcija. NIST incidentu vadības pieeja to skata daudz plašāk – no sagatavotības un atklāšanas līdz analīzei, ierobežošanai, atjaunošanai, komunikācijai un secinājumiem pēc incidenta.
Te arī varam skaidri saprast robežu starp drošības rīku un drošības funkciju.
Rīks var būt ļoti labs savā darbā. Tas var savākt telemetriju, atklāt anomāliju, sasaistīt vairākus notikumus un pat automātiski izpildīt noteiktas reakcijas.
Bet uzņēmumam joprojām ir vajadzīga atbilde uz jautājumu – kurš par šo procesu atbild?
Brīdinājumu daudzums nav drošības rādītājs
Šeit uzņēmumiem ir diezgan viegli iekrist slazdā.
Drošības sistēma strādā. Paziņojumi pienāk. Vadības konsolē kaut kas notiek. Tātad rodas sajūta, ka drošība tiek uzraudzīta. Tomēr tā tas īsti nav. Būtiskais jautājums – kas notiek ar šiem paziņojumiem tālāk?
Ja atbilde ir “tie pienāk e-pastā”, tad faktiski tas nozīmē, ka nenotiek nekas un incidents netraucēti turpinās.
Ja tos reizēm apskata IT administrators, kad ir laiks un noskaņojums, arī tas nav operacionālais modelis.
Uzņemumā ir jābūt stingri reglamentētai kārtībai, kas signālus izvērtē, pēc kādiem principiem tie tiek prioritizēti, kad situācija kļūst par incidentu, kam tā tiek eskalēta un kas notiek pēc tam. Īpaši jāuzver – tam visam jānotiek reālā laika režīmā un nepārtraukti. Nevis reizi pa reizei.
Tieši šī operacionālā ķēde pārvērš drošības tehnoloģiju par reāli strādājošu aizsardzības spēju. Automatizācija palīdz ar apjomu un ātrumu, bet cilvēka kompetence paliek tur, kur nepieciešams spriedums un atbildība.
Viens vienkāršs jautājums uzņēmuma vadībai
Uzņēmumam nevajag tikai tehnoloģiju, kas spēj pateikt: “Es kaut ko pamanīju.”
Tam vajag procesu, kurā kāds saprot, ko tieši mēs pamanījām, cik tas ir nopietni un ko ar šo informāciju darīsim.
Tāpēc, vērtējot savu kiberdrošības modeli, es sāktu ar ļoti vienkāršu jautājumu:
Ja uz šo jautājumu nav skaidras atbildes, problēma nav tajā, ka uzņēmumam trūkst vēl viena drošības rīka. Problēma ir tajā, ka uzņēmumā nedarbojas vai neeksistē operacionālās kiberdrošības funkcija.
No drošības signāla līdz reālai reakcijai
Ja drošības sistēmas pamana aizdomīgu darbību, svarīgākais jautājums ir — kurš to izvērtēs un kas notiks tālāk? HORTUS Digital Cyber-SOC nodrošina drošības signālu uzraudzību, incidentu identificēšanu un iepriekš saskaņotu reakciju.
