Uzņēmumā var būt daudz drošības tehnoloģiju, bet tas vēl nenozīmē, ka pastāv funkcionējoša operacionālā aizsardzība. Svarīgākais jautājums sākas brīdī, kad kāds no rīkiem pamana kaut ko aizdomīgu: kas šo signālu ierauga, saprot un pārvērš reālā rīcībā?
Uzņēmumos kiberdrošība bieži sākas ar tehnoloģijām.
Ugunsmūris. Antivīruss. MFA. EDR. SIEM. Rezerves kopijas. Microsoft 365 drošības funkcijas. CERT.LV sensori.
Tas viss ir vajadzīgs. Taču pats tehnoloģiju saraksts vēl neatbild uz svarīgāko jautājumu:
Kurš šo signālu ierauga? Kurš saprot, vai tas ir reāls incidents? Kurš pieņem lēmumu, ko darīt tālāk? Un kurš nodrošina, ka reakcija tiešām notiek?
Tieši šeit sākas operacionālā kiberdrošība.
Absolūtas aizsardzības nav
Kiberdrošībā nav iespējams godīgi apsolīt, ka uzbrucējs nekad netiks uzņēmuma vidē.
Var ļoti daudz izdarīt, lai šo iespēju samazinātu: izmantot MFA, pareizi konfigurēt sistēmas, pārvaldīt ievainojamības, segmentēt tīklu, kontrolēt piekļuves un regulāri pārskatīt drošības arhitektūru.
Tas samazina risku.
Bet nenovērš to pilnībā.
Tāpēc mūsdienīga kiberdrošība nevar balstīties tikai uz jautājumu: “Kā nelaist uzbrucēju iekšā?”
Ir vajadzīga arī atbilde uz nākamo: “Ko mēs darīsim, kad viņš tomēr tiks iekšā?”
Tieši tāpēc kiberdrošībā līdzās prevencijai vajadzīga arī atklāšana, reakcija un atjaunošanās. NIST Cybersecurity Framework šo loģiku strukturē kā Govern, Identify, Protect, Detect, Respond un Recover funkcijas.
Trīs vienkārši aizsardzības slāņi
Biznesa cilvēkam es šo parasti vienkāršoju līdz trim slāņiem.
Prevencija. Darām visu saprātīgi iespējamo, lai incidents nenotiktu.
Operacionālā aizsardzība. Ja kaut kas tomēr notiek, to pamanām, saprotam un sākam rīkoties.
Atjaunošana. Ja kaitējums jau ir nodarīts, atjaunojam sistēmas, datus un uzņēmuma darbu.
Šie slāņi viens otru neaizvieto.
Rezerves kopija palīdz atjaunot datus, bet tā pati par sevi nepamana notiekošu uzbrukumu.
Ugunsmūris var bloķēt daļu nevēlamas datplūsmas, bet tas pats par sevi neizmeklē incidentu.
EDR var pamanīt aizdomīgu procesu datorā, bet kādam joprojām ir jāizvērtē, ko šis signāls nozīmē kopējā situācijā.
Tāpēc problēma nav tajā, ka drošības rīki būtu slikti. Problēma rodas tad, ja uzņēmums no rīka sagaida funkciju, kuru tas viens pats nevar nodrošināt.
Kur te parādās SOC?
SOC — Security Operations Center. Tas nav produkts vai tehnoloģija.
Praksē tā ir operacionālā funkcija, kas nepārtraukti strādā ar drošības signāliem un incidentiem: uzrauga, izvērtē, analizē, eskalē un palīdz reaģēt.
Tieši tāpēc SIEM nav SOC. EDR nav SOC. Monitorings pats par sevi arī vēl nav pilna incidentu pārvaldība. Atšķirība ir funkcijā, procesā un atbildībā.
Kāpēc viens signāls bieži neko daudz nepasaka?
Pieņemsim, ka uzņēmumā ir laba tehnoloģiskā bāze.
Ugunsmūris reģistrē tīkla aktivitāti.
EDR redz, kas notiek datoros.
Microsoft 365 rada identitāšu un e-pasta drošības signālus.
Aplikācijas un serveri veido savus žurnālfailus.
Katrs no šiem avotiem redz tikai daļu no situācijas.
Viens neveiksmīgs pieslēgšanās mēģinājums var nebūt nekas īpašs.
Arī viens neparasts process datorā vēl automātiski nenozīmē incidentu.
Bet aina mainās, ja vienlaikus redzam, ka lietotājs pieslēdzas no neierastas vietas, tiek mainītas piekļuves tiesības, uz gala iekārtas sāk darboties neparasts process un pēc tam parādās neraksturīga datu plūsma.
Atsevišķi tie ir signāli.
Kopā tie jau var būt stāsts.
Tāpēc operacionālajā kiberdrošībā tik būtiska ir signālu korelācija un konteksts. Mūsdienu drošības platformas var palīdzēt šo darbu automatizēt, bet platforma pati par sevi vēl nenodrošina cilvēkus, procesus, SLA un atbildību.
SOC nav projekts, ko vienreiz ievieš un aizmirst
Man patīk salīdzinājums ar grāmatvedību.
Neviens uzņēmuma vadītājs nesaka: “Grāmatvedību mēs ieviesām pirms trim gadiem, tātad tagad par to vairs nav jādomā.”
Tā darbojas katru dienu. Informācija tiek apstrādāta. Ir atbildīgie. Ir kontroles. Ir pārskati. Process tiek pārbaudīts.
Ar operacionālo kiberdrošību ir līdzīgi.
SOC nav vienreizēja tehnoloģiju ieviešana. Tā ir funkcija, kurai jādarbojas katru dienu.
Praksē jāzina:
- vai pienāk vajadzīgie drošības dati;
- vai redzam aizsardzībai būtisko vidi;
- vai detekcijas loģika strādā;
- vai incidenti tiek pareizi izvērtēti;
- vai eskalācija notiek laikā;
- vai reakcijas scenāriji tiešām darbojas.
Citādi var izveidoties ļoti nepatīkama situācija: formāli drošības tehnoloģijas ir, bet brīdī, kad kaut kas notiek, nav skaidrs, kurš īsti rīkojas.
Kāpēc šo darbu nevar atstāt tikai cilvēkiem?
Mūsdienu IT vide rada ļoti daudz tehnisko notikumu un brīdinājumu. Cilvēkam nav jēgas manuāli skatīties uz katru no tiem.
Tāpēc labs operacionālās kiberdrošības modelis izmanto automatizāciju tur, kur tā palīdz: savāc signālus, korelē tos, samazina troksni, prioritizē gadījumus un noteiktās robežās automatizē arī reakcijas.
Savukārt cilvēks ir vajadzīgs tur, kur nepieciešams saprast kontekstu, izvērtēt risku un pieņemt lēmumu.
Tas nav “cilvēks vai tehnoloģija”. Vajadzīga kombinācija.
Vadītājam nav jābūt SOC analītiķim
Uzņēmuma vadītājam nav jāprot lasīt žurnālfailus vai rakstīt SIEM korelācijas noteikumus.
Bet viņam būtu jāspēj saņemt skaidru atbildi uz dažiem ļoti vienkāršiem jautājumiem.
- vai pienāk vajadzīgie drošības dati;
- vai redzam aizsardzībai būtisko vidi;
- vai detekcijas loģika strādā;
- vai incidenti tiek pareizi izvērtēti;
- vai eskalācija notiek laikā;
- vai reakcijas scenāriji tiešām darbojas.
Tie jau nav tehniski jautājumi. Tie ir vadības jautājumi.
No kurienes sākt?
Ja gribi saprast, vai Tavā uzņēmumā operacionālā kiberdrošība tiešām darbojas, es nesāktu ar vēl vienu produktu sarakstu.
Es sāktu ar atbildību.
Noskaidro, kas Tavā uzņēmumā pamanīs incidentu un ko šis cilvēks vai komanda darīs tālāk.
Ja uz to nav skaidras atbildes, iespējams, problēma nav tajā, ka trūkst vēl vienas drošības licences.
Iespējams, trūkst funkcijas, kas jau esošos drošības rīkus pārvērš reālā aizsardzībā.
Vai Tavam uzņēmumam tas ir aktuāli?
Ja:
- drošības signāli rodas vairākās sistēmās;
- nav skaidrs, kurš tos ikdienā izvērtē;
- incidenta gadījumā nav skaidras eskalācijas un reakcijas kārtības;
- nav pārliecības, vai reakcijas scenāriji tiešām darbojas praksē;
tad ir vērts pārskatīt, kā uzņēmumā ir organizēta operacionālā kiberdrošība.
Pārvērt savus drošības signālus reālā reakcijā
24/7 drošības uzraudzība, incidentu atpazīšana un iepriekš saskaņota reakcija Microsoft vidē — bez nepieciešamības veidot savu SOC.
