Od samego początku istnienia White Cat Security, towarzyszy nam jeden cel: Znać Twojego Wroga. Stąd usługa Threat Intelligence jest dla nas czymś naturalnym i do której przygotowywaliśmy się całkiem długo - rzekłbym, że przez "całe życie".
Jedna z plotek niesie, że Intelligence jest wyłącznie dla elit. Pojawiają się artykuły mówiące o takich wymaganiach jak:
- dojrzały i elastyczny Dział IT, który szybko reaguje na zmiany
- agresywny proces usuwania znanych podatności
- zespół Reagujący na Incydenty/Łowców potrafiący korzystać z danych wynikających z wywiadu
- skuteczna inwentaryzacja urządzeń i oprogramowania w firmie/organizacji
Autorem tych wymagań, zanim zainteresujesz się Threat Intelligence, jest Jacob Williams (@MalwareJake).
Po części zgoda, to istotne tematy. Natomiast jeśli tego nie mam to mam odpuścić Threat Intelligence i wrócić będąc gotowym?
Proponuję inne podejście i korzystanie z Threat Intelligence od samego początku lub dowolnie innego miejsca:
- Nawet jeśli nie znasz wartościowych zasobów w firmie gdzie pracujesz to jeszcze nie koniec świata. To się zdarza, nawet stosunkowo często. Nawet w firmach, które inwentaryzują zasoby to zdarza się, że głównie pod audytora (czyt. regulatora). Szkopuł w klasycznym podejściu do wskazywania wartościowych zasobów jest taki, że zazwyczaj na takiej liście są oczywiste systemy bez uwzględnienia możliwych ścieżek do niego - tych bezpośrednich i pośrednich. Wiedza o tym jak realizowane są ataki, jakimi ścieżkami/przypadkami, pozwoli Ci je uwzględniać już teraz.
- Nawet jeśli urządzenia i oprogramowanie w Twojej firmie nie zapisuje właściwych zdarzeń to nie czekaj do momentu kiedy wszystkie zaczną zapisywać. Gromadzenie i analiza dużych zbiorów zdarzeń to spore wyzwanie, które może odpychać od momentu konsumpcji Threat Intelligence jak to przedstawia część dostawców. Wiedza o tym jakimi metodami przeprowadzane są ataki, jakie ślady po sobie zostawia napastnik pozwoli Ci ułożyć priorytety, których zdarzeń potrzebujesz najbardziej i w jakiej kolejności.
- Nawet jeśli nie zbierasz wszystkich zdarzeń centralnie do systemu typu SIEM lub rozwiązania typu Log Management, bo nie posiadasz takiego systemu lub obecny ledwo zipie, zapchany po brzegi licencji/dysków/wydajności (niepotrzebne skreśl), zawsze jest dobry czas na inwentaryzację. Inwentaryzacja może być determinowana tym co aktualnie wykrywamy i jakich innych zdarzeń potrzebujemy aby bez opuszczania konsoli SIEMa móc wyjaśniać wykryte podejrzenia incydentów bezpieczeństwa. Wiedza o tym w oparciu o jakie zdarzenia lub ich zestawienie/korelację będziemy wykrywać napastnika i wyjaśniać te podejrzenia pozwoli zdefiniować co przesyłać do SIEMa lub co filtrować na jego wejściu aby mieć w nim dokładnie to co chcemy i efektywnie wykorzystywać posiadaną licencję/wydajność/pojemność.
Kiedy budowałem pierwszy zespół CSIRT bardzo brakowało mi takiego podejścia i zawsze do niego dążyłem. Oczekiwałem, że przyjdzie ono wraz z integratorami systemów typu SIEM, ale to nie był wówczas moment, kiedy byli na tyle dojrzali. Dzisiaj wygląda to nieco inaczej, natomiast czy integrator ma wystarczająco dużo czasu by być na bieżąco z zagrożeniami, metodami działania napastników, wystarczająco głęboko?
Jeśli jesteś Klientem Integratora, któremu przydałoby się takie wsparcie u Ciebie, a może jesteś przedstawicielem Integratora i chciałbyś mieć profesjonalnego Partnera w zakresie Threat Intelligence oraz jego konsumpcji - zapraszam do kontaktu na kontakt {@} whitecatsec.com
W bonusie zostawiam dwa, świeże linki do artykułów systematyzujących tematykę korelacji w systemach typu SIEM:
- Podstawy korelacji - blog Ofer Shezaf
- Mniej znana strona korelacji - j/w
W kolejnych postach przedstawię inne metody konsumpcji wiedzy wynikającej z Threat Intelligence.
Brak komentarzy:
Prześlij komentarz