Managed Detection and Response (MDR)
Υπηρεσία εξωτερικής ανάθεσης που παρακολουθεί συνεχώς το περιβάλλον σας για απειλές και ανταποκρίνεται ενεργά σε αυτές, όχι απλώς σας ειδοποιεί.
Το MDR συνδυάζει τεχνολογία (εργαλεία ανίχνευσης τερματικών, δικτύου και cloud) με μια ομάδα ανθρώπων που παρακολουθεί, διερευνά και αποκρίνεται σε απειλές όλο το εικοσιτετράωρο. Σε αντίθεση με ένα αυτοδιαχειριζόμενο SIEM ή ένα βασικό εργαλείο παρακολούθησης, το MDR περιλαμβάνει ενεργή απόκριση (για παράδειγμα, απομόνωση μιας παραβιασμένης συσκευής) και όχι απλώς την παραγωγή μιας ειδοποίησης στην οποία κάποιος πρέπει ακόμη να ενεργήσει.
Παρακολούθηση SOC 24/7 & MDR →Security Operations Center (SOC)
Ομάδα και πλατφόρμα αφιερωμένη στη συνεχή παρακολούθηση, ανίχνευση και απόκριση σε απειλές ασφαλείας.
Ένα SOC είναι ο συνδυασμός ανθρώπων, διαδικασίας και τεχνολογίας που είναι υπεύθυνος για τη συνεχή παρακολούθηση ασφαλείας ενός οργανισμού. Μπορεί να χτιστεί εσωτερικά ή να ανατεθεί εξωτερικά (όπως η πλατφόρμα επιπέδου SOC της THREAT-WATCH). Ένα λειτουργικό SOC συλλέγει δεδομένα από τερματικά, δίκτυα και υπηρεσίες cloud, τα συσχετίζει για ανίχνευση πραγματικών απειλών και συντονίζει την απόκριση όταν εντοπιστεί κάτι.
Παρακολούθηση SOC 24/7 & MDR →Endpoint Detection and Response (EDR)
Λογισμικό που παρακολουθεί laptop, servers και άλλες συσκευές για κακόβουλη δραστηριότητα και μπορεί να αποκριθεί αυτόματα ή μέσω SOC.
Οι agents EDR τρέχουν σε επιμέρους συσκευές (τερματικά) και καταγράφουν συνεχώς δραστηριότητα (εκτέλεση διεργασιών, συνδέσεις δικτύου, αλλαγές αρχείων) αναζητώντας ενδείξεις παραβίασης. Όταν εντοπιστεί κάτι ύποπτο, το EDR μπορεί να ειδοποιήσει, και σε διαχειριζόμενη ρύθμιση, ένα SOC μπορεί να απομονώσει τη συσκευή από το δίκτυο για να σταματήσει την εξάπλωση μιας επίθεσης.
Προστασία Τερματικών (EDR) →Extended Detection and Response (XDR)
Προσέγγιση που συσχετίζει δεδομένα ανίχνευσης από τερματικά, δίκτυο, cloud και email σε μία ενιαία εικόνα, αντί για μεμονωμένα εργαλεία.
Το XDR επεκτείνει την ιδέα του EDR πέρα από τα τερματικά, ενσωματώνοντας σήματα από κίνηση δικτύου, φόρτους εργασίας cloud, συστήματα ταυτότητας και email για να χτίσει μια πληρέστερη εικόνα μιας επίθεσης. Ο στόχος είναι να εντοπίζονται πολυσταδιακές επιθέσεις που δεν θα ήταν εμφανείς από καμία μεμονωμένη πηγή δεδομένων, και να μειώνεται ο αριθμός των ασύνδετων ειδοποιήσεων που ένας αναλυτής πρέπει να συνθέσει χειροκίνητα.
Παρακολούθηση SOC 24/7 & MDR →Απόκριση σε Περιστατικά
Η δομημένη διαδικασία ανίχνευσης, περιορισμού, διερεύνησης και ανάκτησης από περιστατικό ασφαλείας.
Η απόκριση σε περιστατικά ακολουθεί συνήθως έναν κύκλο ζωής: προετοιμασία, ανίχνευση και ανάλυση, περιορισμός, εξάλειψη, ανάκτηση και ανασκόπηση μετά το περιστατικό. Οργανισμοί με προσυμφωνημένο σχέδιο απόκρισης σε περιστατικά (και ιδανικά με συμφωνία retainer με πάροχο απόκρισης) ανακάμπτουν ταχύτερα και με λιγότερη ζημιά από όσους αυτοσχεδιάζουν εκ των υστέρων.
Απόκριση σε Περιστατικά →Cyber Threat Intelligence (CTI)
Πληροφορίες για ενεργές και αναδυόμενες απειλές, τακτικές επιτιθέμενων και δείκτες παραβίασης, που χρησιμοποιούνται για ανίχνευση και άμυνα.
Η threat intelligence μετατρέπει ακατέργαστα δεδομένα για τη συμπεριφορά, την υποδομή και τα εργαλεία των επιτιθέμενων σε αξιοποιήσιμο πλαίσιο: για παράδειγμα, τροφοδοτώντας γνωστούς κακόβουλους δείκτες σε εργαλεία ανίχνευσης ή καθοδηγώντας ποιες ευπάθειες πρέπει να ιεραρχηθούν με βάση την ενεργή εκμετάλλευση. Η καλή CTI εφαρμόζεται, δεν συλλέγεται απλώς: αλλάζει αυτό που πραγματικά παρακολουθεί ένα SOC.
Παρακολούθηση SOC 24/7 & MDR →SIEM (Security Information and Event Management)
Πλατφόρμα που συγκεντρώνει και συσχετίζει δεδομένα logs και συμβάντων για υποστήριξη ανίχνευσης απειλών και αναφοράς συμμόρφωσης.
Τα εργαλεία SIEM συγκεντρώνουν logs από firewalls, servers, εφαρμογές και άλλα συστήματα, και εφαρμόζουν κανόνες συσχέτισης για την ανάδειξη πιθανώς κακόβουλων μοτίβων. Ένα SIEM από μόνο του παράγει ειδοποιήσεις· χρειάζεται μια ομάδα (εσωτερική ή μέσω MDR) για να διερευνήσει πραγματικά όσα αναδεικνύει και να αποκριθεί.
Παρακολούθηση SOC 24/7 & MDR →Κυνήγι Απειλών (Threat Hunting)
Η προληπτική αναζήτηση απειλών που ήδη υπάρχουν σε ένα περιβάλλον και δεν έχουν επισημανθεί από αυτοματοποιημένα εργαλεία ανίχνευσης.
Αντί να περιμένουν μια ειδοποίηση, οι κυνηγοί απειλών διαμορφώνουν μια υπόθεση (βάσει threat intelligence, ασυνήθιστων μοτίβων ή γνωστών τεχνικών επιτιθέμενων) και ερευνούν ενεργά ένα περιβάλλον για να την επιβεβαιώσουν ή να την αποκλείσουν. Αυτό εντοπίζει εξελιγμένους επιτιθέμενους που έχουν αποφύγει σκόπιμα την αυτοματοποιημένη ανίχνευση, και είναι ένας από τους λόγους για τους οποίους ένα SOC με επίκεντρο τον άνθρωπο εντοπίζει απειλές που διαφεύγουν από μια διάταξη βασισμένη αποκλειστικά σε εργαλεία.
Παρακολούθηση SOC 24/7 & MDR →Διαχείριση Logs
Η πρακτική συλλογής, αποθήκευσης και ανάλυσης των αρχείων δραστηριότητας ('logs') που παράγονται από συστήματα, εφαρμογές και συσκευές δικτύου.
Τα logs καταγράφουν ποιος έκανε τι, πότε και από πού, σε κάθε σύστημα ενός περιβάλλοντος, και είναι η πρώτη ύλη που συσχετίζει ένα SOC ή SIEM για την ανίχνευση απειλών και την ανασύσταση όσων συνέβησαν κατά τη διάρκεια ενός περιστατικού. Τόσο το NIS2 όσο και το ISO 27001 αναμένουν επαρκή διατήρηση των logs ακριβώς επειδή τα logs είναι συχνά τα μόνα διαθέσιμα αποδεικτικά στοιχεία κατά τη διερεύνηση μετά από ένα περιστατικό.
Παρακολούθηση SOC 24/7 & MDR →Δείκτης Παραβίασης (IOC)
Ένα στοιχείο εγκληματολογικού αποδεικτικού υλικού, όπως μια κακόβουλη διεύθυνση IP, hash αρχείου ή domain, που υποδηλώνει ότι ένα σύστημα έχει παραβιαστεί.
Τα IOC είναι τα συγκεκριμένα, τεχνικά στοιχεία που αναζητούν οι ομάδες ασφαλείας: γνωστές κακόβουλες διευθύνσεις IP, hashes αρχείων που ταιριάζουν με αναγνωρισμένο malware, ασυνήθιστες εξερχόμενες συνδέσεις ή συγκεκριμένες αλλαγές στο registry. Οι ροές threat intelligence διανέμουν IOC ώστε τα εργαλεία ανίχνευσης σε πολλούς οργανισμούς να ενημερώνονται με τους πιο πρόσφατους γνωστούς δείκτες από ενεργές εκστρατείες.
Παρακολούθηση SOC 24/7 & MDR →MITRE ATT&CK
Δημόσια διαθέσιμη βάση γνώσης που καταλογογραφεί πραγματικές τακτικές και τεχνικές επιτιθέμενων, χρησιμοποιούμενη ως κοινό πλαίσιο αναφοράς στον κλάδο ασφαλείας.
Το MITRE ATT&CK οργανώνει τη γνωστή συμπεριφορά επιτιθέμενων σε τακτικές (ο στόχος του επιτιθέμενου, όπως 'initial access' ή 'privilege escalation') και τεχνικές (η συγκεκριμένη μέθοδος που χρησιμοποιείται για την επίτευξή του), βάσει τεκμηριωμένων πραγματικών περιστατικών. Οι ομάδες ασφαλείας το χρησιμοποιούν για να χαρτογραφήσουν την κάλυψη ανίχνευσής τους, να εντοπίσουν κενά και να επικοινωνούν για απειλές με ένα κοινό λεξιλόγιο αντί για ορολογία συγκεκριμένων προμηθευτών.
Παρακολούθηση SOC 24/7 & MDR →Sandboxing
Εκτέλεση ενός μη έμπιστου αρχείου ή προγράμματος σε απομονωμένο περιβάλλον για παρατήρηση της συμπεριφοράς του χωρίς κίνδυνο για το πραγματικό σύστημα.
Το sandboxing επιτρέπει σε εργαλεία ασφαλείας να ενεργοποιήσουν ένα ύποπτο συνημμένο email ή αρχείο λήψης πρώτα σε ένα αναλώσιμο, απομονωμένο εικονικό περιβάλλον, παρατηρώντας τι πραγματικά κάνει (ποια αρχεία δημιουργεί, ποιες συνδέσεις πραγματοποιεί) πριν αποφασίσουν αν θα το επιτρέψουν σε πραγματικά συστήματα. Είναι ιδιαίτερα αποτελεσματικό απέναντι σε malware σχεδιασμένο να αποφεύγει την ανίχνευση βάσει υπογραφών, καθώς η συμπεριφορά συγκαλύπτεται δυσκολότερα από το περιεχόμενο ενός αρχείου.
Προστασία Τερματικών (EDR) →Ψηφιακή Εγκληματολογία
Η επιστημονική διαδικασία συλλογής, διατήρησης και ανάλυσης ψηφιακών αποδεικτικών στοιχείων για να προσδιοριστεί τι συνέβη κατά τη διάρκεια ενός περιστατικού ασφαλείας.
Η ψηφιακή εγκληματολογία ανασυνθέτει τις ενέργειες, το σημείο εισόδου και την έκταση πρόσβασης ενός επιτιθέμενου εξετάζοντας logs, μνήμη, εικόνες δίσκου και κίνηση δικτύου, ακολουθώντας αυστηρές διαδικασίες χειρισμού αποδεικτικών στοιχείων (αλυσίδα επιμέλειας) ώστε τα ευρήματα να αντέχουν για νομικούς, κανονιστικούς ή ασφαλιστικούς σκοπούς. Αποτελεί βασικό μέρος μιας σωστής απόκρισης σε περιστατικά, όχι απλώς μια ακαδημαϊκή άσκηση εκ των υστέρων.
Απόκριση σε Περιστατικά →