Zašto preventivni sigurnosni alati nisu dovoljni za zaštitu tvrtke
Zamislimo to na
Preventivne mjere kibernetičke sigurnosti -antivirusi, vatrozidi, sustavi za otkrivanje upada - u ovoj situaciji, sa standardnim postavkama, neće blokirati takve akcije. Traže izdajničke znakove kibernetičkih napada, poput pokušaja uspostavljanja mrežne veze s poznatim zlonamjernim izvorom, preuzimanja zlonamjerne datoteke ili pokretanja alata za praćenje na računalu. A traženje prava na svoj račun ili daljinsko povezivanje s mrežom pomoću standardnih programa potpuno su legitimne radnje za većinu tvrtki.
Međutim, stručnjak za sigurnost će razumjeti kakodogađaji se mogu dalje razvijati. Ako napadač uđe u računalo voditelja ljudskih resursa, moći će u bilo kojem trenutku otvoriti daljinsku vezu s ovom radnom stanicom i unijeti zlonamjerni softver, a podaci o računima pomoći će mu u razvoju napada.
Kako bi se eliminiralo potencijalno hakiranje, takve radnje potrebno je pratiti i kontrolirati. Upravo je to glavna zadaća nadzora kibernetičke sigurnosti.
Što je učinkovito praćenje kibernetičke sigurnosti
Bez praćenja prijetnji, tvrtka će najvjerojatnijesaznaje za hakiranje naknadno, kada postane nemoguće ne primijetiti incident, na primjer, kod šifriranja podataka na poslužiteljima i radnim stanicama. S druge strane, proaktivni pristup omogućuje pravovremenu identifikaciju nelegitimnih aktivnosti kroz centralizirano prikupljanje, sistematizaciju i analizu sigurnosnih događaja. To može funkcionirati na različite načine.
Neke organizacije ga pružajustručnjak koji prati upozorenja - obavijesti sigurnosnih alata, na primjer, antivirusa, o sumnjivim aktivnostima. To je u određenoj mjeri i nadzor, ali ne može pružiti pravu zaštitu: stručnjak će kontrolirati samo mali dio infrastrukture.
Naprednija opcija - a to čine i mnogipoduzeća za implementaciju SIEM sustava (sustav upravljanja sigurnosnim događajima). Prikupljat će podatke iz različitih dijelova infrastrukture, stvarati lance događaja i pratiti alarme. Nažalost, ni to možda neće biti dovoljno, jer jednostavno pronaći problem nije dovoljno.
Sustav SIEM prikupljat će podatke iz različitih dijelova infrastrukture, stvarati lance događaja i nadzirati alarmne signale
Za zreo pristup kibernetičkoj sigurnosti i potpunu zaštitu potrebno je i:
- Budite u mogućnosti unaprijed predvidjeti s kakvim se incidentima tvrtka može susresti.
- Ako se dogodio događaj, analizirajte što se točno dogodilo.
- Ispravno reagirati na incident.
- Radite na pogreškama kako se situacija ne bi ponovila u budućnosti.
Takvi će procesi zahtijevati integraciju praćenja sigurnosnih događaja s proaktivnom analizom prijetnji i odgovorom na incident.
Učinkovitije je to učiniti u okviru posebnogodjela koji se naziva: centar za nadzor i odgovor na kibernetičke prijetnje (security operations center, SOC). Može raditi i vlastitim resursima tvrtke i uz uključivanje tima treće strane.
SOC связывает технологии, людей и процессы кибербезопасности: такое сочетание обеспечивает оптимальную защиту в условиях, когда атаки становятся все сложнее.
Дальше расскажем, как работает SOC и как добиться от него максимальных результатов.
Kako SOC čini praćenje incidenata učinkovitijim
Прежде чем внедрять мониторинг, компании нужно позаботиться о превентивных средствах защиты, которые помогут уберечься от типовых атак. Данный этап работы можно обозначить как предотвращение (prevention). Внедренные средства защиты информации (СЗИ) смогут автоматически блокировать известные атаки, но многие злоумышленники давно научились их обходить. Чтобы справиться с «невидимыми» угрозами, компании требуются иные средства, в частности, системы мониторинга.
По своей сути этап prevention не входит непосредственно в процесс мониторинга угроз, но является его важным предшественником.
Как мы говорили выше, основная часть компаний выстраивает мониторинг кибербезопасности на базе SIEM-систем. В этом случае процесс можно разложить на следующие этапы:
1. В сети устанавливаются СЗИ: антивирусы, межсетевые экраны, сетевые сканеры безопасности и прочие системы, основная цель которых — в автоматическом режиме искать признаки взлома.
2. С этих СЗИ, а также с конечных устройств, сетевого оборудования, приложений и других источников собираются события безопасности — пассивно или с установкой программ-агентов. События попадают в SIEM-систему, где к ним применяются правила корреляции. По итогу этого анализа удается определить потенциально опасные действия.
Этот этап работы можно обозначить как обнаружение (detection), и он уже входит в процесс мониторинга угроз.
3. Обнаруженные правилами тревожные сигналы анализирует команда специалистов. Если угроза подтверждается, они инициируют реагирование. В его рамках могут быть использованы специализированные системы класса IRP/SOAR (i), которые запускают (по команде аналитика или автоматически на базе преднастроенных правил) сценарии реагирования для выявленного типа инцидента — плейбуки.
Этот этап работы можно обозначить как реагирование (response).
(i) Incident Response Platform/Security Orchestration, Automation and Response — класс программных продуктов для координации систем безопасности и управления ими. Эти решения позволяют собирать из разных источников данные о событиях безопасности, обрабатывать их и автоматизировать типовые сценарии реагирования.
SOC дополняет цикл еще двумя этапами: непрерывное выявление уязвимостей (prediction) и извлечение уроков на будущее (lessons learned). Выявлять уязвимости на постоянной основе важно, чтобы своевременно их закрывать и снижать вероятность их эксплуатации киберпреступниками. А в ходе реагирования на инцидент компания может определить, какие события можно было бы предотвратить на этапе prevention, и вынести уроки, чтобы дополнить политики срабатывания СЗИ. В совокупности это позволяет сформировать наиболее полный подход к защите.
Kako izvući najviše iz praćenja
Кроме стандартных инцидентов кибербезопасности, в компании могут произойти и иные события, способные нарушить непрерывность бизнес-процессов. Такие инциденты также важно выявлять в SOC, а значит, их следует ставить на мониторинг.
Возьмем для примера локальное очистное сооружение. Атака на автоматизированную систему управления технологическими процессами (АСУ ТП), ошибка оператора или нерегламентированная команда могут вызвать сброс неочищенных стоков. Итог — экологическая катастрофа, огромные штрафы, а то и уголовные дела против ответственных лиц. Чтобы снизить ущерб от инцидента, можно наладить круглосуточный мониторинг режима работы датчика задвижки: если она откроется, например, при неактивном режиме очистки, инженеры смогут немедленно принять меры. SOC — подходящая технологическая база для этого, если подготовить правила корреляции событий в SIEM и написать плейбуки.
Как же выявлять такие события и обогащать тем самым картину для мониторинга? Мы рекомендуем провести анализ воздействия на бизнес (business impact analysis, BIA). Он даст реальное представление о том, чем грозят разные инциденты, и поможет найти факторы риска — в том числе и за пределами кибербезопасности.
На каждом из этапов (prediction, prevention, detection, response, lessons learned) этот анализ позволит оптимизировать процессы, приоритизировать риски, сформировать логику выявления и предотвращения различных атак и выработать эффективные меры реагирования, чтобы минимизировать возможный ущерб.
BIA можно провести самостоятельно, если в компании есть опытная команда экспертов, которые понимают процессы управления непрерывностью бизнеса и ориентируются в стандартах. Если таких специалистов в штате нет, к работе можно привлечь внешних экспертов.
Treba li svaka tvrtka SOC
Ответ зависит от рисков, которые станут понятны по итогам BIA. При этом нужно рассматривать ущерб не только для ИТ-инфраструктуры: нарушить непрерывность бизнес-процессов могут, например, и сбои внешних сервисов, которые также важно выявлять в SOC.
По итогам анализа на одной чаше весов будут затраты на внедрение собственного или подключение внешнего SOC, а на другой — ущерб от запоздалой реакции на события безопасности. Руководство сможет принимать решения, оценивая конкретные сценарии. Если станет ясно, что потери от каких-либо инцидентов недопустимы для компании, а SOC при этом не создаст чрезмерную нагрузку на бюджет, есть смысл потратить средства, чтобы исключить те критические потери.
Может быть и наоборот: потенциальные потери бизнеса не оправдают расходы на SOC. Тогда компания может поставить на мониторинг отдельные ключевые события и выстроить процедуры реагирования на самые опасные сценарии.
SOC: interno ili eksternalizirano?
Когда компания определилась, что ей действительно нужен SOC, остается решить, будет ли он работать на ее собственных ресурсах или нужно обратиться в экспертную организацию.
Принять такое решение помогут следующие вопросы.
- Možete li sami procijeniti kritičnost sustava u smislu praćenja?
Компании считают, что чем ценнее информация, которая хранится и обрабатывается в системе, тем критичнее эта система и тем важнее вести ее мониторинг. Но такой подход не всегда будет верным.
Если киберпреступники смогут добраться до этих критически важных систем и, например, выложить в сеть базу данных, защищать информацию поздно — ее уже скомпрометировали. Но на пути к цели злоумышленнику нужно получить доступ в инфраструктуру, провести разведку, создать себе учетную запись с максимальными правами и так далее. Задача компании — как можно раньше заметить нелегитимные действия и среагировать, не дожидаясь, пока взломщик получит доступ к критическим активам. Поэтому мониторинг должен охватывать не только такие активы, но и все точки, которые пройдет злоумышленник. Это могут быть почтовые серверы, рабочие станции пользователей, второстепенные информационные системы. Все это — элементы инфраструктуры, которые обычно не считаются критически важными.
Чтобы создать эффективный собственный SOC, компании нужны специалисты, которые смогут правильно ранжировать системы по значимости. Если у организации нет таких работников, ей помогут сторонние эксперты.
2.Trebate li se pridržavati pravnih zahtjeva za prijavu incidenata regulatorima?
Субъекты критической информационной инфраструктуры (КИИ) должны передавать информацию об инцидентах в государственную систему обнаружения, предупреждения и ликвидации последствий компьютерных атак (ГосСОПКА). Для этого необходимо выстроить взаимодействие с регулятором, проработать регламенты, выполнить интеграцию, наладить автоматизированную передачу сведений об инцидентах и т. д.
Все это можно делать самостоятельно. Если же у компании нет возможности выделить собственные ресурсы на такую работу, можно поручить эти задачи внешнему SOC, у которого есть статус корпоративного центра ГосСОПКА.
3.Koliko brzo trebate započeti praćenje?
Чтобы построить и ввести в работу свой SOC, компании может потребоваться несколько лет. SOC должен достичь определенного уровня зрелости, чтобы действительно начать выявлять инциденты, которые не заметили стандартные превентивные средства защиты. Наращивание экспертной базы правил, по которым выявляются подозрительные события, постоянная их актуализация, выстраивание процессов, подготовка плейбуков — все это требует очень много времени и ресурсов. Например, 1 300 правил (на январь 2023 года) в базе нашего SOC мы разрабатывали более четырех лет. При этом запустить внешний SOC можно за несколько недель.
4.Koja je brzina odgovora na incident kritična za vas?
Анализ воздействия на бизнес покажет, в какие рамки нужно уложиться при реагировании на инцидент. Может оказаться, что одночасовой сбой никак не скажется на бизнесе, через два часа начнутся проблемы в процессах, а два дня простоя будут грозить крупным финансовым и репутационным ущербом. Все это нужно учитывать в плейбуках, из которых будет понятна процедура реагирования. На некоторые инциденты необходимо реагировать в течение нескольких минут, в том числе и ночью. Следовательно, SOC должен работать круглосуточно, а если потребуются узкопрофильные эксперты, им нужно будет подключиться как можно скорее.
Собственный круглосуточный SOC — это большие затраты. Основную часть расходов составят кадры — людей нужно найти и адаптировать к работе в компании. Во внешнем SOC уже есть опытные специалисты, которые ежедневно в режиме 24/7 разбираются с инцидентами у компаний из различных отраслей.
5.Jeste li spremni snositi velike jednokratne troškove?
Вопросы бюджета при создании SOC у себя или с привлечением аутсорсинга решаются индивидуально, однозначного ответа насчет того, какой вариант будет дешевле, нет. Все зависит от численности и квалификации штата, используемых технических решений и сервисов, прочего инструментария.
Стоит учитывать, что собственный и внешний SOC относятся к разным статьям бюджета. В первом случае речь о капитальных вложениях: оборудование, программное обеспечение, лицензии, помещения, мебель. Во втором расходы будут операционные.
Соответственно, для создания своего SOC понадобятся крупные первоначальные инвестиции, а при аутсорсинге — нет.
6.Imate li kvalificirane zaposlenike?
В SOC нужно изначально набирать высококвалифицированных специалистов, которые должны постоянно накапливать опыт. При этом решить кадровый вопрос сегодня нелегко. Во всем мире не хватает нескольких миллионов профильных сотрудников, в России счет приближается к ста тысячам человек. Сбор команды в штат может занять месяцы, а в стороннем SOC она уже есть. Кроме того, при планировании расходов на собственный центр мониторинга нужно учитывать не только зарплаты экспертов, но и затраты на профессиональное обучение, сертификацию и повышение квалификации.
Sažimajući
Без мониторинга инцидентов невозможно говорить о кибербезопасности — нельзя защититься от угроз, которые не видишь. Но, пожалуй, еще хуже потратить деньги и не добиться результата.
Начните с анализа воздействия событий на бизнес, чтобы определиться, какой мониторинг даст ожидаемый результат. Постоянно обновляйте список событий безопасности, которые влияют на устойчивость компании. Так вы улучшите общее качество мониторинга и значительно повысите уровень киберзрелости в вашей организации.
Čitaj više:
Znanstvenici su otkrili prirodu čudnih radio signala s planeta sličnog Zemlji
Stručnjaci su predvidjeli koliko će ljudi živjeti na Zemlji do 2100. godine
Nova vrsta crne rupe pronađena kako vreba u 'kozmičkom dvorištu' Zemlje