Perché gli strumenti di sicurezza preventiva non bastano a tutelare l'azienda
Immaginiamolo
Preventivi sulla sicurezza informatica -antivirus, firewall, sistemi di rilevamento delle intrusioni: in questa situazione, con le impostazioni standard, non bloccheranno tali azioni. Cercano segni rivelatori di attacchi informatici, come tentativi di stabilire una connessione di rete a una risorsa dannosa nota, scaricare un file dannoso o eseguire strumenti di tracciamento su un computer. E richiedere i diritti sul proprio account o connettersi alla rete da remoto utilizzando programmi standard sono azioni del tutto legittime per la maggior parte delle aziende.
Tuttavia, un professionista della sicurezza capirà comegli eventi possono svilupparsi ulteriormente. Se un utente malintenzionato penetra nel computer del responsabile delle risorse umane, può in qualsiasi momento aprire una connessione remota a questa postazione di lavoro e introdurre software dannoso e le informazioni sugli account lo aiuteranno a sviluppare l'attacco.
Per eliminare potenziali attacchi di pirateria informatica, tali azioni devono essere monitorate e controllate. Questo è proprio il compito principale del monitoraggio della sicurezza informatica.
Che cos'è un monitoraggio efficace della sicurezza informatica
Senza il monitoraggio delle minacce, molto probabilmente un'azienda lo faràviene a conoscenza di un hack a posteriori, quando diventa impossibile non notare l'incidente, ad esempio durante la crittografia dei dati su server e workstation. A sua volta, un approccio proattivo consente l’identificazione tempestiva di attività illegittime attraverso la raccolta centralizzata, la sistematizzazione e l’analisi degli eventi di sicurezza. Questo può funzionare in diversi modi.
Alcune organizzazioni ne forniscono unouno specialista che monitora gli avvisi: notifiche da strumenti di sicurezza, ad esempio antivirus, su attività sospette. In una certa misura anche questo è un monitoraggio, ma non può fornire una vera protezione: l’esperto controllerà solo una piccola parte dell’infrastruttura.
Un'opzione più avanzata - e così fanno moltiaziende di implementare un sistema SIEM (sistema di gestione degli eventi di sicurezza). Raccoglierà dati da diverse parti dell'infrastruttura, creerà catene di eventi e monitorerà gli allarmi. Sfortunatamente, anche questo potrebbe non essere sufficiente, perché semplicemente trovare il problema non è sufficiente.
Il sistema SIEM raccoglierà dati da diverse parti dell'infrastruttura, creerà catene di eventi e monitorerà i segnali di allarme
Per un approccio maturo alla sicurezza informatica e una protezione completa, sono inoltre necessari:
- Essere in grado di prevedere in anticipo quali incidenti l'azienda potrebbe incontrare.
- Se si è verificato un evento, analizza cosa è successo esattamente.
- Rispondi correttamente all'incidente.
- Lavora sugli errori in modo che la situazione non si ripeta in futuro.
Tali processi richiederanno l'integrazione del monitoraggio degli eventi di sicurezza con l'analisi proattiva delle minacce e la risposta agli incidenti.
È più efficace farlo all'interno di uno specialedivisione, che viene denominata: centro per il monitoraggio e la risposta alle minacce informatiche (centro operativo per la sicurezza, SOC). Può funzionare sia con le risorse proprie dell'azienda sia con il coinvolgimento di un team di terze parti.
Un SOC collega tecnologia, persone e processi di sicurezza informatica: una combinazione che fornisce una protezione ottimale quando gli attacchi diventano più sofisticati.
Successivamente, ti diremo come funziona il SOC e come ottenerne i massimi risultati.
In che modo SOC rende più efficiente il monitoraggio degli incidenti
Prima di implementare il monitoraggio, un'azienda ha bisognoprendersi cura delle misure di protezione preventiva che aiuteranno a proteggersi dagli attacchi comuni. Questa fase del lavoro può essere definita prevenzione. Gli strumenti di sicurezza informatica implementati (ISIS) saranno in grado di bloccare automaticamente gli attacchi noti, ma molti aggressori hanno imparato da tempo a aggirarli. Per far fronte alle minacce "invisibili", l'azienda necessita di altri mezzi, in particolare di sistemi di monitoraggio.
Fondamentalmente, la fase di prevenzione non è direttamente inclusa nel processo di monitoraggio delle minacce, ma ne costituisce un importante predecessore.
Come abbiamo detto sopra, la maggior parte delle aziende realizza il monitoraggio della sicurezza informatica sulla base di sistemi SIEM. In questo caso, il processo può essere suddiviso nelle seguenti fasi:
1. Sulla rete sono installati sistemi informativi di sicurezza: antivirus, firewall, scanner di sicurezza di rete e altri sistemi, il cui scopo principale è cercare automaticamente segni di hacking.
2. Gli eventi di sicurezza vengono raccolti da questi sistemi di sicurezza delle informazioni, nonché da dispositivi finali, apparecchiature di rete, applicazioni e altre fonti, passivamente o con l'installazione di programmi agente. Gli eventi entrano nel sistema SIEM, dove vengono applicate le regole di correlazione. Sulla base dei risultati di questa analisi è possibile identificare azioni potenzialmente pericolose.
Questa fase del lavoro può essere definita rilevamento ed è già inclusa nel processo di monitoraggio delle minacce.
3. I segnali di allarme rilevati dalle norme vengono analizzati da un team di specialisti. Se la minaccia viene confermata, avviano una risposta. Nel suo ambito possono essere utilizzati sistemi specializzati della classe IRP/SOAR(i), che lanciano (su comando dell'analista o automaticamente sulla base di regole preconfigurate) scenari di risposta per il tipo di incidente identificato - playbook.
Questa fase del lavoro può essere designata come risposta.
(i) Piattaforma/Sicurezza di risposta agli incidentiOrchestration, Automation and Response è una classe di prodotti software per il coordinamento e la gestione dei sistemi di sicurezza. Queste soluzioni consentono di raccogliere dati su eventi di sicurezza da varie fonti, elaborarli e automatizzare gli scenari di risposta tipici.
Il SOC estende il ciclo con altri due passaggi:identificazione continua delle vulnerabilità (previsione) e lezioni di apprendimento per il futuro (lezioni apprese). È importante identificare costantemente le vulnerabilità per chiuderle tempestivamente e ridurre la probabilità che vengano sfruttate dai criminali informatici. E mentre l’azienda risponde a un incidente, può identificare quali eventi avrebbero potuto essere prevenuti durante la fase di prevenzione e apprendere lezioni per integrare le proprie politiche di risposta. Nel loro insieme, tutto ciò ci consente di formulare l’approccio più completo alla protezione.
Come ottenere il massimo dal monitoraggio
Oltre agli incidenti di sicurezza informatica standard,L’azienda potrebbe inoltre subire altri eventi che potrebbero interrompere la continuità dei processi aziendali. È inoltre importante identificare tali incidenti nel SOC, il che significa che dovrebbero essere monitorati.
Prendiamo come esempio un impianto locale di trattamento delle acque reflue.Un attacco a un sistema di controllo automatizzato del processo (APCS), un errore dell'operatore o un comando non regolamentato possono causare lo scarico di acque reflue non trattate. Il risultato è un disastro ambientale, multe enormi e persino procedimenti penali contro i responsabili. Per ridurre i danni derivanti da un incidente, è possibile monitorare 24 ore su 24 il funzionamento del sensore della valvola: se si apre, ad esempio, durante una modalità di pulizia inattiva, i tecnici possono intervenire immediatamente. SOC è una base tecnologica adatta a questo scopo, se prepari regole per la correlazione di eventi in SIEM e scrivi playbook.
Come identificare tali eventi e arricchirlila maggior parte delle immagini per il monitoraggio? Raccomandiamo di condurre un'analisi dell'impatto aziendale (BIA). Ti darà un'idea reale di quali sono i rischi dei diversi incidenti e ti aiuterà a trovare i fattori di rischio, anche al di fuori della sicurezza informatica.
In ogni fase (previsione, prevenzione,rilevamento, risposta, lezioni apprese) questa analisi consentirà di ottimizzare i processi, dare priorità ai rischi, creare una logica per identificare e prevenire vari attacchi e sviluppare misure di risposta efficaci per ridurre al minimo i possibili danni.
Puoi condurre tu stesso una BIA se tuL'azienda dispone di un team esperto di esperti che comprendono i processi di gestione della continuità aziendale e sono orientati agli standard. Se non sono presenti specialisti di questo tipo nel personale, è possibile coinvolgere esperti esterni nel lavoro.
Ogni azienda ha bisogno di un SOC
La risposta dipende dai rischi che diventano evidentisulla base dei risultati della BIA. Allo stesso tempo, è necessario considerare i danni non solo all'infrastruttura IT: la continuità dei processi aziendali può, ad esempio, essere interrotta da guasti di servizi esterni, che è importante identificare anche nel SOC.
In base ai risultati dell’analisi, da un lato della bilancia ci sarài costi per l'implementazione del proprio SOC o per il collegamento di un SOC esterno e, dall'altro, il danno derivante da una risposta ritardata agli eventi di sicurezza. Il management sarà in grado di prendere decisioni valutando scenari specifici. Se diventa chiaro che le perdite derivanti da eventuali incidenti sono inaccettabili per l'azienda e il SOC non creerà un onere eccessivo sul budget, è logico spendere soldi per eliminare tali perdite critiche.
Può anche essere il contrario:potenziali perdite aziendali non giustificheranno la spesa di un SOC. Quindi l'azienda può monitorare i singoli eventi chiave e creare procedure di risposta per gli scenari più pericolosi.
SOC: in-house o outsourcing?
Quando un'azienda ha deciso che ha davvero bisogno di un SOC, resta da decidere se lavorerà con risorse proprie o se avrà bisogno di contattare un'organizzazione esperta.
Le seguenti domande ti aiuteranno a prendere questa decisione.
- Puoi valutare tu stesso la criticità dei sistemi in termini di monitoraggio?
Le aziende ritengono che quanto più preziose sono le informazioni archiviate ed elaborate in un sistema, tanto più critico è il sistema e tanto più importante è monitorarlo. Ma questo approccio non sarà sempre corretto.
Se i criminali informatici riescono a raggiungerlisistemi critici e, ad esempio, mettendo un database in rete, è troppo tardi per proteggere le informazioni: sono già state compromesse. Ma nel percorso verso l'obiettivo, l'aggressore deve avere accesso all'infrastruttura, condurre ricognizioni, creare un account con i massimi diritti e così via. Il compito dell’azienda è individuare le azioni illegittime il prima possibile e reagire, senza aspettare che l’aggressore abbia accesso alle risorse critiche. Pertanto, il monitoraggio dovrebbe coprire non solo tali risorse, ma anche tutti i punti che l'aggressore oltrepasserà. Questi possono essere server di posta, postazioni di lavoro degli utenti, sistemi informativi secondari. Questi sono tutti elementi dell'infrastruttura che in genere non sono considerati critici.
Per creare un SOC personalizzato efficace,l'azienda ha bisogno di specialisti in grado di classificare correttamente i sistemi in base all'importanza. Se l'organizzazione non dispone di tali dipendenti, esperti di terze parti la aiuteranno.
2.Devi rispettare i requisiti legali per la segnalazione di incidenti alle autorità di regolamentazione?
Soggetti di informazione criticaL'infrastruttura (KII) deve trasmettere informazioni sugli incidenti al sistema statale per rilevare, prevenire ed eliminare le conseguenze degli attacchi informatici (GosSOPKA). Per fare ciò, è necessario costruire un'interazione con l'autorità di regolamentazione, elaborare regolamenti, eseguire l'integrazione, stabilire la trasmissione automatizzata di informazioni sugli incidenti, ecc.
Puoi fare tutto questo da solo.Se l'azienda non ha la possibilità di stanziare le proprie risorse per tale lavoro, è possibile affidare questi compiti a un SOC esterno, che ha lo status di centro aziendale dell'Organizzazione sociologica statale.
3.Quanto velocemente hai bisogno per iniziare il monitoraggio?
Per costruire e mettere in funzione il tuoIl completamento di un SOC può richiedere diversi anni. Il SOC deve raggiungere un certo livello di maturità per iniziare veramente a identificare gli incidenti che le difese preventive standard non sono riusciti a cogliere. Aumentare la base esperta di regole che identificano eventi sospetti, aggiornandoli costantemente, costruendo processi, preparando playbook: tutto ciò richiede molto tempo e risorse. Ad esempio, da più di quattro anni sviluppiamo 1.300 regole (a gennaio 2023) nel nostro database SOC. Allo stesso tempo, puoi lanciare un SOC esterno entro poche settimane.
4.Quale velocità di risposta agli incidenti è fondamentale per te?
Un’analisi dell’impatto aziendale mostrerà qualiÈ necessario rispettare i limiti quando si risponde a un incidente. È possibile che un guasto di un'ora non abbia alcun impatto sull'azienda, dopo due ore inizieranno problemi nei processi e due giorni di inattività minacceranno gravi danni finanziari e reputazionali. Tutto ciò deve essere preso in considerazione nei playbook, dai quali risulterà chiara la procedura di risposta. Ad alcuni incidenti è necessario rispondere entro pochi minuti, anche di notte. Pertanto, il SOC deve operare 24 ore su 24 e, se sono necessari esperti specializzati, dovranno essere collegati il prima possibile.
Avere il tuo SOC 24 ore su 24, 7 giorni su 7 è importantespese. La maggior parte dei costi riguarderà il personale: le persone devono essere trovate e adattate al lavoro in azienda. Il SOC esterno dispone già di specialisti esperti che si occupano ogni giorno degli incidenti di aziende di vari settori, 24 ore su 24, 7 giorni su 7.
5.Sei pronto a sostenere i grandi costi una tantum?
Problemi di budget durante la creazione di un SOC a casa o conl'outsourcing viene deciso individualmente; non esiste una risposta chiara su quale opzione sarà più economica. Tutto dipende dal numero e dalle qualifiche del personale, dalle soluzioni tecniche e dai servizi utilizzati e da altri strumenti.
Vale la pena considerarlo tuoe il SOC esterno si riferiscono a diverse voci di bilancio. Nel primo caso si tratta di investimenti di capitale: attrezzature, software, licenze, locali, mobili. Nel secondo, le spese operative saranno.
Di conseguenza, per creare il proprio SOC saranno necessari ingenti investimenti iniziali, ma non con l'outsourcing.
6.Hai dipendenti qualificati?
In SOC è necessario inizialmente comporre il numerospecialisti altamente qualificati che devono acquisire costantemente esperienza. Allo stesso tempo, risolvere oggi la questione del personale non è facile. In tutto il mondo mancano diversi milioni di lavoratori specializzati, in Russia si sfiorano le migliaia di persone. Mettere insieme un team di personale può richiedere mesi, ma un SOC di terze parti ne ha già uno. Inoltre, quando si pianificano i costi del proprio centro di monitoraggio, è necessario tenere conto non solo degli stipendi degli esperti, ma anche dei costi di formazione professionale, certificazione e formazione avanzata.
Riassumendo
Senza monitorare gli incidenti è impossibile parlare di sicurezza informatica: non puoi proteggerti dalle minacce che non puoi vedere. Ma forse è ancora peggio spendere soldi e non ottenere risultati.
Inizia analizzando l’impatto degli eventi sul business,per determinare quale monitoraggio darà il risultato atteso. Aggiorna costantemente l'elenco degli eventi di sicurezza che influiscono sulla sostenibilità dell'azienda. Ciò migliorerà la qualità complessiva del monitoraggio e aumenterà in modo significativo il livello di maturità informatica della tua organizzazione.
Leggi di più:
Gli scienziati hanno scoperto la natura di strani segnali radio provenienti da un pianeta simile alla Terra
Gli esperti hanno previsto quante persone vivranno sulla Terra entro il 2100
Nuovo tipo di buco nero trovato in agguato nel "cortile cosmico" della Terra