Kāpēc uzņēmuma aizsardzībai nepietiek ar profilaktiskiem drošības līdzekļiem
Iedomāsimies to tālāk
Kiberdrošības profilakse -antivīrusi, ugunsmūri, ielaušanās atklāšanas sistēmas - šajā situācijā ar standarta iestatījumiem tie šādas darbības nebloķēs. Viņi meklē kiberuzbrukumu pazīmes, piemēram, mēģinājumus izveidot tīkla savienojumu ar zināmu ļaunprātīgu resursu, lejupielādēt ļaunprātīgu failu vai datorā palaist izsekošanas rīkus. Un tiesību pieprasīšana savam kontam vai attāla savienojuma izveide ar tīklu, izmantojot standarta programmas, lielākajai daļai uzņēmumu ir pilnīgi likumīgas darbības.
Tomēr drošības speciālists sapratīs, kānotikumi var attīstīties tālāk. Ja uzbrucējs iekļūst personāla vadītāja datorā, viņš jebkurā laikā var atvērt attālo savienojumu ar šo darbstaciju un ieviest ļaunprātīgu programmatūru, un informācija par kontiem palīdzēs viņam attīstīt uzbrukumu.
Lai novērstu iespējamo uzlaušanu, šādas darbības ir jāuzrauga un jākontrolē. Tieši tas ir galvenais kiberdrošības uzraudzības uzdevums.
Kas ir efektīva kiberdrošības uzraudzība
Bez draudu uzraudzības uzņēmums, visticamāk, to darīspar uzlaušanu uzzina pēc fakta, kad kļūst neiespējami nepamanīt incidentu, piemēram, šifrējot datus serveros un darbstacijās. Savukārt proaktīva pieeja ļauj laikus identificēt nelikumīgas darbības, centralizēti vācot, sistematizējot un analizējot drošības notikumus. Tas var darboties dažādos veidos.
Dažas organizācijas to nodrošinaspeciālists, kas uzrauga brīdinājumus - paziņojumus no drošības rīkiem, piemēram, antivīrusu, par aizdomīgām darbībām. Zināmā mērā tas ir arī monitorings, taču tas nevar nodrošināt reālu aizsardzību: eksperts kontrolēs tikai nelielu infrastruktūras daļu.
Uzlabotāka iespēja - un tā dara daudziuzņēmumiem ieviest SIEM sistēmu (drošības notikumu vadības sistēmu). Tas apkopos datus no dažādām infrastruktūras daļām, veidos notikumu ķēdes un izsekos trauksmes signālus. Diemžēl arī ar to var nepietikt, jo ar problēmas atrašanu vien nepietiek.
SIEM sistēma apkopos datus no dažādām infrastruktūras daļām, veidos notikumu ķēdes un uzraudzīs trauksmes signālus
Lai iegūtu nobriedušu pieeju kiberdrošībai un pilnīgai aizsardzībai, jums ir nepieciešams arī:
- Jāspēj iepriekš paredzēt, ar kādiem starpgadījumiem uzņēmums var saskarties.
- Ja noticis notikums, analizējiet, kas tieši noticis.
- Pareizi reaģējiet uz incidentu.
- Piestrādājiet pie kļūdām, lai situācija neatkārtotos nākotnē.
Šādiem procesiem būs jāintegrē drošības notikumu uzraudzība ar proaktīvu draudu analīzi un reaģēšanu uz incidentiem.
Efektīvāk to darīt īpašā ietvarosnodaļa, kas tiek saukta: centrs kiberdraudu uzraudzībai un reaģēšanai uz tiem (drošības operāciju centrs, SOC). Tas var darboties gan ar uzņēmuma pašu resursiem, gan ar trešās puses komandas iesaisti.
SOC savieno tehnoloģijas, cilvēkus un kiberdrošības procesus — šī kombinācija nodrošina optimālu aizsardzību, kad uzbrukumi kļūst arvien sarežģītāki.
Tālāk mēs jums pastāstīsim, kā darbojas SOC un kā ar to iegūt maksimālus rezultātus.
Kā SOC padara incidentu uzraudzību efektīvāku
Pirms uzraudzības ieviešanas uzņēmumam ir nepieciešamsrūpēties par profilaktiskiem aizsardzības pasākumiem, kas palīdzēs aizsargāties pret bieži sastopamiem uzbrukumiem. Šo darba posmu var apzīmēt kā profilaksi. Ieviestie informācijas drošības rīki (ISIS) spēs automātiski bloķēt zināmos uzbrukumus, taču daudzi uzbrucēji jau sen ir iemācījušies tos apiet. Lai tiktu galā ar “neredzamiem” draudiem, uzņēmumam ir nepieciešami citi līdzekļi, jo īpaši uzraudzības sistēmas.
Prevencijas posms pēc būtības nav tieši iekļauts draudu uzraudzības procesā, bet ir nozīmīgs tā priekštecis.
Kā jau teicām iepriekš, lielākā daļa uzņēmumu veido kiberdrošības uzraudzību, pamatojoties uz SIEM sistēmām. Šajā gadījumā procesu var iedalīt šādos posmos:
1. Tīklā ir uzstādītas drošības informācijas sistēmas: antivīrusi, ugunsmūri, tīkla drošības skeneri un citas sistēmas, kuru galvenais mērķis ir automātiski meklēt uzlaušanas pazīmes.
2. Drošības notikumi tiek vākti no šīm informācijas drošības sistēmām, kā arī no gala ierīcēm, tīkla iekārtām, aplikācijām un citiem avotiem – pasīvi vai ar aģentu programmu instalēšanu. Notikumi nonāk SIEM sistēmā, kur tiem tiek piemēroti korelācijas noteikumi. Pamatojoties uz šīs analīzes rezultātiem, ir iespējams identificēt potenciāli bīstamas darbības.
Šo darba posmu var apzīmēt kā atklāšanu, un tas jau ir iekļauts draudu uzraudzības procesā.
3. Noteikumos noteiktos trauksmes signālus analizē speciālistu komanda. Ja draudi apstiprinās, viņi sāk atbildi. Tās ietvaros var izmantot specializētas IRP/SOAR(i) klases sistēmas, kas palaiž (pēc analītiķa komandas vai automātiski, pamatojoties uz iepriekš konfigurētiem noteikumiem) reaģēšanas scenārijus identificētajam incidenta veidam – rokasgrāmatas.
Šo darba posmu var apzīmēt kā atbildi.
i) incidentu reaģēšanas platforma/drošībaOrchestration, Automation and Response ir programmatūras produktu klase drošības sistēmu koordinēšanai un pārvaldībai. Šie risinājumi ļauj apkopot datus par drošības notikumiem no dažādiem avotiem, apstrādāt tos un automatizēt tipiskus atbildes scenārijus.
SOC pagarina ciklu ar vēl diviem posmiem:nepārtraukta ievainojamību identificēšana (prognozēšana) un mācības nākotnei (gūtās atziņas). Ir svarīgi pastāvīgi apzināt ievainojamības, lai tās laikus novērstu un samazinātu iespēju, ka kibernoziedznieki tās izmantos. Un, uzņēmumam reaģējot uz incidentu, tas var noteikt, kādus notikumus novēršanas posmā varēja novērst, un mācīties, lai papildinātu savu reaģēšanas politiku. Kopumā tas ļauj mums formulēt vispilnīgāko pieeju aizsardzībai.
Kā gūt maksimālu labumu no uzraudzības
Papildus standarta kiberdrošības incidentiem,Uzņēmums var piedzīvot arī citus notikumus, kas var traucēt biznesa procesu nepārtrauktību. Ir svarīgi arī identificēt šādus incidentus SOC, kas nozīmē, ka tie ir jāuzrauga.
Ņemsim par piemēru vietējo notekūdeņu attīrīšanas iekārtu.Uzbrukums automatizētai procesa vadības sistēmai (APCS), operatora kļūda vai neregulēta komanda var izraisīt neattīrītu notekūdeņu novadīšanu. Rezultāts ir vides katastrofa, milzīgi naudas sodi un pat krimināllietas pret atbildīgajiem. Lai samazinātu negadījuma radītos bojājumus, varat uzraudzīt vārsta sensora darbību visu diennakti: ja tas atveras, piemēram, neaktīvā tīrīšanas režīma laikā, inženieri var nekavējoties rīkoties. SOC ir tam piemērota tehnoloģiskā bāze, ja sagatavojat noteikumus notikumu korelācijai SIEM un rakstat rokasgrāmatas.
Kā atpazīt šādus notikumus un bagātināt tosvisvairāk attēlu monitoringam? Mēs iesakām veikt uzņēmējdarbības ietekmes analīzi (BIA). Tas sniegs reālu priekšstatu par to, kādi ir dažādu incidentu riski, un palīdzēs atrast riska faktorus, tostarp ārpus kiberdrošības.
Katrā posmā (prognozēšana, profilakse,atklāšana, reaģēšana, gūtās atziņas) šī analīze ļaus optimizēt procesus, noteikt risku prioritāti, izveidot loģiku dažādu uzbrukumu identificēšanai un novēršanai un izstrādāt efektīvus reaģēšanas pasākumus, lai samazinātu iespējamo kaitējumu.
Jūs pats varat veikt BSA, ja vēlatiesUzņēmumā strādā pieredzējusi ekspertu komanda, kas izprot darbības nepārtrauktības vadības procesus un orientējas standartos. Ja personālā šādu speciālistu nav, darbā varat piesaistīt ārējos ekspertus.
Vai katram uzņēmumam ir nepieciešams SOC
Atbilde ir atkarīga no riskiem, kas kļūst skaidripamatojoties uz BSA rezultātiem. Tajā pašā laikā jārēķinās ar kaitējumu ne tikai IT infrastruktūrai: biznesa procesu nepārtrauktību var, piemēram, traucēt ārējo pakalpojumu kļūmes, kuras ir svarīgi identificēt arī SOC.
Balstoties uz analīzes rezultātiem, vienā skalas pusē būsizmaksas, kas rodas, ieviešot savu vai pievienojot ārēju SOC, un, no otras puses, zaudējumus, kas radušies novēlotas reaģēšanas dēļ uz drošības notikumiem. Vadība varēs pieņemt lēmumus, izvērtējot konkrētus scenārijus. Ja kļūst skaidrs, ka zaudējumi no jebkādiem incidentiem uzņēmumam ir nepieņemami un SOC neradīs pārmērīgu slogu budžetam, ir jēga tērēt naudu, lai novērstu šos kritiskos zaudējumus.
Tas var būt arī otrādi:iespējamie uzņēmējdarbības zaudējumi neattaisnos SOC izdevumus. Pēc tam uzņēmums var pārraudzīt atsevišķus galvenos notikumus un izveidot atbildes procedūras visbīstamākajiem scenārijiem.
SOC: iekšēji vai ārpakalpojumi?
Kad uzņēmums ir nolēmis, ka tam patiešām ir nepieciešams SOC, atliek izlemt, vai tas strādās ar saviem resursiem vai arī jāsazinās ar ekspertu organizāciju.
Tālāk minētie jautājumi palīdzēs jums pieņemt šo lēmumu.
- Vai jūs pats varat novērtēt sistēmu kritiskumu no uzraudzības viedokļa?
Uzņēmumi uzskata, ka jo vērtīgāka ir informācija, kas tiek glabāta un apstrādāta sistēmā, jo kritiskāka ir sistēma un jo svarīgāk ir to uzraudzīt. Taču šī pieeja ne vienmēr būs pareiza.
Ja kibernoziedznieki var sasniegt šoskritiskās sistēmas un, piemēram, ievietojot datubāzi tīklā, ir par vēlu aizsargāt informāciju - tā jau ir apdraudēta. Bet ceļā uz mērķi uzbrucējam ir jāpiekļūst infrastruktūrai, jāveic izlūkošana, jāizveido konts ar maksimālajām tiesībām utt. Uzņēmuma uzdevums ir pēc iespējas agrāk pamanīt nelikumīgas darbības un reaģēt, negaidot, kad uzbrucējs piekļūs kritiskiem aktīviem. Tāpēc uzraudzībai jāaptver ne tikai šādi līdzekļi, bet arī visi punkti, kurus uzbrucējs šķērsos. Tie var būt pasta serveri, lietotāju darbstacijas, sekundārās informācijas sistēmas. Tie visi ir infrastruktūras elementi, kas parasti netiek uzskatīti par kritiskiem.
Lai izveidotu efektīvu pielāgotu SOC,uzņēmumam ir nepieciešami speciālisti, kas var pareizi sakārtot sistēmas pēc svarīguma. Ja organizācijā šādu darbinieku nav, tai palīdzēs trešo pušu eksperti.
2. Vai jums ir jāievēro juridiskās prasības, lai ziņotu par incidentiem regulatoriem?
Kritiskās informācijas subjektiinfrastruktūrai (KII) ir jāpārsūta informācija par incidentiem uz valsts sistēmu datoruzbrukumu noteikšanai, novēršanai un seku likvidēšanai (GosSOPKA). Lai to izdarītu, ir jāveido mijiedarbība ar regulatoru, jāizstrādā noteikumi, jāveic integrācija, jāizveido automatizēta informācijas pārraide par incidentiem utt.
Все это можно делать самостоятельно. Если же у компании нет возможности выделить собственные ресурсы на такую работу, можно поручить эти задачи внешнему SOC, у которого есть статус корпоративного центра ГосСОПКА.
3. Как быстро вам нужно запустить мониторинг?
Чтобы построить и ввести в работу свой SOC, компании может потребоваться несколько лет. SOC должен достичь определенного уровня зрелости, чтобы действительно начать выявлять инциденты, которые не заметили стандартные превентивные средства защиты. Наращивание экспертной базы правил, по которым выявляются подозрительные события, постоянная их актуализация, выстраивание процессов, подготовка плейбуков — все это требует очень много времени и ресурсов. Например, 1 300 правил (на январь 2023 года) в базе нашего SOC мы разрабатывали более четырех лет. При этом запустить внешний SOC можно за несколько недель.
4. Какая скорость реагирования на инциденты для вас критична?
Анализ воздействия на бизнес покажет, в какие рамки нужно уложиться при реагировании на инцидент. Может оказаться, что одночасовой сбой никак не скажется на бизнесе, через два часа начнутся проблемы в процессах, а два дня простоя будут грозить крупным финансовым и репутационным ущербом. Все это нужно учитывать в плейбуках, из которых будет понятна процедура реагирования. На некоторые инциденты необходимо реагировать в течение нескольких минут, в том числе и ночью. Следовательно, SOC должен работать круглосуточно, а если потребуются узкопрофильные эксперты, им нужно будет подключиться как можно скорее.
Собственный круглосуточный SOC — это большие затраты. Основную часть расходов составят кадры — людей нужно найти и адаптировать к работе в компании. Во внешнем SOC уже есть опытные специалисты, которые ежедневно в режиме 24/7 разбираются с инцидентами у компаний из различных отраслей.
5. Готовы ли вы нести крупные единовременные затраты?
Вопросы бюджета при создании SOC у себя или с привлечением аутсорсинга решаются индивидуально, однозначного ответа насчет того, какой вариант будет дешевле, нет. Все зависит от численности и квалификации штата, используемых технических решений и сервисов, прочего инструментария.
Стоит учитывать, что собственный и внешний SOC относятся к разным статьям бюджета. В первом случае речь о капитальных вложениях: оборудование, программное обеспечение, лицензии, помещения, мебель. Во втором расходы будут операционные.
Соответственно, для создания своего SOC понадобятся крупные первоначальные инвестиции, а при аутсорсинге — нет.
6. Есть ли у вас квалифицированные сотрудники?
В SOC нужно изначально набирать высококвалифицированных специалистов, которые должны постоянно накапливать опыт. При этом решить кадровый вопрос сегодня нелегко. Во всем мире не хватает нескольких миллионов профильных сотрудников, в России счет приближается к ста тысячам человек. Сбор команды в штат может занять месяцы, а в стороннем SOC она уже есть. Кроме того, при планировании расходов на собственный центр мониторинга нужно учитывать не только зарплаты экспертов, но и затраты на профессиональное обучение, сертификацию и повышение квалификации.
Резюмируем
Без мониторинга инцидентов невозможно говорить о кибербезопасности — нельзя защититься от угроз, которые не видишь. Но, пожалуй, еще хуже потратить деньги и не добиться результата.
Начните с анализа воздействия событий на бизнес, чтобы определиться, какой мониторинг даст ожидаемый результат. Постоянно обновляйте список событий безопасности, которые влияют на устойчивость компании. Так вы улучшите общее качество мониторинга и значительно повысите уровень киберзрелости в вашей организации.
Lasīt vairāk:
Zinātnieki ir noskaidrojuši dīvainu radio signālu raksturu no planētas, kas līdzīga Zemei
Eksperti ir prognozējuši, cik cilvēku dzīvos uz Zemes līdz 2100. gadam
Zemes "kosmiskajā pagalmā" atrasts jauna veida melnais caurums