Что такое обнаружение угроз и реагирование на них (TDR)?
Узнайте, как защитить ресурсы организации, активно выявляя и снижая риски кибербезопасности с помощью обнаружения угроз и реагирования на них.
Определение обнаружения угроз и реагирования на них (TDR)
Обнаружение угроз и реагирование на них — это процесс кибербезопасности, позволяющий выявлять киберугрозы цифровым активам организации и предпринимать шаги по их максимально быстрому устранению.
Как работает обнаружение угроз и реагирование на них?
Для устранения киберугроз и других проблем безопасности многие организации создают центры управления безопасностью (SOC), которые представляют собой централизованную функцию или группу, отвечающую за улучшение состояния кибербезопасности организации, а также за предотвращение, обнаружение и реагирование на угрозы. Помимо мониторинга и реагирования на продолжающиеся кибератаки, SOC также проводит активную работу по выявлению новых киберугроз и организационных уязвимостей. Большинство групп SOC, которые могут находиться на месте или быть привлечены на аутсорсинг, работают круглосуточно, семь дней в неделю.
SOC использует аналитику угроз и технологии для выявления попыток, успешных или продолжающихся нарушений. Обнаружив киберугрозу, группа безопасности использует инструменты обнаружения угроз и реагирования на них, чтобы устранить или смягчить проблему.
Обнаружение угроз и реагирование на них обычно включает следующие этапы:
- Обнаружение. Средства безопасности, которые отслеживают конечные точки, идентификационные данные, сети, приложения и облака, помогают выявить риски и потенциальные нарушения. Специалисты по безопасности также используют методы охоты на киберугрозы для обнаружения сложных киберугроз, которые ускользают от обнаружения.
- Исследование. После определения риска SOC использует ИИ и другие средства, чтобы подтвердить реальность киберугрозы, определить, как она произошла, и оценить, какие активы компании затронуты.
- Автономность. Чтобы остановить распространение кибератаки, группы кибербезопасности и автоматизированные инструменты изолируют зараженные устройства, идентификационные данные и сети от остальных активов организации.
- Искоренения. Группы устраняют основную причину инцидента безопасности с целью полностью исключить злоумышленника из среды. Они также устраняют уязвимости, которые могут подвергнуть организацию риску подобной кибератаки.
- Восстановление. Как только группы будут достаточно уверены в том, что киберугроза или уязвимость устранены, они снова подключат все изолированные системы к сети.
- Отчет. В зависимости от серьезности инцидента группы безопасности документируют и информируют руководителей, руководителей или совет директоров о том, что произошло и как это было решено.
- Устранение рисков. Чтобы предотвратить повторение подобного нарушения и улучшить реагирование в будущем, группы изучают инцидент и определяют изменения, которые необходимо внести в среду и процессы.
Что такое обнаружение угроз?
Выявлять киберугрозы становится все труднее, поскольку организации расширяют свое облачное пространство, подключают больше устройств к Интернету и переходят на гибридное рабочее место. Злоумышленники пользуются этим расширенным охватом и фрагментацией инструментов безопасности, используя следующие типы тактик:
- Фишинговые кампании. Одним из наиболее распространенных способов проникновения злоумышленников в компанию является рассылка электронных писем, которые обманом заставляют сотрудников скачивать вредоносный код или предоставлять свои учетные данные.
- Вредоносные программы. Многие киберзлоумышленники используют программное обеспечение, предназначенное для повреждения компьютеров и систем или сбора конфиденциальной информации.
- Программы-шантажисты. Злоумышленники, использующие программы-шантажисты, которые представляют собой тип вредоносного ПО, держат критически важные системы и данные в заложниках, угрожая раскрыть персональные данные или украсть облачные ресурсы для майнинга биткойнов, пока не будет выплачен выкуп. В последнее время управляемые человеком программы-шантажисты, с помощью которых группы киберзлоумышленников получают доступ ко всей сети организации, стала растущей проблемой для групп безопасности.
- Распределенные атаки типа "отказ в обслуживании" (DDoS). Используя серию ботов, злоумышленники нарушают работу веб-сайта или сервиса, наводняя его трафиком.
- Внутренняя угроза. Не все киберугрозы исходят извне организации. Также существует риск того, что доверенные люди, имеющие доступ к конфиденциальным данным, могут непреднамеренно или злонамеренно нанести вред организации.
- Атаки с использованием удостоверений. Большинство нарушений связано с компрометацией персональных данных, то есть когда киберзлоумышленники крадут или угадывают учетные данные пользователя и используют их для получения доступа к системам и данным организации.
- Атаки Интернета вещей (IoT). Устройства Интернета вещей также уязвимы для кибератак, особенно устаревшие устройства, которые не имеют встроенных средств управления безопасностью, которые есть в современных устройствах.
- Атака через цепочку поставок. Иногда злоумышленник нацеливается на организацию, вмешиваясь в программное или аппаратное обеспечение, поставляемое сторонним поставщиком.
- Внедрение кода. Используя уязвимости в обработке исходного кода внешних данных, киберпреступники внедряют в приложение вредоносный код.
Обнаружении угроз
Чтобы опередить рост атак на кибербезопасность, организации используют моделирование угроз для определения требований безопасности, выявления уязвимостей и рисков, а также определения приоритетов их устранения. Используя гипотетические сценарии, SOC пытается проникнуть в сознание киберпреступников, чтобы они могли улучшить способность организации предотвращать или смягчать инциденты безопасности. Структура MITRE ATT&CK® — это полезная модель для распознавания распространенных методов и тактик кибератак.
Многоуровневая защита требует инструментов, которые обеспечивают непрерывный мониторинг среды в реальном времени и выявляют потенциальные проблемы безопасности. Решения также должны перекрываться, чтобы в случае взлома одного метода обнаружения второй обнаружил проблему и уведомил группу безопасности. Решения по обнаружению киберугроз используют различные методы выявления угроз, в том числе:
- Обнаружение на основе подписи. Многие решения безопасности сканируют программное обеспечение и трафик для выявления уникальных подписей, связанных с определенным типом вредоносного ПО.
- Обнаружение на основе реакции на событие. Чтобы обеспечить обнаружение новых и возникающих киберугроз, решения безопасности также отслеживают действия и поведение, типичные для кибератак.
- Обнаружение на основе аномалий. ИИ и аналитика помогают группам распознать типичную реакцию на событие пользователей, устройств и программного обеспечения, чтобы они могли выявить что-то необычное, что может указывать на киберугрозу.
Хотя программное обеспечение имеет решающее значение, люди играют не менее важную роль в обнаружении киберугроз. Помимо сортировки и исследования предупреждений, генерируемых системой, аналитики используют методы поиска киберугроз для упреждающего поиска признаков компрометации или поиска тактик, методов и процедур, которые предполагают наличие потенциальной угрозы. Эти подходы помогают SOC быстро обнаруживать и останавливать сложные, труднообнаружимые атаки
Что такое реагирование на угрозы?
После выявления реальной киберугрозы реагирование на угрозу включает любые действия, которые SOC предпринимает для ее сдерживания и устранения, восстановления и снижения вероятности повторения аналогичной атаки. Многие компании разрабатывают план реагирования на инциденты, который поможет им действовать в случае потенциального нарушения безопасности, когда организованность и быстрота действий имеют решающее значение. Хороший план реагирования на инциденты включает сборники схем с пошаговыми инструкциями по конкретным типам угроз, ролям и обязанностям, а также план коммуникации.
Компоненты обнаружения угроз и реагирования на них
-
Extended Detection and Response
Продукты расширенного обнаружения и реагирования (XDR) помогают SOC упростить весь жизненный цикл предотвращения, обнаружения и реагирования на киберугрозы. Эти решения отслеживают конечные точки, облачные приложения, электронную почту и персональные данные. Если решение XDR обнаруживает киберугрозу, оно предупреждает службы безопасности и автоматически реагирует на определенные инциденты на основе критериев, определенных SOC.
-
Обнаружение и нейтрализация угроз для удостоверений
Поскольку злоумышленники часто нацелены на сотрудников, важно внедрить инструменты и процессы для выявления и реагирования на угрозы для удостоверений организации. Эти решения обычно используют аналитику реакций на событие пользователей и объектов (UEBA) для определения базовой реакции на событие пользователей и выявления аномалий, представляющих потенциальную угрозу.
-
Управление информационной безопасностью и событиями безопасности
Получение видимости всей цифровой среды — это первый шаг к распознаванию ландшафта угроз. Большинство групп SOC используют решения для управления информационной безопасностью и событиями безопасности (SIEM), которые агрегируют и сопоставляют данные между конечными точками, облаками, электронной почтой, приложениями и удостоверениями. Эти решения используют правила обнаружения и сценарии для выявления потенциальных киберугроз путем сопоставления журналов и предупреждений. Современные SIEM также используют ИИ для более эффективного обнаружения киберугроз и включают источники внешней информации об угрозах, чтобы они могли выявлять новые и возникающие киберугрозы.
-
Аналитика угроз
Чтобы получить комплексное представление о ландшафте киберугроз, SOC используют инструменты, которые синтезируют и анализируют данные из различных источников, включая конечные точки, электронную почту, облачные приложения и внешние источники информации об угрозах. Анализ этих данных помогает группам безопасности подготовиться к кибератаке, обнаружить активные киберугрозы, расследовать текущие инциденты безопасности и эффективно реагировать.
-
Обнаружение и нейтрализация атак на конечные точки
Решения для обнаружения и реагирования на конечные точки (EDR) — это более ранняя версия решений XDR, ориентированная только на конечные точки, такие как компьютеры, серверы, мобильные устройства, Интернет вещей. Как и решения XDR, при обнаружении потенциальной атаки эти решения генерируют предупреждение и, в случае некоторых хорошо понятных атак, реагируют автоматически. Поскольку решения EDR ориентированы только на конечные точки, большинство организаций переходят на решения XDR.
-
Управление уязвимостями
Управление уязвимостями — это непрерывный, упреждающий и часто автоматизированный процесс, который отслеживает компьютерные системы, сети и корпоративные приложения на наличие слабых мест в безопасности. Решения для управления уязвимостями оценивают уязвимости на предмет серьезности и уровня риска и предоставляют отчеты, которые SOC использует для устранения проблем.
-
Оркестрация безопасности, автоматизация и реагирование
Решения для оркестрации, автоматизации и реагирования на безопасность (SOAR) помогают упростить обнаружение киберугроз и реагирование на них, объединяя внутренние и внешние данные и инструменты в едином централизованном месте. Они также автоматизируют реагирование на киберугрозы на основе набора предопределенных правил.
-
Управляемое обнаружение и нейтрализация атак
Не у всех организаций есть ресурсы для эффективного обнаружения киберугроз и реагирования на них. Управляемые службы обнаружения и реагирования помогают этим организациям пополнить свои группы безопасности инструментами и людьми, необходимыми для поиска угроз и соответствующего реагирования.
Ключевые преимущества обнаружения угроз и реагирования на них
-
Раннее обнаружение угроз
Предотвращение киберугроз до полного нарушения безопасности — это важный способ значительно снизить влияние инцидента. Благодаря современным инструментам обнаружения и реагирования на угрозы, а также специальной команде SOC повышают вероятность того, что они обнаружат угрозы на ранней стадии, когда их будет легче устранить.
-
Соответствие нормативным требованиям
Страны и регионы продолжают принимать строгие законы о конфиденциальности, требующие от организаций наличия надежных мер безопасности данных и детального процесса реагирования на инциденты безопасности. Компании, которые не соблюдают эти правила, облагаются крупными штрафами. Программа обнаружения угроз и реагирования на них помогает организациям соблюдать требования этих законов.
-
Сокращенное время обнаружения
Как правило, наиболее разрушительные кибератаки происходят в результате инцидентов, в ходе которых киберзлоумышленники провели большую часть времени незамеченными в цифровой среде. Сокращение времени обнаружения, или времени пребывания, имеет решающее значение для ограничения ущерба. Процессы обнаружения угроз и реагирования на них, такие как поиск угроз, помогают SOC быстро выявлять злоумышленников и ограничивать их влияние.
-
Улучшенная видимость
Инструменты обнаружения угроз и реагирования на них, такие как SIEM и XDR, помогают группам по обеспечению безопасности лучше управлять средой, чтобы они не только быстро выявляли угрозы, но и выявляли потенциальные уязвимости, такие как устаревшее программное обеспечение, которые необходимо устранить.
-
Защита конфиденциальных данных
Для многих организаций данные являются одним из наиболее важных активов. Правильные средства и процедуры обнаружения и реагирования на угрозы помогают группам безопасности ловить злоумышленников до того, как они получат доступ к конфиденциальным данным, снижая вероятность того, что эта информация станет общедоступной или будет продана в Dark Web.
-
Упреждающий подход к безопасности
Обнаружение угроз и реагирование на них также выявляют возникающие угрозы и проливают свет на то, как злоумышленники могут получить доступ к цифровой среде компании. Обладая этой информацией, SOC могут укрепить организацию и предотвратить будущие атаки.
-
Снижение затрат
Успешная кибератака может стоить организации очень дорого с точки зрения фактических денег, потраченных на выкупы, сборы регулирующих органов или усилия по восстановлению. Это также может привести к снижению производительности и продаж. Быстро обнаруживая угрозы и реагируя на кибератаки на ранних стадиях, организации могут сократить расходы на инциденты безопасности.
-
Управление репутацией
Высокий уровень профиля утечки данных может нанести большой ущерб репутации компании или правительства. Люди теряют доверие к учреждениям, которые, по их мнению, не обеспечивают должной защиты персональных данных. Обнаружение угроз и реагирование на них могут помочь снизить вероятность инцидента, заслуживающего освещения в печати, и убедить клиентов, граждан и других заинтересованных лиц в том, что персональные данные защищены.
Лучшие методики обнаружения угроз и реагирования на них
Организации, которые эффективно обнаруживают угрозы и реагируют на них, используют методы, которые помогают группам работать вместе и совершенствовать свои подходы, что приводит к меньшему количеству и менее дорогостоящим кибератакам.
-
Проводите регулярное обучение
Хотя группа SOC несет наибольшую ответственность за безопасность организации, каждый в компании должен сыграть свою роль. Большинство инцидентов безопасности начинаются с того, что сотрудник попадает в фишинговую кампанию или использует неутвержденное устройство. Регулярное обучение помогает сотрудникам оставаться в курсе возможных угроз и уведомлять службу безопасности. Хорошая программа обучения также гарантирует, что специалисты по безопасности будут в курсе новейших инструментов, политик и процедур реагирования на угрозы.
-
Разработка плана реагирования на инциденты
Инцидент безопасности, как правило, представляет собой стрессовое событие, которое требует от людей быстрых действий, чтобы не только устранить проблему и восстановиться, но и предоставить точные обновления соответствующим заинтересованным сторонам. План реагирования на инциденты устраняет некоторые догадки, определяя соответствующие шаги по сдерживанию, искоренению и восстановлению. Он также предоставляет рекомендации для специалистов по кадрам, корпоративным коммуникациям, связям с общественностью, юристов и старших руководителей, которым необходимо убедиться, что сотрудники и другие заинтересованные стороны знают, что происходит, и что организация соблюдает соответствующие правила.
-
Содействуйте тесной совместной работе
Чтобы опережать возникающие угрозы и координировать эффективные ответные меры, требуется хорошая совместная работа и общение между участниками группы безопасности. Сотрудники должны понимать, как другие участники группы оценивают угрозы, сравнивают записи и вместе работают над потенциальными проблемами. Совместная работа также распространяется на другие отделы компании, которые могут помочь обнаружить угрозы или оказать помощь в реагировании.
-
Разверните ИИ
ИИ для кибербезопасности синтезирует данные со всей организации, предоставляя ценную аналитику, которая помогает группам сконцентрировать свое время и быстро устранять инциденты. Современные решения SIEM и XDR используют ИИ для сопоставления отдельных предупреждений с инцидентами, помогая организациям быстрее обнаруживать киберугрозы. Некоторые решения, такие как Microsoft Defender XDR, используют ИИ для автоматического предотвращения текущих кибератак. Генеративный ИИ в таких решениях, как Microsoft Security Copilot, помогает группам SOC быстро исследовать инциденты и реагировать на них.
-
Постоянно совершенствуйтесь
Каждый инцидент безопасности предоставляет возможность обучения. После устранения инцидента безопасности рекомендуется оценить, что прошло хорошо, а что нет, с целью обновления процессов и устранения уязвимостей. Такие инструменты, как XDR, помогают сделать улучшение состояния безопасности после инцидента частью процесса реагирования.
Решения для обнаружения угроз и реагирования на них
Обнаружение угроз и реагирование на них — важнейшая функция, которую могут использовать все организации, чтобы помочь им обнаружить и устранить киберугрозы до того, как они причинят вред. Microsoft Security предлагает несколько решений по защите от угроз, которые помогают группам безопасности отслеживать, обнаруживать и реагировать на киберугрозы. Для организаций с ограниченными ресурсами эксперты Microsoft Defender предоставляют управляемые службы для расширения существующего персонала и инструментов.
Подробнее о Microsoft Security
Объединенная платформа операций по обеспечению безопасности
Защитите от киберугроз все свое цифровое имущество с помощью единого средства обнаружения, исследования и реагирования.
Microsoft Defender XDR
Ускорьте реагирование благодаря видимости на уровне инцидентов и автоматическому прекращению атак.
Microsoft Sentinel
Выявляйте и предотвращайте киберугрозы по всему предприятию с помощью интеллектуальной аналитики безопасности.
Эксперты Microsoft Defender по решениям XDR
Получите помощь в остановке злоумышленников и предотвращении компрометации в будущем с помощью управляемой службы XDR.
Управление уязвимостями Microsoft Defender
Уменьшите риски киберугроз с помощью постоянной оценки уязвимостей, определения приоритетов на основе рисков и устранения последствий.
Microsoft Defender для бизнеса
Защитите свой малый или средний бизнес от кибератак, таких как вредоносное ПО и программы-вымогатели.
Вопросы и ответы
-
Расширенное обнаружение угроз включает методы и инструменты, которые специалисты по безопасности используют для обнаружения сложных постоянных угроз, которые представляют собой сложные угрозы, предназначенные для того, чтобы оставаться незамеченными в течение длительного периода времени. Эти угрозы часто более серьезны и могут включать шпионаж или кражу данных.
-
Основными методами обнаружения угроз являются решения безопасности, такие как SIEM или XDR, которые анализируют активность в среде, чтобы обнаружить признаки компрометации или поведение, отклоняющееся от ожидаемого. Люди используют эти инструменты для сортировки потенциальных угроз и реагирования на них. Они также используют XDR и SIEM для поиска сложных злоумышленников, которые могут избежать обнаружения.
-
Обнаружение угроз — это процесс обнаружения потенциальных угроз безопасности, включая действия, которые могут указывать на то, что устройство, программное обеспечение, сеть или удостоверение скомпрометированы. Реагирование на инциденты включает действия, которые группа безопасности и автоматизированные инструменты предпринимают для сдерживания и устранения киберугрозы.
-
Процесс обнаружения угроз и реагирования на них включает:
- Обнаружение. Средства безопасности, которые отслеживают конечные точки, идентификационные данные, сети, приложения и облака, помогают выявить риски и потенциальные нарушения. Специалисты по безопасности также используют методы охоты на киберугрозы, чтобы попытаться обнаружить новые киберугрозы.
- Исследование. После выявления риска люди используют ИИ и другие инструменты, чтобы подтвердить реальность киберугрозы, определить, как она произошла, и оценить, какие активы компании затронуты.
- Автономность. Чтобы остановить распространение кибератаки, группы кибербезопасности изолируют зараженные устройства, идентификационные данные и сети от остальных активов организации.
- Искоренения. Группы устраняют основную причину инцидента безопасности с целью полного изгнания злоумышленника из среды и устранения уязвимостей, которые могут подвергнуть организацию риску аналогичной кибератаки.
- Восстановление. Как только группы будут достаточно уверены в том, что киберугроза или уязвимость устранены, они снова подключат все изолированные системы к сети.
- Отчет. В зависимости от серьезности инцидента группы безопасности документируют и информируют руководителей, руководителей или совет директоров о том, что произошло и как это было решено.
- Устранение рисков. Чтобы предотвратить повторение подобного нарушения и улучшить реагирование в будущем, группы изучают инцидент и определяют изменения, которые необходимо внести в среду и процессы.
-
TDR означает обнаружение угроз и реагирование на них, то есть процесс выявления угроз кибербезопасности организации и принятия мер по смягчению этих угроз до того, как они нанесут реальный ущерб. EDR означает обнаружение и реагирование на конечных точках. Это категория программных продуктов, которые отслеживают конечные точки организации на предмет потенциальных кибератак, сообщают об этих киберугрозах группе безопасности и автоматически реагируют на определенные типы кибератак.
Следите за новостями Microsoft 365