Kaj je Zaznavanje groženj in odzivanje (TDR)?
Naučite se zaščititi sredstva organizacije tako, da proaktivno prepoznate in zmanjšate tveganja kibernetske varnosti z zaznavanjem groženj in odzivanjem.
Definicija postopka Zaznavanje groženj in odzivanje (TDR)
Zaznavanje groženj in odzivanje je proces kibernetske varnosti za zaznavanje kibernetskih groženj digitalnim sredstvom organizacije in sprejemanje ukrepov za njihovo čim hitrejše zmanjšanje.
Kako deluje Zaznavanje groženj in odzivanje?
Za obvladovanje kibernetskih groženj in drugih varnostnih vprašanj številne organizacije ustanovijo središče za varnostne postopke (SOC), ki je centralizirana funkcija ali skupina, odgovorna za izboljšanje kibernetske varnosti organizacije ter preprečevanje, zaznavanje in odzivanje na grožnje. Poleg spremljanja trenutnih kibernetskih napadov in odzivanja nanje SOC opravlja tudi proaktivno delo za prepoznavanje novih kibernetskih groženj in ranljivosti organizacije. Večina skupin SOC (znotraj podjetja ali zunanji izvajalci) deluje 24 ur na dan, sedem dni na teden.
SOC uporablja obveščanje o grožnjah in tehnologijo za odkrivanje poskusov, uspešnih ali potekajočih kršitev varnosti. Ko je kibernetska grožnja prepoznana, varnostna skupina uporabi orodja za zaznavanje groženj in odzivanje, da odpravi ali zmanjša težavo.
Zaznavanje groženj in odzivanje običajno vključuje naslednje stopnje:
- Odkrivanje. Varnostna orodja, ki nadzorujejo končne točke, identitete, omrežja, aplikacije in oblake, pomagajo odkriti tveganja in morebitne kršitve. Varnostni strokovnjaki uporabljajo tudi tehnike za lov na kibernetske grožnje za odkrivanje dovršenih kibernetskih groženj, ki jih je težko zaznati.
- Raziskava. Ko je tveganje prepoznano, SOC s pomočjo UI in drugih orodij potrdi, da je kibernetska grožnja resnična, ugotovi, kako se je zgodila, in oceni, na katera sredstva podjetja vpliva.
- Zadržanje. Za ustavitev širjenja kibernetskega napada skupine za kibernetsko varnost in avtomatizirana orodja izolirajo okužene naprave, identitete in omrežja od preostalih sredstev organizacije.
- Izkoreninjenje. Skupine odstranijo temeljni vzrok varnostnega dogodka s ciljem, da zlonamernega akterja v celoti odstranijo iz okolja. Prav tako zmanjšajo ranljivosti, zaradi katerih je organizacija lahko izpostavljena tveganju podobnega kibernetskega napada.
- Obnovitev. Ko so skupine prepričane, da je bila kibernetska grožnja ali ranljivost odstranjena, ponovno vzpostavijo delovanje vseh izoliranih sistemov.
- Poročilo. Glede na resnost dogodka varnostne skupine dokumentirajo in obvestijo vodje, direktorje in/ali upravni odbor o tem, kaj se je zgodilo in kako je bil dogodek razrešen.
- Ublažitev tveganj. Za preprečevanje podobnih kršitev in izboljšanje odziva v prihodnosti skupine preučijo dogodek ter določijo potrebne spremembe okolja in procesov.
Kaj je zaznavanje groženj?
Prepoznavanje kibernetskih groženj je vse težje, saj so organizacije razširile svojo prisotnost v oblaku, povezale več naprav z internetom in prešle na hibridno delovno okolje. Zlonamerni akterji izkoriščajo to razširjeno delovanja in razdrobljenost varnostnih orodij z naslednjimi taktikami:
- Napadi z lažnim predstavljanjem. Eden najpogostejših načinov vdora v podjetje je pošiljanje e-poštnih sporočil, ki zaposlene zavedejo, da prenesejo zlonamerno kodo ali posredujejo svoje poverilnice.
- Zlonamerna programska oprema. Številni kibernetski napadalci uporabljajo programsko opremo, ki je zasnovana tako, da poškoduje računalnike in sisteme ali zbira občutljive informacije.
- Izsiljevalska programska oprema. Napadalci z izsiljevalsko programsko opremo, ki je vrsta zlonamerne programske opreme, prevzamejo kritične sisteme in podatke ter grozijo, da bodo izdali zasebne podatke ali ukradli sredstva v oblaku za rudarjenje bitcoinov, dokler ne plačate odkupnine. V zadnjem času se varnostne skupine vse pogosteje srečujejo z izsiljevalsko programsko opremo, ki jo upravlja človek in pri kateri skupina kibernetskih napadalcev pridobi dostop do celotnega omrežja organizacije.
- Distribuirani napadi z zavrnitvijo storitve (DDoS). Zlonamerni akterji z nizom botov motijo spletno mesto ali storitev tako, da jo preplavijo s prometom.
- Notranja grožnja. Vse kibernetske grožnje ne prihajajo od zunaj. Obstaja tudi tveganje, da zaupanja vredne osebe z dostopom do občutljivih podatkov nenamerno ali zlonamerno škodujejo organizaciji.
- Napadalci na podlagi identitete. Večina kršitev vključuje ogrožene identitete, pri katerih kibernetski napadalci ukradejo ali uganejo uporabniške poverilnice in jih uporabijo za dostop do sistemov in podatkov organizacije.
- Napadi na internet stvari (IoT). Naprave IoT so prav tako ranljive za kibernetske napade, zlasti starejše naprave, ki nimajo vgrajenega varnostnega nadzora kot sodobne naprave.
- Napadi na dobavno verigo. Včasih zlonamerni akterji napadejo organizacijo tako, da posegajo v programsko ali strojno opremo, ki jo zagotavlja neodvisni dobavitelj.
- Vnos kode. Kibernetski napadalci izkoriščajo ranljivosti v tem, kako izvorna koda obdeluje zunanje podatke, in v aplikacijo vnesejo zlonamerno kodo.
Odkrivanje groženj
Da bi se izognile naraščajočim napadom na kibernetsko varnost, organizacije uporabljajo modeliranje groženj za opredelitev varnostnih zahtev, prepoznavanje ranljivosti in tveganj ter določanje prednostnih nalog za odpravljanja dogodkov. Z uporabo hipotetičnih scenarijev poskuša SOC prodreti v misli kibernetskih napadalcev, da lahko izboljša sposobnost organizacije za preprečevanje ali zmanjšanje varnostnih dogodkov. Ogrodje MITRE ATT&CK® je uporaben model za razumevanje pogostih tehnik in taktik kibernetskih napadov.
Za večplastno zaščito so potrebna orodja, ki zagotavljajo neprekinjeno spremljanje okolja v realnem času in odkrivajo morebitne varnostne težave. Rešitve se morajo tudi prekrivati, tako da bo v primeru ogrožanja ene metode zaznavanja druga metoda odkrila težavo in obvestila varnostno skupino. Rešitve za zaznavanje kibernetskih groženj uporabljajo različne načine za prepoznavanje groženj, med drugim:
- Zaznavanje na podlagi podpisa. Številne varnostne rešitve pregledujejo programsko opremo in promet ter prepoznavajo enolične podpise, povezane z določeno vrsto zlonamerne programske opreme.
- Zaznavanje na podlagi vedenja. Varnostne rešitve za lažje odkrivanje novih kibernetskih napadov iščejo tudi dejanja in vedenja, ki so pogosta v kibernetskih napadih.
- Zaznavanje na podlagi anomalij. UI in analitika skupinam pomagata razumeti tipično vedenje uporabnikov, naprav in programske opreme, da lahko prepoznajo kaj nenavadnega, kar bi lahko pomenilo kibernetsko grožnjo.
Čeprav je programska oprema ključnega pomena, imajo ljudje enako pomembno vlogo pri odkrivanju kibernetskih groženj. Poleg razvrščanja in preiskovanja opozoril, ki jih generira sistem, analitiki uporabljajo tehnike iskanja kibernetskih groženj, s katerimi proaktivno iščejo znake ogroženosti ali pa iščejo taktike, tehnike in postopke, ki kažejo na morebitno grožnjo. S temi pristopi lahko SOC hitro odkrije in ustavi dovršene napade, ki jih je težko zaznati
Kaj je odzivanje na grožnje?
Ko je zaznana kibernetska grožnja, odzivanje na grožnjo vključuje vse ukrepe, ki jih SOC uporablja za obvladovanje in odstranjevanje, obnovitev in zmanjšanje verjetnosti, da se bo podoben napad ponovil. Številna podjetja razvijejo načrt za odziv na dogodek, ki jih vodi med morebitno kršitvijo, ko sta organizacija in hitro ukrepanje ključnega pomena. Dober načrt za odziv na dogodek vključuje postopkovne priročnike z navodili po korakih za določene vrste groženj, vloge in odgovornosti ter komunikacijski načrt.
Komponente zaznavanja groženj in odzivanja
-
Razširjeno odzivanje in zaznavanje
Izdelki za razširjeno odzivanje in zaznavanje (XDR) pomagajo SOC poenostaviti celoten življenjski cikel preprečevanja, zaznavanja in odzivanja na kibernetske grožnje. Te rešitve nadzorujejo končne točke, aplikacije v oblaku, e-pošto in identitete. Če rešitev XDR zazna kibernetski napad, opozori varnostne skupine in se samodejno odzove na določene dogodke na podlagi pogojev, ki jih določi SOC.
-
Zaznavanje groženj za identitete in odzivanje nanje
Ker so tarče zlonamernih napadalcev pogosto zaposleni, je pomembno vzpostaviti orodja in procese za zaznavanje groženj za identitete organizacije in odzivanje nanje. Te rešitve običajno uporabljajo analizo vedenja uporabnikov in entitet (UEBA), da opredelijo osnovno vedenje uporabnika in odkrijejo anomalije, ki predstavljajo morebitno grožnjo.
-
Upravljanje varnostnih informacij in dogodkov
Prvi korak pri razumevanju delovanja groženj je pridobivanje pregleda nad celotnim digitalnim okoljem. Večina skupin SOC uporablja rešitve za upravljanje varnostnih informacij in dogodkov (SIEM), ki združujejo in povezujejo podatke iz končnih točk, oblakov, e-pošte, aplikacij in identitet. Te rešitve uporabljajo pravila za zaznavanje in postopkovne priročnike za odkrivanje morebitnih kibernetskih groženj s povezovanjem dnevnikov in opozoril. Sodobni sistemi SIEM za učinkovitejše odkrivanje kibernetskih groženj uporabljajo tudi UI in vključujejo zunanje vire za obveščanje o grožnjah, tako da lahko prepoznajo nove kibernetske grožnje.
-
Obveščanje o grožnjah
Za celovit vpogled v kibernetske grožnje SOC uporablja orodja, ki sintetizirajo in analizirajo podatke iz različnih virov, vključno s končnimi točkami, e-pošto, aplikacijami v oblaku in zunanjimi viri za obveščanje o grožnjah. Vpogledi iz teh podatkov pomagajo varnostnim skupinam pri pripravi na kibernetski napad, zaznavanju aktivnih kibernetskih groženj, raziskovanju trenutnih varnostnih dogodkov in učinkovitem odzivanju nanje.
-
Zaznavanje končnih točk in odzivanje nanje
Rešitve za zaznavanje končnih točk in odzivanje nanje (EDR) so starejše različice rešitev XDR, osredotočene le na končne točke, kot so računalniki, strežniki, mobilne naprave in internet stvari. Podobno kot XDR te rešitve ob odkritju morebitnega napada ustvarijo opozorilo in se na nekatere dobro razumljive napade samodejno odzovejo. Ker so rešitve EDR osredotočene le na končne točke, se večina organizacij odloča za rešitve XDR.
-
Upravljanje ranljivosti
Upravljanje ranljivosti je neprekinjen, proaktiven in pogosto avtomatiziran postopek, ki v računalniških sistemih, omrežjih in poslovnih aplikacijah išče varnostne pomanjkljivosti. Rešitve za upravljanje ranljivosti ocenijo ranljivosti glede na resnost in stopnjo tveganja ter pripravijo poročila, ki jih SOC uporabi za odpravo težav.
-
Varnostno organiziranje, avtomatizacija in odziv
Rešitve za Varnostno organiziranje, avtomatizacija in odzivvarnostno organiziranje, avtomatizacijo in odziv (SOAR) pomagajo poenostaviti zaznavanje kibernetskih groženj in odzivanje nanje tako, da združujejo notranje in zunanje podatke ter orodja na enem osrednjem mestu. Prav tako avtomatizirajo odzivanje na kibernetske grožnje na podlagi nabora vnaprej določenih pravil.
-
Upravljano zaznavanje in odzivanje
Vse organizacije nimajo sredstev za učinkovito zaznavanje kibernetskih groženj in odzivanje nanje. Storitve Upravljano zaznavanje in odzivanjeupravljanega zaznavanja in odzivanja tem organizacijam pomagajo povečati njihove varnostne skupine z orodji in ljudmi, ki so potrebni za iskanje groženj in ustrezno odzivanje.
Ključne prednosti zaznavanja groženj in odzivanja
-
Zgodnje odkrivanje groženj
Zaustavitev kibernetskih groženj, preden postanejo popolna kršitev, je pomemben način za občutno zmanjšanje vpliva dogodka. S sodobnimi orodji za zaznavanje groženj in odzivanje nanje ter namensko skupino ima SOC večjo možnost, da odkrije grožnje že zgodaj, ko jih je lažje odpraviti.
-
Skladnost z regulativnimi predpisi
Države in regije še naprej sprejemajo stroge zakone o zasebnosti, ki od organizacij zahtevajo zanesljive ukrepe za varnost podatkov in podroben postopek odzivanja na varnostne dogodke. Podjetjem, ki teh pravil ne spoštujejo, grozijo visoke globe. Program za zaznavanje groženj in odzivanje organizacijam pomaga izpolniti zahteve teh zakonov.
-
Skrajšanje časa prisotnosti
Običajno so najbolj škodljivi kibernetski napadi tisti, pri katerih kibernetski napadalci v digitalnem okolju najdlje časa ostanejo neopaženi. Za omejitev škode je ključnega pomena skrajšanje časa, ko so neopaženi, ali časa prisotnosti. Procesi zaznavanja groženj in odzivanja, kot je lov na grožnje, pomagajo skupinam SOC hitro zaznati zlonamerne akterje in omejiti njihov vpliv.
-
Izboljšan pregled
Orodja za zaznavanje groženj in odzivanje nanje, kot sta SIEM in XDR, pomagajo skupinam za varnostne postopke zagotoviti boljši pregled nad okoljem, tako da hitro odkrijejo ne le grožnje, temveč tudi morebitne ranljivosti, na primer zastarelo programsko opremo, ki jih je treba odpraviti.
-
Zaščita občutljivih podatkov
Za številne organizacije so podatki eno od najpomembnejših sredstev. Prava orodja in postopki za zaznavanje groženj in odzivanje pomagajo varnostnim skupinam ujeti zlonamerne akterje, preden ti pridobijo dostop do občutljivih podatkov, kar zmanjša verjetnost, da bodo ti podatki postali javni ali prodani v temnem spletu.
-
Proaktivno stanje varnosti
Postopki zaznavanja groženj in odzivanja nanje razkrivajo tudi nove grožnje in pokažejo, kako lahko zlonamerni akterji pridobijo dostop do digitalnega okolja podjetja. S temi informacijami lahko SOC okrepi varnost organizacije in prepreči prihodnje napade.
-
Prihranki stroškov
Uspešen kibernetski napad je lahko za organizacijo zelo drag v smislu dejanske porabe denarja za odkupnine, regulativne pristojbine ali prizadevanja za obnovitev. Vodi lahko tudi v zmanjšano produktivnost in prodajo. S hitro zaznavo grožnje in odzivom v zgodnjih fazah kibernetskega napada lahko organizacije zmanjšajo stroške varnostnih dogodkov.
-
Upravljanje ugleda
Odmevna kršitev varnosti podatkov lahko povzroči veliko škodo ugledu podjetja ali vlade. Ljudje izgubijo zaupanje v ustanove, za katere menijo, da ne varujejo dobro osebnih podatkov. Z zaznavanjem groženj in odzivanjem lahko zmanjšate verjetnost dogodka, vrednega omembe, ter strankam, državljanom in drugim zainteresiranim skupinam zagotovite, da so osebni podatki zaščiteni.
Najboljše prakse zaznavanja groženj in odzivanja
Organizacije, ki so učinkovite pri zaznavanju groženj in odzivanju nanje, uporabljajo prakse, ki skupinam pomagajo sodelovati in izboljšati pristop, kar zmanjša število kibernetskih napadov in stroške, ki ob tem nastanejo.
-
Organiziranje rednih usposabljanj
Čeprav je skupina SOC najbolj odgovorna za varovanje organizacije, ima vsakdo v podjetju svojo vlogo. Večina varnostnih incidentov se začne s tem, da je zaposleni tarča napada z lažnim predstavljanjem ali uporabi neodobreno napravo. Redno usposabljanje pomaga zaposlenim, da so pozorni na morebitne grožnje in obvestijo varnostno ekipo. Dober program za usposabljanje poskrbi tudi za to, da so strokovnjaki za varnost seznanjeni z najnovejšimi orodji, politikami in postopki odzivanja na grožnje.
-
Ustvarjanje načrta za odziv na dogodek
Varnostni incident je običajno stresen dogodek, ki od ljudi zahteva hitro ukrepanje, ne le za reševanje in okrevanje, temveč tudi za sprotno natančno obveščanje zainteresiranih skupin. Načrt za odziv na dogodek odpravi nekatera ugibanja z opredelitvijo ustreznih ukrepov za zadržanje, izkoreninjenje in obnovitev. Zagotavlja tudi smernice za kadrovske službe, korporativno komuniciranje, odnose z javnostmi, pravnike in višje vodstvo, ki morajo poskrbeti, da zaposleni in druge zainteresirane skupine vedo, kaj se dogaja, in da organizacija ravna v skladu z ustreznimi predpisi.
-
Spodbujanje tesnega sodelovanja
Dobro sodelovanje in komunikacija med člani varnostne skupine sta ključna, če želimo biti korak pred grožnjami in uskladiti učinkovit odziv nanje. Posamezniki morajo razumeti, kako drugi v skupini ocenjujejo grožnje, primerjati zapiske in sodelovati pri reševanju morebitnih težav. V sodelovanje morajo biti vključeni tudi drugi oddelki v podjetju, ki lahko pomagajo zaznati grožnje ali se odzvati nanje.
-
Uvedba UI
Umetna inteligenca za kibernetsko varnost sintetizira podatke iz celotne organizacije in zagotavlja vpoglede, ki ekipam pomagajo osredotočiti svoj čas in hitro odpraviti incidente. Sodobne rešitve SIEM in XDR uporabljajo umetno inteligenco za povezovanje posameznih opozoril v dogodke, kar organizacijam pomaga hitreje odkriti kibernetske grožnje. Nekatere rešitve, kot je Microsoft Defender XDR, uporabljajo UI za samodejno preprečevanje kibernetskih napadov v teku. Generativna UI v rešitvah, kot je Microsoft Copilot za varnost, pomaga skupinam SOC hitro raziskati dogodke in se odzvati nanje.
-
Nenehno izboljševanje
Vsak varnostni dogodek je priložnost za učenje. Ko je varnostni dogodek odpravljen, je dobro oceniti, kaj je šlo dobro in kaj ne, da bi posodobili procese in zmanjšali ranljivosti. Orodja, kot je XDR, lahko pomagajo, saj je pri njih izboljšanje varnostnega stanja po dogodku del postopka odzivanja.
Rešitve za zaznavanje groženj in odzivanje
Zaznavanje groženj in odzivanje je kritična funkcija, s katero lahko vse organizacije odkrijejo in odpravijo kibernetske grožnje, preden te povzročijo škodo. Microsoftova varnost ponuja več rešitev za zaščito pred grožnjami, s katerimi varnostne skupine lažje nadzorujejo in zaznavajo kibernetske grožnje ter se nanje odzovejo. Organizacijam z omejenimi viri Strokovnjaki Microsoft Defender ponujajo upravljane storitve, ki dopolnjujejo osebje in orodja.
Več informacij o Microsoftovi varnosti
Poenotena platforma za varnostne postopke
Zaščitite celotno digitalno okolje s poenoteno izkušnjo zaznavanja, preiskovanja in odzivanja.
Microsoft Defender XDR
Pospešite odziv z vidljivostjo na ravni dogodka in samodejno prekinitvijo napada.
Microsoft Sentinel
S pametno analizo varnosti si oglejte in ustavite kibernetske grožnje v celotnem podjetju.
Strokovnjaki Microsoft Defender za XDR
Pridobite pomoč pri zaustavljanju napadalcev in preprečevanju prihodnjih groženj z upravljano storitvijo XDR.
Upravljanje ranljivosti Microsoft Defender
Zmanjšajte kibernetske grožnje z neprekinjenim ocenjevanjem ranljivosti, določanjem prednostnih nalog na podlagi tveganja ter odpravljanjem pomanjkljivosti.
Microsoft Defender za podjetja
Zaščitite svoje malo ali srednje veliko podjetje pred kibernetskimi napadi, kot sta zlonamerna in izsiljevalska programska oprema.
Pogosta vprašanja
-
Napredno zaznavanje groženj vključuje tehnike in orodja, ki jih varnostni strokovnjaki uporabljajo za odkrivanje naprednih trajnih groženj, ki so dovršene in zasnovane tako, da jih dlje časa ni mogoče zaznati. Te grožnje so pogosto bolj resne in lahko vključujejo vohunjenje ali krajo podatkov.
-
Primarne metode zaznavanja groženj so varnostne rešitve, kot sta SIEM ali XDR, ki analizirajo dejavnost v okolju, da odkrijejo znake ogroženosti ali vedenja, ki odstopajo od pričakovanega. Ljudje uporabljajo ta orodja za razvrščanje in odzivanje na morebitne grožnje. Uporabljajo tudi XDR in SIEM za iskanje dovršenih napadalcev, ki jih je težko zaznati.
-
Zaznavanje groženj je postopek odkrivanja morebitnih varnostnih tveganj, vključno z dejavnostmi, ki lahko kažejo na to, da je naprava, programska oprema, omrežje ali identiteta ogrožena. Odzivanje na dogodke vključuje korake, ki jih varnostna skupina in avtomatizirana orodja izvajajo za omejevanje in odpravljanje kibernetskih groženj.
-
Proces zaznavanja groženj in odzivanja vključuje:
- Odkrivanje. Varnostna orodja, ki nadzorujejo končne točke, identitete, omrežja, aplikacije in oblake, pomagajo odkriti tveganja in morebitne kršitve. Varnostni strokovnjaki uporabljajo tudi tehnike za lov na kibernetske grožnje, s katerimi poskušajo odkriti nove kibernetske grožnje.
- Raziskava. Ko je tveganje prepoznano, ljudje s pomočjo UI in drugih orodij potrdijo, da je kibernetska grožnja resnična, ugotovijo, kako se je zgodila, in ocenijo, na katera sredstva podjetja vpliva.
- Zadržanje. Za ustavitev širjenja kibernetskega napaka skupine za kibernetsko varnost izolirajo okužene naprave, identitete in omrežja od preostalih sredstev organizacije.
- Izkoreninjenje. Skupine odstranijo temeljni vzrok varnostnega dogodka s ciljem, da zlonamernega akterja v celoti odstranijo iz okolja in zmanjšajo ranljivosti, zaradi katerih je organizacija lahko izpostavljena tveganju podobnega kibernetskega napada.
- Obnovitev. Ko so skupine prepričane, da je bila kibernetska grožnja ali ranljivost odstranjena, ponovno vzpostavijo delovanje vseh izoliranih sistemov.
- Poročilo. Glede na resnost dogodka varnostne skupine dokumentirajo in obvestijo vodje, direktorje in/ali upravni odbor o tem, kaj se je zgodilo in kako je bil dogodek razrešen.
- Ublažitev tveganj. Za preprečevanje podobnih kršitev in izboljšanje odziva v prihodnosti skupine preučijo dogodek ter določijo potrebne spremembe okolja in procesov.
-
TDR je kratica za zaznavanje groženj in odzivanje (threat detection and response), ki je postopek prepoznavanja kibernetskih groženj v organizaciji in ukrepanja za zmanjšanje teh groženj, preden povzročijo resnično škodo. EDR je kratica za zaznavanje končnih točk in odzivanje nanje (endpoint detection and response), ki je kategorija izdelkov programske opreme, ki v končnih točkah organizacije iščejo morebitne kibernetske napade, varnostnim skupinam posredujejo te grožnje in se samodejno odzivajo na določene vrste kibernetskih napadov.
Spremljajte Microsoft 365