Dimitris Georgiou
Δεν είναι μυστικό ότι καθώς η τεχνολογία εξελίσσεται, η πολυπλοκότητα των κυβερνοεπιθέσεων εξελίσσεται, δημιουργώντας μια κρίσιμη πρόκληση για τις επιχειρήσεις να υπερασπιστούν το τοπίο απειλών τους. Η υιοθέτηση παραδοσιακών μέτρων δεν αρκεί πλέον για τον εντοπισμό σύγχρονων προσπαθειών παραβίασης. Για να ξεπεραστεί αυτή η ασφάλεια, οι οργανισμοί όλων των μεγεθών πρέπει να χρησιμοποιούν μια πιο ολοκληρωμένη και προληπτική προσέγγιση ασφάλειας EDR εντοπισμού και απόκρισης τελικού σημείου εκτός από το λογισμικό ασφάλειας τελικού σημείου.
Αυτό το άρθρο θα σας βοηθήσει να κατανοήσετε γιατί ο εντοπισμός και η απόκριση τελικού σημείου είναι σημαντικό μέρος της συνολικής στρατηγικής ασφαλείας σας, δείχνοντάς σας πού ταιριάζει σε ένα καλό σχέδιο ασφαλείας.
Αυτός ο οδηγός θα δώσει πληροφορίες για τα ακόλουθα θέματα:
Τι είναι ακριβώς μια ασφάλεια EDR;
Το EDR (ανίχνευση και απόκριση τελικού σημείου) είναι ένα πολυεπίπεδο σύστημα ασφάλειας τελικού σημείου που συνδυάζει συνεχή παρακολούθηση σε πραγματικό χρόνο και συλλογή δεδομένων από δραστηριότητα τελικού σημείου με αυτοματοποιημένες προσεγγίσεις αντίδρασης και ανάλυσης που βασίζονται σε κανόνες. Αυτή η διεξοδική μέθοδος προσπαθεί να βρει πιθανές απειλές για την ασφάλεια στον κυβερνοχώρο, να απαλλαγεί από ή να ελέγξει συμβάντα, να κάνει περισσότερη έρευνα και να δώσει οδηγίες επισκευής για την επιδιόρθωση συστημάτων που έχουν υποστεί ζημιά.
Ο Anton Chuvakin της Gartner επινόησε τη φράση τον Ιούλιο του 2013. Ο Chuvakin λέει ότι οι τεχνολογίες ανίχνευσης και απόκρισης απειλών τελικού σημείου αφορούν κυρίως την εύρεση και την ανάλυση ύποπτων ενεργειών (και ενδείξεων αυτών) σε κεντρικούς υπολογιστές ή τελικά σημεία.
Το EDR βοηθά σε:
- Η συνεχής ανάλυση αρχείων μπορεί να εντοπίσει κινδύνους που διεισδύουν στο σύστημα ασφαλείας σας αναλύοντας τις αλληλεπιδράσεις κάθε αρχείου με τα τελικά σημεία.
- Διαχωρίζοντας τους πιθανώς επηρεασμένους διακομιστές από τη δραστηριότητα του γειτονικού δικτύου και περιορίζοντας τη διείσδυση, μπορείτε να περιέχει επιβλαβή αρχεία και να αποτρέψετε την περαιτέρω διάδοση των απειλών.
- Διερευνήστε τη συμπεριφορά απειλών για να βρείτε αδυναμίες και χρησιμοποιήστε τα δεδομένα για την καταπολέμηση μελλοντικών απειλών.
- Εξαλείψτε τις απειλές συλλέγοντας δεδομένα που μπορούν να χρησιμοποιηθούν και ακολουθώντας ένα σχέδιο επαναφοράς των συστημάτων στην καθαρή τους κατάσταση κατά την πρώτη εγκατάσταση.
Γενική Λειτουργία
Κάθε συσκευή τερματικού σημείου που συνδέεται στο δίκτυο μιας εταιρείας δημιουργεί μια διαπερατή περίμετρο ασφαλείας, καθιστώντας την ευάλωτη σε παραβιάσεις δεδομένων και κακόβουλες επιθέσεις. Το κακόβουλο λογισμικό που δεν χρειάζεται λήψη, το κακόβουλο λογισμικό που μπορεί να αλλάξει σε διάφορες μορφές, το ηλεκτρονικό ψάρεμα, οι προηγμένες επίμονες επιθέσεις και ο κακόβουλος κώδικας που κρύβεται στην κυκλοφορία HTTPS μπορούν εύκολα να ξεπεράσουν την περίμετρο ασφαλείας και να δώσουν στους χάκερ πρόσβαση σε σημαντικά στοιχεία.
Επιπλέον, η επιδημία COVID-19 οδήγησε σε μαζική μετανάστευση δεδομένων και λειτουργιών της εταιρείας στην υποδομή του Διαδικτύου και την απομακρυσμένη εργασία, αυξάνοντας τους κινδύνους και τα κενά για την ασφάλεια. Ως αποτέλεσμα αυτής της μετατόπισης, ο αριθμός των εξελιγμένων επιθέσεων έχει αυξηθεί εκθετικά. Σύμφωνα με ανάλυση της Verizon, οι επιθέσεις ransomware έχουν αυξηθεί κατά 13%. Η αύξηση αυτή είναι μεγαλύτερη από την προηγούμενη πενταετία μαζί.
Οι επιθέσεις ransomware έχουν αναδειχθεί ως ένα από τα πιο σημαντικά ζητήματα ασφάλειας που αντιμετωπίζουν οι επιχειρήσεις παγκοσμίως. Οι εγκληματίες του κυβερνοχώρου κλέβουν ευαίσθητα δεδομένα και τα κρατούν όμηρους με αντάλλαγμα bitcoin ή ισοδύναμη ανταμοιβή. Οι επιχειρήσεις κινδυνεύουν όχι μόνο να χάσουν δεδομένα αλλά και να τα μοιραστούν με το κοινό.
Αυτές οι δυσκολίες απαιτούν μια ολοκληρωμένη προσέγγιση ασφάλειας, όπου μπορούν να βοηθήσουν οι λύσεις EDR. Δίνουν στα τελικά σημεία τη λεπτομερή ορατότητα και τον έλεγχο που χρειάζονται για να είναι ασφαλή πριν και μετά τη μόλυνση χρησιμοποιώντας αυτοματοποιημένες αναλύσεις και αποκρίσεις.
Σημαντικά Στοιχεία
Ανίχνευση απειλών και συλλογή δεδομένων τελικού σημείου
Η παρακολούθηση και η συλλογή δεδομένων τελικού σημείου και συμβάντων δικτύου, όπως συνδέσεις, διεργασίες, όγκος δραστηριότητας και μεταφορές δεδομένων είναι το αρχικό στάδιο για την εφαρμογή μιας λύσης ασφάλειας EDR. Οι πράκτορες λογισμικού που παρακολουθούν τα συστήματα υποδοχής καταγράφουν αυτά τα συμβάντα σε μια κεντρική βάση δεδομένων.
Αυτή η διαδικασία βοηθά το EDR στην βασική λειτουργία της ανίχνευσης απειλών. Με τη βοήθεια της ευφυΐας απειλών στον κυβερνοχώρο, μπορείτε να εντοπίσετε επιθέσεις που αλλάζουν τακτικά τα χαρακτηριστικά τους.
Αυτοματισμός περιορισμού και απόκρισης
Χρησιμοποιεί αναλύσεις συμπεριφοράς για να αξιολογήσει διάφορα περιστατικά που αναφέρονται από διάφορους χρήστες σε πραγματικό χρόνο και να ανακαλύπτει αυτόματα ενδείξεις ύποπτης δραστηριότητας. Οι προρυθμισμένοι κανόνες παράγουν αυτόματες ενέργειες για τον εντοπισμό παραβίασης ασφάλειας και την ενεργοποίηση μιας άμεσης απόκρισης, όπως η αποστολή ειδοποιήσεων ή η αποσύνδεση του τελικού χρήστη μέσω συνεχούς επιθεώρησης αρχείων. Το EDR βοηθά επίσης να περιοριστεί η απειλή και να αποτραπεί η εξάπλωσή της σε άλλα συστήματα και η μόλυνση τους.
Ανάλυση δεδομένων και ανίχνευση απειλών σε
Η προσέγγιση ενσωματώνει επίσης αναλυτικά στοιχεία σε πραγματικό χρόνο για γρήγορο εντοπισμό απειλών που δεν ταιριάζουν με προδιαμορφωμένους κανόνες. Οι μηχανές Analytics χρησιμοποιούν αλγόριθμους για να αναζητήσουν μοτίβα σε τεράστιο όγκο δεδομένων αναλύοντάς τα και συσχετίζοντας τα. Εάν μια επιβεβαιωμένη απειλή επηρεάσει ένα τελικό σημείο, θα δοθούν στους χρήστες τα επόμενα μέτρα που πρέπει να λάβουν. Τα ψευδώς θετικά καταλήγουν σε ακύρωση απειλής και οι πληροφορίες αποθηκεύονται για μελλοντική χρήση.
Τα εγκληματολογικά εργαλεία χρησιμοποιούνται για τον εντοπισμό απειλών και την ανάλυση επιθέσεων. Οι ειδικοί πληροφορικής μπορούν να ελέγξουν ένα τελικό σημείο για απειλές όπως κακόβουλο λογισμικό ή άλλες ευπάθειες που δεν έχουν βρεθεί ακόμη. Μπορούν επίσης να εξετάσουν τις παραβιάσεις για να μάθουν περισσότερα για τον τρόπο λειτουργίας τους.
Εξάλειψη της Απειλής
Τέλος, η EDR αναπτύσσει ένα σχέδιο δράσης για τη μείωση των απειλών. Πριν από την εφαρμογή της μεθόδου εκρίζωσης, πρέπει να αντιμετωπιστούν διάφορες ανησυχίες, συμπεριλαμβανομένου του προσδιορισμού της φύσης και της προέλευσης του κινδύνου, του προσδιορισμού των επηρεαζόμενων συστημάτων και της επαλήθευσης ότι η απειλή δεν έχει επαναληφθεί. Μπορεί να συλλεχθεί τηλεμετρία για συγκεκριμένο τελικό σημείο για να μάθετε περισσότερα σχετικά με τον τρόπο δράσης της απειλής και να σας βοηθήσει να απαλλαγείτε από αυτήν.
Κάθε προϊόν ασφαλείας EDR λειτουργεί διαφορετικά, αλλά όλα έχουν τον ίδιο στόχο: την προληπτική παρακολούθηση, ανάλυση, αναγνώριση, ανίχνευση και αποκλεισμό προηγμένων απειλών.
Θεμελιώδεις Αρμοδιότητες
Παρέχεται ορατότητα σε όλο το περιβάλλον πληροφορικής.
Η πιο σημαντική λειτουργία που παρέχει το EDR είναι η πλήρης ορατότητα του τελικού σημείου, καθιστώντας το κρίσιμο στοιχείο οποιουδήποτε συστήματος ασφαλείας. Επιτρέπει τη συνεχή παρακολούθηση τελικού σημείου, είτε online είτε εκτός σύνδεσης. Η συνεχής παρακολούθηση παρέχει πλήρεις πληροφορίες για όλα τα τελικά σημεία μέσω ενός κεντρικού πίνακα διαχείρισης, επιτρέποντας τον εντοπισμό και τη διακοπή της ύποπτης δραστηριότητας προτού γίνει παραβίαση.
Συλλογή δεδομένων για τη δημιουργία αποθετηρίου απειλών
Μια ομάδα επαγγελματιών ασφάλειας συλλέγει μεγάλους όγκους δεδομένων από τελικά σημεία, τα οποία στη συνέχεια προσαρμόζονται στα συμφραζόμενα. Χρησιμοποιώντας τεχνολογίες όπως προηγμένα αναλυτικά στοιχεία, τεχνητή νοημοσύνη ή μηχανική μάθηση, αυτά τα δεδομένα μπορούν να χρησιμοποιηθούν για την επίλυση τυχόν ανωμαλιών. Οι πληροφορίες αποθηκεύονται επίσης σε μια βάση δεδομένων, ώστε να μπορούν να χρησιμοποιηθούν στο μέλλον για έρευνα και για την αναζήτηση ενδείξεων μελλοντικών επιθέσεων.
Ασφάλεια συμπεριφοράς
Αναζητώντας σημάδια επίθεσης, το EDR χρησιμοποιεί τεχνικές συμπεριφοράς για να προφυλαχθεί από την ανάπτυξη άγνωστων απειλών, επιθέσεων μηδενικής ημέρας και εσωτερικών απειλών (IOAs). Αυτή η ικανότητα ανιχνεύει πλευρική κίνηση μεταξύ δικτύων και πόρων, καθιστώντας την ανώτερη από τις παραδοσιακές προσεγγίσεις ανίχνευσης που βασίζονται σε υπογραφές ή τις ενδείξεις μεθόδων συμβιβασμού (IOC), οι οποίες μπορούν να οδηγήσουν σε αθόρυβες αποτυχίες και παραβιάσεις δεδομένων.
Επιτρέψτε απαντήσεις σε πραγματικό χρόνο
Μια ακριβής και έγκαιρη αντίδραση σε μια πιθανή επίθεση μπορεί να την εμποδίσει να θέσει σε κίνδυνο το σύστημα ασφαλείας σας. Η λειτουργία αντίδρασης σε πραγματικό χρόνο των συστημάτων EDR μπορεί να αποτρέψει μια επίθεση στις πρώτες της φάσεις εκτελώντας άμεσα μια ενέργεια για τον περιορισμό ή την εξουδετέρωση της απειλής. Η ταχεία απόκριση συμβάντων σάς επιτρέπει να μειώσετε τις επιπτώσεις των κυβερνοεπιθέσεων και να προστατεύσετε την εταιρεία σας από πλήρεις παραβιάσεις.
Η εφαρμογή των λευκών και μαύρων λιστών
Οι λύσεις ασφαλείας EDR παρέχουν λειτουργίες επιτρεπόμενης και μαύρης λίστας, επιτρέποντας σε ορισμένα προγράμματα να λειτουργούν σε ένα σύστημα ή αποκλείοντας αμφισβητούμενους τομείς, διευθύνσεις URL και διευθύνσεις IP. Αυτές οι λύσεις χρησιμεύουν ως η αρχική γραμμή άμυνας για την προστασία των δικτύων από τις γνωστές μεθόδους λειτουργίας των χάκερ.
Πρωτεύοντα πλεονεκτήματα
Ανίχνευση Απειλών Τελικού Σημείου
Το EDR προορίζεται να προσδιορίσει τις μεθόδους, τις τεχνικές και τις διαδικασίες που χρησιμοποιούν οι εισβολείς για να παραβιάσουν την περίμετρο ασφαλείας σας. Συλλέγει δεδομένα σχετικά με τον τρόπο με τον οποίο οι εισβολείς εισέρχονται σε ένα δίκτυο και την πορεία δραστηριότητάς τους. Οι σωστές τεχνολογίες EDR σας προστατεύουν από ασυνήθιστες συμπεριφορές και συμπεριφορές χρηστών, εξελιγμένο κακόβουλο λογισμικό, επιθέσεις χωρίς αρχεία και μη εξουσιοδοτημένη χρήση νόμιμων προγραμμάτων.
Είναι πιο οικονομικό και χρονικά αποδοτικό.
Αυτές οι λύσεις χειρίζονται τους κινδύνους μόλις διεισδύσουν στην περίμετρο ενός οργανισμού, αποτρέποντας διακοπές, απώλειες παραγωγικότητας και οικονομικές απώλειες. Εξαλείφουν την ανθρώπινη παρέμβαση αυτοματοποιώντας τις φάσεις ανίχνευσης, ανάλυσης διαδρομής και πλευρικής κίνησης. Στις πρώτες φάσεις του αυτοματισμού, υπάρχουν λιγότεροι ψευδείς συναγερμοί και ψευδώς θετικά στοιχεία, επομένως οι αναλυτές ασφαλείας μπορεί να έχουν περισσότερο χρόνο για να εξετάσουν τους πραγματικούς κινδύνους.
Ενσωμάτωση άλλων εργαλείων ασφαλείας
Ορισμένα σύγχρονα συστήματα EDR μπορούν να λειτουργήσουν παράλληλα με πολλές λύσεις ασφαλείας για να παρέχουν μια ολοκληρωμένη προσέγγιση ασφάλειας δεδομένων. Αυτές οι ενσωματώσεις επιτρέπουν σε ένα εργαλείο προστασίας από ιούς τρίτου κατασκευαστή να ανταποκρίνεται αυτόματα σε απειλές και να απαλλαγεί από κάθε κακόβουλο λογισμικό που βρίσκεται, έτσι ώστε ο χρήστης να μην χρειάζεται να περιμένει τόσο πολύ για να κάνει σημαντικά πράγματα.
Σε συνδυασμό με το Threat Intelligence
Πολλές εταιρείες EDR περιλαμβάνουν συνδρομές πληροφοριών απειλών στις λύσεις ασφάλειας τελικού σημείου τους για να βελτιώσουν την ικανότητά τους να εντοπίζουν νέα τρωτά σημεία, όπως επιθέσεις μηδενικής ημέρας και πολλαπλών επιπέδων. Η ευφυΐα κυβερνοαπειλής χρησιμοποιεί τεχνητή νοημοσύνη και βάσεις δεδομένων απειλών για τη συλλογή δεδομένων σχετικά με ιστορικές και τρέχουσες επιθέσεις, την αξιολόγηση τους και τη χρήση τους για τον εντοπισμό απειλών που στοχεύουν τα τελικά σημεία σας.
Τάσεις
Ενοποίηση Τεχνητής Νοημοσύνης και Μηχανικής Μάθησης
Ένα από τα πιο βασικά στοιχεία των συστημάτων ασφαλείας EDR είναι η διερεύνηση απειλών. Το EDR μπορεί να χρησιμοποιήσει μηχανική μάθηση και τεχνητή νοημοσύνη για την παροχή αυτοματοποιημένων υπηρεσιών έρευνας.
Η τεχνητή νοημοσύνη σάς δίνει τη δυνατότητα να παρακολουθείτε και να κατανοείτε τη βασική συμπεριφορά απειλής του οργανισμού, την οποία μπορείτε στη συνέχεια να χρησιμοποιήσετε για να αξιολογήσετε τα περιστατικά. Η μηχανική μάθηση βοηθά στον αποτελεσματικό εντοπισμό απειλών και τάξεων επιθέσεων.
Χρήση του πλαισίου MITER ATT&CK
Η βάση δεδομένων Adversarial Tactics, Techniques and Common Knowledge (ATT&CK) δημιουργήθηκε χρησιμοποιώντας πληροφορίες απειλών, πραγματικές παρατηρήσεις και αναφορές συμβάντων. Βοηθά στην ταξινόμηση των απειλών με βάση τα τρωτά σημεία του συστήματος, τα κακόβουλα προγράμματα λογισμικού και τις στρατηγικές διείσδυσης.
Το σύστημα αντιπάλων τακτικών, μεθόδων και διαδικασιών (TTP) της ATT&CK για ανάλυση απειλών το έχει κάνει γνωστό σε όλο τον κόσμο.
Αυξημένη υιοθέτηση πολιτικών BYOD και συσκευών IoT.
Τα τελευταία χρόνια, υπήρξε μια αλλαγή παραδείγματος στα δεδομένα, τις διαδικασίες και την υποδομή της εταιρείας προς το cloud computing. Ανεπαρκώς προστατευμένοι και εσφαλμένα διαμορφωμένοι πόροι cloud μπορεί να χρησιμεύσουν ως σημείο εισόδου για διανύσματα επίθεσης. Η χρήση του cloud, η γρήγορη ανάπτυξη της τεχνολογίας κινητής τηλεφωνίας, οι πολιτικές BYOD (φέρτε τη δική σας συσκευή) και η πιο ευέλικτη χρήση των συσκευών IoT έχουν οδηγήσει σε τεράστια αύξηση των κινδύνων στον κυβερνοχώρο σε όλο τον κόσμο.
Αυτή η σημαντική αλλαγή έχει κάνει τις επιχειρήσεις πιο πιθανό να χρησιμοποιούν αποκεντρωμένες τεχνολογίες ασφάλειας που βασίζονται σε αιχμή, με αποτέλεσμα να υπάρχει μεγάλη ανάγκη για λύσεις ανίχνευσης και απόκρισης τελικού σημείου. Σύμφωνα με την Mordor Intelligence, η αγορά EDR αναμένεται να αυξηθεί από 1,81 δισεκατομμύρια δολάρια ΗΠΑ το 2020 σε 6,90 δισεκατομμύρια δολάρια ΗΠΑ έως το 2026, με CAGR 25,6% μεταξύ 2021 και 2026. Αυτή η ανάπτυξη συμβαίνει επειδή οι οργανισμοί γίνονται πιο κινητοί, οι απειλές τελικού σημείου είναι επιδεινώνεται και οι κίνδυνοι ψηφιακής ασφάλειας πρέπει να περιοριστούν.
EDR έναντι ΕΛΚ
Τόσο η EDR όσο και η EPP (πλατφόρμες προστασίας τελικού σημείου) υπερασπίζονται τα τελικά σημεία από επιθέσεις, αν και για διαφορετικούς λόγους. Το EPP χρησιμεύει ως η αρχική γραμμή προστασίας, προστατεύοντας κυρίως τα τελικά σημεία σας από γνωστές και νέες επιθέσεις κακόβουλου λογισμικού. Ταυτόχρονα, το EDR λειτουργεί ως δεύτερο επίπεδο προστασίας, βοηθώντας στον εντοπισμό και τον τερματισμό απειλών που ξεπερνούν το EPP ή άλλες πλατφόρμες ασφαλείας.
Αυτές οι τεχνολογίες μπορούν να χρησιμοποιηθούν μόνες τους ως αυτόνομες λύσεις ή μαζί για να παρέχουν μια ενοποιημένη απάντηση σε περίπλοκες απειλές στον κυβερνοχώρο. Πολλοί προμηθευτές προσφέρουν ένα συνδυασμό λειτουργιών EPP και EDR για την προστασία της ψηφιακής σας περιμέτρου από επιθέσεις στον κυβερνοχώρο και προβλήματα ασφάλειας που συνεχώς αλλάζουν.
Τελευταίες Σκέψεις
Ένα κατάλληλο σύστημα ασφαλείας μπορεί να προστατεύσει την επιχείρησή σας από εξελιγμένες απειλές στον κυβερνοχώρο. Οι αγοραστές μπορούν να επιλέξουν από μια μεγάλη γκάμα λύσεων ασφαλείας EDR στην αγορά, η καθεμία με το δικό της σύνολο εργαλείων και δυνατοτήτων. Για να διατηρήσετε το σωστό επίπεδο ασφάλειας, πρέπει πρώτα να εξετάσετε τους στόχους και τις ανάγκες της επιχείρησής σας πριν αγοράσετε ένα σύστημα.
Έχοντας υπόψη όλους αυτούς τους παράγοντες, βεβαιωθείτε ότι έχετε επιλέξει τον σωστό πάροχο, ώστε να μην τεθεί σε κίνδυνο η ασφάλεια και τα πολύτιμα περιουσιακά στοιχεία της εταιρείας σας. Αν ψάχνετε για διαφορετικό λογισμικό ασφάλειας τελικού σημείου, ανατρέξτε στον δωρεάν οδηγό σύγκρισης ορισμένων από τις πιο δημοφιλείς λύσεις ασφαλείας.
Επισκέφθηκε 23 φορές, 1 επίσκεψη(εις) σήμερα
