Che cos'è l'EDR e perché è fondamentale per la sicurezza delle PMI? -Blog sulla sicurezza

L'attuale panorama delle minacce e la sicurezza degli endpoint

Oltre 7 miliardi di dispositivi globali in un mondo sempre attivo e connesso rappresentano un bersaglio facile per gli aggressori di oggi. Sia che lavorino per monetizzare i dati o fare una dichiarazione politica, gli avversari sono ben finanziati e dotati di personale nella battaglia per l’accesso e il controllo degli endpoint. I metodi tradizionali di sicurezza degli endpoint, come i software antivirus, non sono all’altezza della crescente sofisticazione e del volume crescente di minacce avanzate presenti nell’attuale panorama delle minacce. Secondo il Ponemon Institute, oltre il 52% delle aziende ha subito un incidente di sicurezza che ha aggirato le difese tradizionali. Le moderne minacce alla sicurezza informatica sfuggono al rilevamento basato sulle firme e sono inutili contro minacce avanzate come rischi interni, attacchi zero-day e malware senza file. Questo crescente divario nella sicurezza è il catalizzatore delle soluzioni di rilevamento e risposta degli endpoint.

Che cos'è l'EDR?

Le violazioni dei dati richiedono in media 197 giorni per essere scoperte e le organizzazioni spesso ricevono notifiche tramite le forze dell’ordine o i servizi commerciali dei titolari della carta invece di rilevare da sole la violazione. Ridurre il tempo che gli aggressori trascorrono in un’organizzazione - chiamato tempo di permanenza - e rilevare tempestivamente gli incidenti può comportare un notevole miglioramento dei costi di violazione dei dati e della protezione della reputazione del marchio. Gartner Research definisce le soluzioni Endpoint Detection and Response (EDR) come quelle che registrano e archiviano comportamenti a livello di sistema endpoint, utilizzano varie tecniche di analisi dei dati per rilevare comportamenti sospetti del sistema, forniscono informazioni contestuali, bloccano attività dannose e forniscono suggerimenti di rimedio per ripristinare le soluzioni interessate. sistemi. Di solito esistono due approcci di prodotto all'EDR: software EDR autogestito o un servizio gestito. Organizzazioni di ogni dimensione e settore verticale stanno adottando l’EDR e il rilevamento delle anomalie come modalità cruciale per prevenire, rilevare, rispondere e prevedere gli attacchi alla sicurezza informatica. Inoltre, Gartner Research prevede un aumento di 3 volte nell’adozione degli EDR entro il 2020.

Quali sono le funzionalità EDR considerate critiche?

Il mercato EDR è ancora in evoluzione con soluzioni e fornitori che variano ampiamente in termini di caratteristiche e portata. Tuttavia, la maggior parte delle soluzioni EDR comprende queste cinque funzionalità principali:

Dalle informazioni dettagliate sugli attacchi agli endpoint in corso, all'analisi delle cause profonde e al blocco delle minacce reali, il rilevamento rapido è essenziale per fermare tempestivamente le minacce. Sebbene molte piccole e medie imprese (PMI) comprendano la necessità di una migliore efficacia della sicurezza, potrebbero non avere familiarità con tutte le opzioni per il rilevamento avanzato delle minacce o sapere da dove iniziare. Troppo spesso, i team IT oberati di lavoro scelgono di ricreare l'immagine di un laptop senza un'indagine completa sulla causa principale e un'indagine forense sulla portata della compromissione. Il risultato? Un circolo vizioso di nuovi compromessi in cui l’avversario sfrutta le debolezze sistemiche delle persone, dei processi e della tecnologia che influiscono negativamente sulla resilienza aziendale.

Quali limitazioni esistono con la tradizionale sicurezza antivirus?

Il software antivirus (AV) è uno strumento di sicurezza tradizionale che si basa su una libreria in continua crescita di riconoscimento basato sulle firme. Secondo “Endpoint Protection and Response: a SANS Survey” di giugno 2018, gli aggressori si adattano al panorama delle minacce in evoluzione cambiando e modificando le loro tattiche, spesso effettuando il reverse engineering degli strumenti antivirus per imparare come aggirare il rilevamento. più violazioni di dati, le PMI si rendono conto che il software antivirus presenta alcuni notevoli inconvenienti. Alcune limitazioni dell'antivirus includono:

• Visibilità inefficace: poiché si basa sul rilevamento basato sulla firma, l'antivirus tradizionale non rileva le minacce emergenti sconosciute o gli attacchi zero-day. Gli aggressori spesso apportano lievi modifiche al malware per creare una nuova variante con un nuovo valore hash; diventano abili nel nascondere le loro tracce. L'EDR è in grado di rilevare minacce nuove e sconosciute e di proteggersi dalle minacce interne, dannose o involontarie, scoperte con l'analisi comportamentale.
• Approfondimento limitato sulle azioni degli aggressori: il software antivirus e gli antivirus di nuova generazione si concentrano sulle tecniche di prevenzione piuttosto che sul rilevamento e sull'indagine. L'EDR aiuta a individuare il modo in cui l'aggressore è entrato in un'organizzazione e il percorso di compromissione chiamato "kill chain della sicurezza informatica". L'EDR consente inoltre indagini forensi, in modo da poter rilevare movimenti laterali all'interno della propria organizzazione e garantire che i dispositivi compromessi vengano completamente rilevati.
• Un falso senso di sicurezza: un tempo strumento di sicurezza fondamentale di ogni organizzazione, l'efficacia degli antivirus è diminuita negli ultimi anni man mano che l'economia degli hacker è esplosa per monetizzare minacce come ransomware ed eludere il rilevamento con un basso costo e-approccio lento. Secondo uno studio di ricerca sugli endpoint SANS (5), gli antivirus tradizionali rilevano solo il 47% dei casi di compromissione degli endpoint. Le organizzazioni possono lasciarsi cullare da un falso senso di invincibilità che crea un divario di rischio a causa di un investimento in sicurezza insufficiente.
• Spoofing delle credenziali: le credenziali compromesse sono accessi legittimi al computer tramite combinazioni di nome utente e password che sono state esposte tramite una violazione dei dati. Questi accessi rubati sono accessi validi che funzionano se le password non sono state reimpostate. Gli hacker possono utilizzare gli oltre 1,4 miliardi di credenziali rubate presenti nel deep e nel dark web per ottenere l’accesso a sistemi sensibili e ai partner della catena di fornitura delle PMI di grandi imprese. Sebbene gli strumenti antivirus non rilevino lo spoofing delle credenziali, le soluzioni EDR con analisi comportamentale possono rilevare gli avversari che accedono in orari sospetti o da paesi in cui la tua organizzazione non opera.

Sebbene gli strumenti antivirus e antivirus di nuova generazione (NGAV) offrano un certo livello di protezione, sono necessarie difese di sicurezza a più livelli per mitigare le minacce furtive e mutevoli. Il rilevamento e la risposta degli endpoint (EDR) è uno di questi approcci. Le organizzazioni possono accelerare l'efficacia della sicurezza informatica integrando EDR e SIEM (Security Information and Event Management), il tutto con un servizio gestito e un centro operativo di sicurezza (SOC) attivo 24 ore su 24, 7 giorni su 7. Questi tre componenti, se adeguatamente integrati e gestiti, forniscono alle PMI una protezione avanzata dalle minacce potente ed efficiente.

Il nostro approccio

Comprendiamo le sfide che dovete affrontare nella battaglia per la sicurezza degli endpoint. Netsurion EDR ottimizza la tua efficacia con un servizio gestito e un SOC 24 ore su 24, 7 giorni su 7, potenziando il tuo personale con competenze di sicurezza difficili da trovare. Progettato appositamente per le PMI, sfrutta l'automazione e l'apprendimento automatico per ottenere informazioni più approfondite, informazioni sulle minacce utilizzabili e per individuare le azioni degli avversari in tempo reale. EventTracker EDR ti consente di rilevare rapidamente, rispondere in modo efficiente e ripristinare gli attacchi informatici senza la complessità e i costi elevati associati al sovradimensionato software EDR incentrato sull'azienda. EventTracker EDR è naturalmente molto più efficace nel ridurre il tempo di permanenza degli aggressori se integrato con la nostra soluzione EventTracker SIEM (gestione delle informazioni sulla sicurezza e degli eventi).

Conclusione

Gli incidenti di sicurezza sono inevitabili. Le organizzazioni di tutte le dimensioni devono inoltre adattarsi al panorama in evoluzione delle minacce e investire ulteriormente nelle capacità di rilevamento e risposta. Con team e risorse IT e di sicurezza limitati, le organizzazioni PMI devono concentrarsi sulla riduzione della superficie di attacco che le rende vulnerabili agli aggressori e sull'abilitazione di soluzioni integrate come il SIEM cogestito e il servizio EDR gestito che forniscono una sicurezza di difesa approfondita.