EventTracker Enterprise e la catena di uccisione informatica
Il modello Cyber Kill Chain di Lockheed Martin descrive il modo in cui gli aggressori utilizzano il ciclo di compromissione, persistenza ed filtraggio contro un'organizzazione. Le strategie di difesa che si concentrano esclusivamente sul perimetro e sulla prevenzione non tengono conto dell'approccio del ciclo di vita della catena di uccisione; questo è il motivo per cui gli aggressori continuano ad avere così tanto successo. La difesa dalle minacce persistenti e avanzate richiede metodi che rilevino e neghino le minacce in ogni fase della kill chain.
Concentrarsi sulle difese perimetrali dà l'impressione di concentrare le risorse sulle risorse e sui vettori di attacco più esposti. Questo modo di pensare significa che l'aggressore deve avere successo solo una volta su un numero illimitato di tentativi. I difensori, al contrario, devono avere ragione ogni volta. Ciò non solo è sbagliato ma anche insostenibile. Solo perché si è verificata con successo un'infezione malware o un attacco SQL injection contro la tua rete, non ne consegue che l'aggressore abbia vinto e tu abbia perso. La kill chain evidenzia che chiaramente non è così, perché l'aggressore vince solo quando tutte le fasi della Cyber Kill Chain sono state eseguite con successo. Un attacco riuscito è un processo end-to-end e viene descritto come una “catena” poiché un’interruzione in qualsiasi fase può interrompere l’intero attacco. Ciò sposta il peso sull'attaccante che ora deve riuscire in ogni singolo passo mentre un difensore deve riuscire solo in un passo.
La soluzione EventTracker Enterprise è un mix di tecnologia, esperti qualificati e disciplina dei processi progettata per affrontare la difesa lungo l'intera catena del cyber kill. Ecco come EventTracker Enterprise si associa alla Cyber Kill Chain.
Ricognizione — Definita come identificazione, selezione del target, dettagli dell'organizzazione, informazioni sulle scelte tecnologiche. EventTracker Enterprise rileva i tentativi ricevendo e analizzando i registri del server Web, eseguendo scansioni di vulnerabilità e test di penetrazione esterna, il tutto integrato con l'intelligence sulle minacce locali, globali e della comunità. La nostra offerta EventTracker Honeynet è progettata per ingannare gli aggressori e smascherarli attraverso le loro azioni piuttosto che attraverso la reputazione (che troppo spesso è neutrale).
Consegna — La trasmissione del malware viene avviata dal bersaglio (gli utenti accedono a una presenza Web dannosa, che porta alla diffusione del malware, oppure aprono un file PDF dannoso) o dall'aggressore (SQL injection o sfruttamento del servizio di rete). EventTracker Enterprise fornisce analisi della sicurezza e analisi comportamentale della rete integrate con l'intelligence sulle minacce per rilevare tali tentativi.
Sfrutta — Dopo la consegna all'utente o all'endpoint, il malware prenderà piede sfruttando una vulnerabilità nota. Purtroppo è molto probabile che una patch sia disponibile da mesi o anni ma non sia stata implementata. Il servizio EventTracker Enterprise Vulnerability Management fornisce un servizio gestito per scoprire sistematicamente le vulnerabilità e semplificarne la correzione riducendo così la superficie di attacco.
Installa — Di solito si tratta di un trojan ad accesso remoto (RAT), furtivo nel suo funzionamento, che consente di ottenere persistenza o "tempo di permanenza". L'attaccante cerca di controllarlo senza allertare i difensori. La tecnologia EventTracker Enterprise include funzionalità di rilevamento delle minacce endpoint che rilevano le minacce che eludono l'antivirus basato sulla firma. La funzionalità Change Audit (nota anche come FIM) tiene traccia delle modifiche ai file sugli endpoint ed è una tecnica efficace per rilevare installazioni indesiderate.
C&C — Ora che l'aggressore ha il controllo delle risorse all'interno della rete, utilizzando metodi come DNS, Internet Control Message Protocol (ICMP), siti web dice alla “risorsa” controllata cosa fare dopo e quali informazioni raccogliere. Viene identificato un host di staging sul quale vengono copiati tutti i dati interni, quindi compressi e/o crittografati e preparati per l'esfiltrazione. EventTracker Enterprise è in grado di rilevare tali attività mediante l'analisi dell'attività DNS, il monitoraggio dell'integrità dei file e l'analisi del traffico di rete, il tutto integrato con l'intelligence sulla reputazione IP.
Esfiltrazione : in questa fase finale l'aggressore estrae i dati e mantiene il tempo di permanenza nella rete, quindi adotta misure per identificare più obiettivi ed espandere la propria presenza. Dopo la compromissione, la successiva attività di attacco viene eseguita come utente interno. La funzione di monitoraggio delle attività di EventTracker Enterprise esegue un monitoraggio continuo per identificare l'accesso anomalo degli utenti ai dati, inclusa la frequenza, gli orari del giorno e da luoghi mai visti prima. L'analisi comportamentale della rete evidenzia i dispositivi che spostano dati che non rientrano nel loro ruolo (traffico verso host che si distinguono), un volume estremamente elevato di traffico DNS verso un server DNS esterno che non è definito per la risoluzione dei nomi host esterni, protocolli di traffico utilizzati attivamente che siano contrari ai criteri o che un utente attendibile tenti di eseguire attività chiaramente dannose come una sessione FTP verso una destinazione imprevista.
Difendere una rete nel panorama delle minacce odierne richiede una combinazione di tecnologia, esperienza e disciplina dei processi. EventTracker Enterprise può aiutarti a un prezzo interessante.