Καλώς ήρθατε στην ενότητα πέντε.
Threat detection και incident response.
Μέχρι στιγμής εστιάσαμε στην προστασία συστημάτων και στη μείωση του κινδύνου.
Αλλά τι συμβαίνει όταν αυτές οι άμυνες αποτυγχάνουν;
Σε αυτή την ενότητα θα μάθετε πώς να εντοπίζετε (detect)
απειλές νωρίς και να ανταποκρίνεστε αποτελεσματικά.
Σε αυτό το πρώτο μάθημα, θα ορίσουμε το threat detection
και θα εξερευνήσουμε πώς οι οργανισμοί εντοπίζουν ύποπτη δραστηριότητα.
Πριν γίνει ένα πλήρες περιστατικό (incident),
το threat detection είναι η διαδικασία εντοπισμού
δυνητικής malicious activity στα συστήματα ή τα δίκτυά σας.
Περιλαμβάνει παρακολούθηση της κίνησης,
ανάλυση συμπεριφοράς, εντοπισμό ανωμαλιών (anomalies).
Ο στόχος είναι να εντοπιστούν σημάδια επίθεσης πριν συμβεί σοβαρή ζημιά.
Είναι μια κρίσιμη στροφή από την πρόληψη στην ενεργητική άμυνα
για τον εντοπισμό απειλών.
Οι αναλυτές προσέχουν για indicators of compromise ή IOCs.
Παραδείγματα περιλαμβάνουν ασυνήθιστες ώρες ή τοποθεσίες σύνδεσης,
απροσδόκητες αλλαγές ή διαγραφές αρχείων.
Μεγάλο outbound traffic από έναν server.
Malware signatures στη μνήμη ή στον δίσκο.
Αυτά τα σημάδια δεν σημαίνουν πάντα επίθεση,
αλλά συχνά σημαίνουν ότι κάτι χρειάζεται άμεση προσοχή.
Υπάρχουν διάφορες μέθοδοι που χρησιμοποιούνται για τον εντοπισμό απειλών.
Signature based αντιστοιχίσεις.
Γνωστά μοτίβα malware ή επιθέσεων.
Behavior based.
Επισημαίνει ύποπτη ή ασυνήθιστη συμπεριφορά.
Anomaly detection χρησιμοποιεί βασικές γραμμές (baselines) για να εντοπίσει αποκλίσεις.
Threat intelligence χρησιμοποιεί εξωτερικά δεδομένα για τρέχουσες απειλές.
Ο ισχυρός εντοπισμός χρησιμοποιεί έναν συνδυασμό μεθόδων για τα καλύτερα αποτελέσματα.
Οι οργανισμοί χρησιμοποιούν εξειδικευμένα εργαλεία για να παρακολουθούν για απειλές.
SIEM Security Information and Event Management
συλλέγει και αναλύει logs από όλα τα συστήματα.
EDR Endpoint Detection and Response παρακολουθεί
μεμονωμένες συσκευές IDS, IPS.
Intrusion detection prevention systems.
Παρακολουθούν δίκτυα SOC security operations center.
Οι πλατφόρμες συνδυάζουν όλα τα παραπάνω για άμυνα σε πραγματικό χρόνο.
Θα εξερευνήσετε πολλά από αυτά τα εργαλεία αργότερα σε αυτή την ενότητα.
Σε πολλούς οργανισμούς, το threat detection χειρίζεται
από ένα Security Operation Center ή SOC.
Οι SOC analysts παρακολουθούν dashboards και alerts,
ερευνούν ύποπτη συμπεριφορά,
κλιμακώνουν (escalate) επιβεβαιωμένα περιστατικά σε ομάδες απόκρισης.
Τεκμηριώνουν και αναφέρουν ευρήματα.
Είναι ένας ρόλος υψηλής πίεσης αλλά ουσιαστικός, και είναι εκεί που η θεωρία συναντά την πραγματικότητα.
Έτοιμοι για ένα μικρό επαναληπτικό κουίζ;
Ερώτηση πρώτη τι περιλαμβάνει το threat detection;
Α προγραμματισμό εβδομαδιαίων ενημερώσεων λογισμικού
Β πρόβλεψη πότε οι χρήστες θα ξεχάσουν τους κωδικούς πρόσβασης.
Γ εντοπισμό σημαδιών malicious activity στα συστήματα.
Δ αλλαγή κανόνων firewall.
Μηνιαία παύση.
Η σωστή απάντηση είναι Γ.
Το Threat detection αφορά τον εντοπισμό σημαδιών ότι μια επίθεση μπορεί να βρίσκεται σε εξέλιξη.
Ερώτηση δύο ποιο από τα παρακάτω είναι ένα IOC;
Α ένας ισχυρός κωδικός πρόσβασης;
Β μια κλειδωμένη οθόνη.
Γ μια ασυνήθιστη σύνδεση (login) από ξένη χώρα.
Δ κρυπτογραφημένη αποθήκευση.
Σκεφτείτε το καλά.
Η σωστή απάντηση είναι Γ.
Απροσδόκητα logins μπορεί να σηματοδοτούν έναν παραβιασμένο λογαριασμό.
Τελευταία ερώτηση τι βοηθά τις ομάδες ασφαλείας να κάνουν ένα SIEM;
Α να δημιουργούν ισχυρότερους κωδικούς πρόσβασης.
Β να παρακολουθούν και να αναλύουν logs από πολλαπλά συστήματα.
Γ να επαναφέρουν user credentials.
Δ να ενημερώνουν λογισμικό antivirus.
Σκεφτείτε το καλά.
Η σωστή επιλογή απάντησης είναι Β, SIEM.
Τα εργαλεία συγκεντρώνουν και αναλύουν δεδομένα για να βοηθήσουν στον γρήγορο εντοπισμό απειλών.
Εξαιρετική δουλειά!
Τώρα καταλαβαίνετε τα βασικά του threat detection, γιατί έχει σημασία,
και πώς οι ομάδες χρησιμοποιούν εργαλεία και τεχνικές για να βρουν τα πρώιμα σημάδια επίθεσης.
Στη συνέχεια, θα κάνουμε μια βαθύτερη βουτιά στα indicators of compromise.
IOCs, πώς μοιάζουν, πώς βρίσκονται, και πώς να ανταποκριθείτε.
Ας συνεχίσουμε να χτίζουμε τις δεξιότητες εντοπισμού σας.