Security Operations Centers (SOC) zijn tegenwoordig overweldigd. Analisten verwerken elke dag duizenden waarschuwingen, waarbij ze veel tijd besteden aan het opsporen van valse positieven en het reactief aanpassen van detectieregels. SOC’s missen vaak de omgevingscontext en relevante informatie over dreigingen die nodig zijn om snel te verifiëren welke waarschuwingen echt kwaadaardig zijn. Als gevolg hiervan besteden analisten buitensporig veel tijd aan het handmatig beoordelen van waarschuwingen, waarvan het merendeel als goedaardig wordt geclassificeerd.
Het aanpakken van de hoofdoorzaak van deze blinde vlekken en waarschuwingsmoeheid is niet zo eenvoudig als het implementeren van nauwkeurigere hulpmiddelen. Veel van deze traditionele hulpmiddelen zijn zeer nauwkeurig, maar hun fatale fout is een gebrek aan context en een beperkte focus: door de bomen het bos niet meer. Ondertussen maken geavanceerde aanvallers misbruik van blootstellingen die onzichtbaar zijn voor traditionele reactieve tools, waarbij ze vaak detectie omzeilen met behulp van algemeen verkrijgbare bypass-kits.
Hoewel al deze tools op zichzelf effectief zijn, mislukken ze vaak vanwege de realiteit dat aanvallers niet slechts één aanvalstechniek gebruiken, slechts één soort blootstelling exploiteren of één enkele CVE bewapenen wanneer ze een omgeving binnendringen. In plaats daarvan koppelen aanvallers meerdere blootstellingen aan elkaar, waarbij ze waar nuttig bekende CVE’s gebruiken en ontwijkingstechnieken gebruiken om zich lateraal door een omgeving te verplaatsen en hun gewenste doelen te bereiken. Op zichzelf kunnen traditionele beveiligingstools een of meer van deze blootstellingen of IoC’s detecteren, maar zonder de context die is afgeleid van een diep geïntegreerd programma voor continu blootstellingsbeheer, kan het voor beveiligingsteams bijna onmogelijk zijn om anderszins ogenschijnlijk losstaande signalen effectief te correleren.
SecOps-voordelen in elke fase van de cyberbeveiligingslevenscyclus
Platforms voor blootstellingsbeheer kunnen helpen bij het transformeren van SOC-activiteiten door blootstellingsinformatie rechtstreeks in bestaande workflows van analisten te verweven. Natuurlijk biedt zichtbaarheid van het aanvalsoppervlak en inzicht in onderling verbonden blootstellingen enorme waarde, maar dat is nog maar het begin. Dit hoeft eigenlijk geen verrassing te zijn, gezien de aanzienlijke overlap in de modellen op hoog niveau die elk team hanteert, zij het vaak parallel in plaats van samen te werken.
Om het punt verder te maken, heb ik hieronder een vergelijking opgenomen tussen een typische SOC-workflow en de CTEM-levenscyclus:
| Typische SOC-levenscyclus | Hoe geïntegreerd belichtingsbeheer helpt | CTEM-levenscyclus |
|---|---|---|
|
Monitor Zorg voor continu inzicht in het gehele aanvalsoppervlak en geef prioriteit aan kritieke assets die het belangrijkst zijn voor het bedrijf en waar de aanvallers het meest waarschijnlijk achteraan zullen gaan. |
Gedeelde zichtbaarheid van het aanvalsoppervlak Integratie met CMDB- en SOC-tooling creëert een uniform beeld van het aanvalsoppervlak en kritieke assets, waardoor beveiligings- en IT-teams op één lijn worden gebracht met wat het belangrijkst is. |
Domein Geef een overzicht van de reikwijdte van het blootstellingsbeheerprogramma, identificeer kritische activa die het belangrijkst zijn voor het bedrijf en behoud continu inzicht over het aanvalsoppervlak. |
|
Detecteer Identificeer verdachte en kwaadaardige activiteiten op het aanvalsoppervlak, idealiter voordat toegang wordt verkregen of kritieke systemen en gegevens in gevaar worden gebracht. |
Contextualiseer bedreigingswaarschuwingen Wanneer detecties worden uitgevoerd, kunnen analisten onmiddellijk zien wat de risicopositie van het asset is en of verdachte activiteit aansluit bij bekende aanvalspaden, waardoor generieke waarschuwingen worden omgezet in gericht onderzoek. |
Ontdekken Ontdek blootstellingen over het hele aanvalsoppervlak, inclusief aanvalspaden, kwetsbaarheden, verkeerde configuraties, identiteits- en machtigingsproblemen, enz. |
|
Triage Valideer beveiligingswaarschuwingen en correleer gebeurtenislogboeken om echte beveiligingsincidenten en kwaadaardige activiteiten te identificeren versus goedaardige afwijkende activiteiten. |
Verbeter de dispositienauwkeurigheid Neem beter geïnformeerde beslissingen op basis van de asset- en bedrijfscontext om de ruis van beveiligingswaarschuwingen te doorbreken en tegelijkertijd het risico op valse negatieven te verminderen. |
Geef prioriteit Geef prioriteit aan ontdekte blootstellingen op basis van dreigingsinformatie, omgeving en bedrijfscontext om hersteloperaties te concentreren op het meest impactvolle en dreigende risico. |
|
Onderzoeken Duik diep in dreigingsinformatie, gebeurtenislogboeken en andere bevindingen om de straal van de explosie, de hoofdoorzaak en de impact van een beveiligingsincident te bepalen. |
Visualiseer complexe aanvalsketens Transformeer abstracte risicobevindingen in gevalideerde potentiële aanvalsscenario’s. Analisten kunnen visualiseren hoe dreigingsactoren specifieke blootstellingen aan elkaar zouden koppelen, waardoor kritische knelpunten worden geïdentificeerd. |
Valideer Bevestig dat ontdekte blootstellingen daadwerkelijk aanwezig zijn, bereikbaar zijn voor bedreigingsactoren en daadwerkelijk kunnen worden uitgebuit op basis van de beschikbaarheid van patches en compenserende controles. |
|
Antwoorden Onderneem actie om de impact van inbreuken te minimaliseren en de bedreiging in de omgeving te elimineren. |
Gerichte respons op incidenten Het begrijpen van exploiteerbare paden maakt nauwkeurige inperking en herstel mogelijk, waarbij specifieke blootstellingen snel worden aangepakt zonder verstorende overisolatie of bedrijfsimpact. |
Mobiliseren Stimuleer efficiënt en effectief herstel van blootstellingen door cross-functionele afstemming te stimuleren, workflows voor meldingen en ticketing te automatiseren en waar mogelijk beveiligingsmaatregelen te implementeren en patchworkflows te automatiseren. |
Deze natuurlijke afstemming tussen de hoogwaardige workflows van proactieve en reactieve teams maakt het gemakkelijk om te zien waar de gerichte informatie over bedreigingen en aanvallen, afgeleid van platforms voor blootstellingsbeheer, van nut kan zijn voor SOC-teams voorafgaand aan en midden in een bedreigingsonderzoek.
De magie begint echt te gebeuren wanneer teams hun platforms voor blootstellingsbeheer integreren met EDR’s, SIEM’s en SOAR-tools om contextuele informatie over dreigingen te leveren, precies waar en wanneer SOC-analisten deze het meest nodig hebben. Hierdoor kunnen teams ontdekte blootstellingen automatisch correleren met specifieke MITRE ATT&CK-technieken, waardoor bruikbare dreigingsinformatie ontstaat die onmiddellijk relevant is voor het unieke aanvalsoppervlak van elke organisatie.
Voor blootstellingen die niet onmiddellijk kunnen worden verholpen, kunnen teams deze intelligentie gebruiken om detectie-engineering en bedreigingsjachtactiviteiten te informeren. Dit creëert een continue feedbacklus waarbij blootstellingsinformatie detectie-updates informeert, de triage en het onderzoek van waarschuwingen verbetert en geautomatiseerde respons en geprioriteerd herstel ondersteunt.
Een diepere duik in SOC-workflows, verrijkt met blootstellingsinformatie
Traditionele detectietools genereren waarschuwingen op basis van handtekeningen en gedragspatronen, maar ontberen omgevingscontext. Continu blootstellingsbeheer transformeert dit door realtime context te bieden over de systemen, configuraties en kwetsbaarheden die bij elke waarschuwing betrokken zijn.
- Wanneer een detectie afgaat, begrijpen SOC-analisten onmiddellijk welke blootstellingen er bestaan op het getroffen systeem, welke aanvalstechnieken haalbaar zijn gezien de huidige configuratie, hoe de potentiële explosieradius eruit ziet en hoe deze waarschuwing past in bekende aanvalspaden.
- Triage van waarschuwingen wordt aanzienlijk efficiënter wanneer analisten onmiddellijk het werkelijke risicopotentieel van elke waarschuwing kunnen inschatten. In plaats van te triageren op basis van generieke ernstscores, biedt blootstellingsmanagement een omgevingsspecifieke risicocontext.
- Tijdens het onderzoek biedt het continue blootstellingsbeheer analisten een gedetailleerde aanvalspadanalyse die precies laat zien hoe een tegenstander de huidige waarschuwing zou kunnen misbruiken als onderdeel van een bredere campagne. Dit omvat het begrijpen van alle haalbare aanvalspaden op basis van de daadwerkelijke netwerktopologie, toegangsrelaties en systeemconfiguraties.
- Het omvat ook het onderzoeken van de hoofdoorzaak van een inbreuk, waardoor analisten de meest waarschijnlijke inbreukpunten en paden kunnen bepalen die een aanvaller zou volgen.
- Reactieactiviteiten worden nauwkeuriger wanneer ze worden geleid door blootstellingsinformatie. In plaats van brede inperkingsmaatregelen die de bedrijfsactiviteiten zouden kunnen verstoren, kunnen SOC-teams chirurgische maatregelen implementeren die de specifieke blootstellingen aanpakken die worden uitgebuit.
- De herstelfase gaat verder dan de onmiddellijke reactie op incidenten, maar gaat ook over systematische vermindering van de blootstelling, waarbij automatisch tickets worden gegenereerd die niet alleen betrekking hebben op het onmiddellijke incident, maar ook op de onderliggende omstandigheden die dit mogelijk hebben gemaakt. Wanneer de herstelactiviteiten zijn voltooid, kunnen dezelfde testprocessen die worden gebruikt om beveiligingslekken aan het licht te brengen, worden gebruikt om te valideren dat de geïmplementeerde wijzigingen daadwerkelijk hebben gewerkt en het risico is verminderd.
Doordat continu blootstellingsbeheer is geïntegreerd in de SecOps-workflow, wordt elk incident een leermogelijkheid die de toekomstige detectie- en responsmogelijkheden versterkt. Als u begrijpt welke blootstellingen tijdens red teaming- en validatietests tot succesvolle aanvallen hebben geleid, kunt u compenserende controles verfijnen en implementeren en/of detectieregels afstemmen om soortgelijke activiteiten eerder in de aanvalsketen op te vangen.
De toekomst van SOC-operaties
De toekomst van SOC-operaties ligt niet in het sneller verwerken van meer waarschuwingen, maar in het voorkomen van omstandigheden die onnodige waarschuwingen genereren en tegelijkertijd lasergerichte capaciteiten ontwikkelen tegen de bedreigingen die er het meest toe doen. Continu blootstellingsbeheer zorgt voor het milieubewustzijn dat generieke beveiligingshulpmiddelen omzet in precisie-instrumenten.
In een tijdperk waarin dreigingsactoren steeds geavanceerder en volhardender worden, hebben SOC’s elk voordeel nodig dat ze kunnen krijgen. Het vermogen om het slagveld proactief vorm te geven, blootstellingen te elimineren, detecties af te stemmen en aangepaste mogelijkheden te ontwikkelen op basis van de realiteit van de omgeving kan het verschil zijn tussen bedreigingen voor blijven en voortdurend een inhaalslag maken.
Opmerking: Dit artikel is geschreven en bijgedragen door Ryan Blanchard, momenteel directeur Product Marketing bij XM Cyber. Hij begon zijn carrière met het analyseren van IT- en professionele dienstenmarkten en GTM-strategieën, en helpt nu bij het vertalen van complexe technologische voordelen in verhalen die innovatie, het bedrijfsleven en mensen met elkaar verbinden.
