CISO Insider: 2. izdanje

Napadači ucjenjivačkim softverom ciljaju na najvrjednije resurse gdje osjećaju da mogu izvući najviše novca od vas; to može biti najrazornije ili najvrjednije ako se drže kao taoci ili najosjetljivije ako se objave.

Sektor je važna odrednica profila rizika tvrtke ili ustanove – dok vodeći ljudi u području proizvodnje navode prekide u poslovanju kao najveću brigu, glavni direktori za sigurnost informacija u maloprodaji i financijskim uslugama prioritet stavljaju na zaštitu osjetljivih podataka; zdravstvene su ustanove, pak, jednako ranjive na obje fronte. Kao odgovor na to, vodeći ljudi u području sigurnosti agresivno prebacuju svoj profil rizika s gubitka podataka i izloženosti kroz jačanje svojih vanjskih granica, izrade sigurnosnih kopija ključnih podataka, suvišnih sustava i boljeg šifriranja.

Prekidi u poslovanju sada su fokus za mnoge rukovoditelje. Poslovanje snosi troškove čak i ako je prekid kratak. Jedan CISO za područje zdravstvene skrbi rekao mi je da, operativno, ucjenjivački softver nije ništa drugačiji od većeg nestanka struje. Dok odgovarajući sustav za sigurnosno kopiranje može pomoći u brzom vraćanju struje, još uvijek imate prazan hod koji prekida poslovanje. Drugi je CISO spomenuo da razmišljaju o tome kako se prekidi mogu širiti i preko njihove glavne korporativne mreže na operacijske brige kao što su problemi s cijevima ili sekundarni učinak ključnih dobavljača kojima je ucjenjivački softver prekinuo rad.

Taktika za upravljanje prekidima uključuje suvišne sustave i segmentaciju radi smanjenja praznog hoda, čime se omogućava organizaciji da prenese promet na drugi dio mreže dok stavlja pod kontrolu i vraća pogođeni segment. Međutim, čak i najrobusniji procesi izrade sigurnosnih kopija ili procesi oporavka od katastrofe ne mogu u potpunosti riješiti prijetnju od prekida u radu poslovanja ili od izloženosti podataka. Drugi je aspekt ublažavanja sprječavanje.

Mnogi CISO-i s kojima razgovaram imaju pristup palete sprječavanju napada i otkrivanju tako što iskorištavaju slojeve rješenja dobavljača koji pokrivaju ispitivanje ranjivosti, ispitivanje vanjske granice, automatizirani nadzor, sigurnost krajnjih točaka, zaštitu identiteta itd. Za neke je to redundancija s namjerom, nadaju se da će slojeviti pristup pokriti bilo koje praznine – poput slaganja švicarskog sira, u nadi se rupe neće biti jedna poviše druge.

Naše je iskustvo pokazalo da ova raznolikost može zakomplicirati napore popravka i tako potencijalno stvoriti više izloženosti rizicima. Kao što je jedan CISO primijetio, negativna strana okupljanja više rješenja je nedostatak vidljivosti zbog fragmentacije: „Imam pristup koji je najbolji u svojoj vrsti, što samo po sebi predstavlja određene izazove jer postoji nedostatak uvida u agregirane rizike jer imate ove nezavisne konzole kojima upravljate prijetnjama i nemate ovaj agregirani prikaz o tome što se događa u vašem mjestu.” (Zdravstvo, 1100 zaposlenika) Dok napadači pletu složenu mrežu koja se širi na više nejednakih rješenja, može biti teško dobiti cijelu sliku stupnjeva napada, utvrditi opseg ugroženosti te u potpunosti iskorijeniti bilo koje korisne podatke zlonamjernog softvera. Zaustavljanje napada u tijeku zahtijeva sposobnost gledanja više vektora radi otkrivanja, odvraćanja i stavljanja pod kontrolu/popravljanja napada u stvarnom vremenu.

Obećanje XDR-a većina ne ostvaruje. Mnogi glavni direktori za sigurnost informacija implementirali su snažnu početnu točku u EDR-u. EDR je dokazano sredstvo: vidjeli smo da su trenutačni korisnici prepoznavanja krajnjih točaka i odgovora zabilježili brže otkrivanje i zaustavljanje ucjenjivačkog softvera.

Međutim, s obzirom na to da je XDR evolucija EDR-a, neki glavni direktori za sigurnost informacija i dalje su skeptični u vezi korisnosti XDR-a. Je li XDR samo EDR s nekim dodanim specijaliziranim rješenjima? Trebam li zaista koristiti posve odvojeno rješenje? Ili će moj EDR s vremenom ponuditi iste sposobnosti? Trenutačno tržište za XDR rješenja dodatno zbunjuje kako dobavljači žele što prije dodati XDR ponude u portfelje proizvoda. Neki dobavljači šire svoj EDR alat kako bi obuhvatio dodatne podatke o prijetnjama dok su ostali više usmjereni ka izgradnji posvećenih XDR platformi. Potonji su ugrađeni odozgo prema gore radi isporuke spremne integracije i sposobnosti fokusiranih oko potreba sigurnosnog analitičara što ostavlja malo praznina vašem timu za ručno ispunjavanje.

Suočeni s nedostatkom talenata u području sigurnosti i potrebom za brzim odgovaranjem kako bismo prijetnje stavili pod kontrolu, ohrabrili smo vodeće ljude implementiraju automaciju kako bi oslobodili svoje ljude da se fokusiraju na obranu od najgorih prijetnji umjesto da rješavaju dosadne zadatke kao što je ponovno postavljanje lozinki. Zanimljivo je da mnogi vodeći ljudi u području sigurnosti s kojima sam razgovarao spominju da još ne iskorištavaju u potpunosti automatizirane sposobnosti. U nekim slučajevima vodeći ljudi u području sigurnosti nisu u potpunosti svjesni prilike, drugi oklijevaju s prihvaćanjem automacije iz straha od gubitka kontrole, zazivanja netočnosti ili žrtvovanja vidljivosti u prijetnje. Potonje je vrlo opravdana briga. Međutim, vidimo da oni koji su usvojili učinkovite automacije ostvaruju upravo suprotno – više kontrole, manje lažnih pozitivnih instanci, manje buke i više uvida s dostupnim radnjama – implementacijom automacije uz sigurnosni tim za vođenje i usmjeravanje napora tima.

Automacija pokriva razne sposobnosti, od osnovnih automatiziranih administrativnih zadataka do pametne procjene rizika omogućene strojnim učenjem. Većina glavnih direktora za sigurnost informacija prijavljuje usvajanje prve automacije, one koju aktivira događaj ili koja se temelji na pravilu, ali ih je malo iskoristilo ugrađenu umjetnu inteligenciju ili sposobnosti strojnog učenja koje omogućuju odluke o pristupu u stvarnom vremenu koje se temelje na riziku. Automatiziranje rutinskih zadataka zasigurno pomaže u oslobađanju sigurnosnog tima da se fokusira na više strateško razmišljanje koje ljudi najbolje rade. No upravo u ovom strateškom području – u trijaži odgovora na incident, što je jedan primjer – automacija ima najveći potencijal osnaživanja sigurnosnog tima kao inteligentnog partnera koji obrađuje podatke i usklađuje obrasce. Na primjer, AI i automacija su stručni u korelaciji sigurnosnih signala kako bi podržali sveobuhvatno otkrivanje i odgovaranje na kršenje. Otprilike polovica praktičara u području sigurnosti koje smo nedavno ispitali kaže da moraju raditi ručnu korelaciju signala.1   To oduzima nevjerojatno puno vremena i čini gotovo nemogućim odgovoriti na napad ili ga staviti pod kontrolu. Uz odgovarajuću primjenu automacije – kao što je korelacija sigurnosnih signala – napade je često moguće otkriti u gotovo stvarnom vremenu.

Vidjeli smo da puno sigurnosnih timova ne koristi dovoljno automaciju ugrađenu u postojeća rješenja koja već koriste. U mnogim je slučajevima primjena automacije jednostavna (i visokoj je utjecaja!) kao i konfiguriranje dostupnih značajki poput zamjenjivanja pravilnika pristupa s fiksnim pravilima pravilnicima uvjetnog pristupa koji se temelje na riziku, stvaranja pravilnika za odgovaranje itd.

Glavni direktori za sigurnost informacija koji ne iskorištavaju prilike automacije često to rade iz nepovjerenja i navode brige o tome kako sustav može napraviti nepopravljive greške dok radi bez ljudskog nadzora. Neki od potencijalnih scenarija obuhvaćaju sustav neprikladnog brisanja korisničkih podataka, što je neugodno izvršnim osobama koje trebaju pristupiti sustavu, ili gore, uzrokuju gubitak kontrole ili vidljivosti o ranjivosti koja je iskorištena.

No sigurnost nastoji biti ravnoteža između dnevnih malih neprikladnosti naspram konstantne prijetnje katastrofalnog napada. Automacija ima potencijal da služi kao sustav ranog upozorenja za takav napad i njezine se neprikladnosti mogu ublažiti ili ukloniti. Osim toga, automacija u svojem najboljem ruhu ne radi sama od sebe uz ljudske operatore, gdje njezina umjetna inteligencija može informirati, a i može je provjeriti ljudska inteligencija.

Da bi se osigurala lagana implementacija, dodajemo modove samo za izvješćivanje našim rješenjima kako bismo ponudili pokusno pokretanje prije uvođenja. To omogućava sigurnosnim timovima da implementiraju automaciju u svom tempu i tako precizno urede pravila automacije i nadziru učinkovitosti automatiziranih alata.

Vodeći ljudi u području sigurnosti koji koriste automaciju na najučinkovitiji način implementiraju je uz svoj tim kako bi ispunila praznine i služila kao prva linija obrane. Kao što mi je jedan CISO nedavno rekao, gotovo je nemoguće i nepraktično skupo imati sigurnosni tim fokusiran svugdje u svakom trenutku – a čak i da jest, sigurnosni timovi skloni su čestoj fluktuaciji. Automacija pruža sloj stalno uključenog kontinuiteta i dosljednosti za podržavanje sigurnosnog tima u područjima koja zahtijevaju tu dosljednost, kao što je nadzor prometa i sustavi ranog upozorenja. Implementirana u ovom svojstvu podržavanja, automacija pomaže timu da se oslobodi ručnog pregledavanja evidencije i sustava i omogućava im da budu proaktivniji. Automacija ne zamjenjuje ljude – to su alati koji osnažuju vaše ljude da prioritet stave na upozorenja i fokusiraju svoje napore tamo gdje je najvažnije.