CISO Insider: nummer 2

Angripare som använder utpressningstrojaner riktar in sig på dina mest värdefulla tillgångar där de tror att de kan pressa dig på mest pengar, oavsett om de har störst störande inverkan eller är mest värdefulla om de hålls som gisslan, eller mest känsliga om de publiceras.

Branschen är en avgörande faktor för en organisations riskprofil. Ansvariga inom tillverkningsindustrin nämner verksamhetsavbrott som det främsta problemet, CISO:ar för detaljhandel och finansiella tjänster prioriterar skyddet av känslig personligt identifierbar information, medan vårdorganisationer är lika sårbara på båda fronterna. Som svar flyttar säkerhetsansvariga aggressivt sin riskprofil bort från dataförlust och exponering genom förstärkning av perimetern, säkerhetskopiering av kritiska data, redundanta system och bättre kryptering.

Verksamhetsavbrott är nu i fokus för många ledare. Ett avbrott medför kostnader för verksamheten även om det är kortvarigt. En CISO för en vårdorganisation berättade nyligen för mig att utpressningstrojaner driftmässigt inte skiljer sig från ett stort strömavbrott. Även om ett adekvat reservsystem kan hjälpa till att återställa strömmen snabbt, har du fortfarande ett driftstopp som avbryter verksamheten. En annan CISO nämnde att de funderar på hur avbrott kan sträcka sig bortom deras huvudsakliga företagsnätverk till driftproblem som pipelineproblem eller den sekundära effekten av driftstörningar hos viktiga leverantörer som drabbats av utpressningstrojaner.

Avbrottshantering omfattar både redundanta system och segmentering för att minimera avbrott, vilket gör att organisationen kan flytta trafik till en annan del av nätverket medan det påverkade segmentet innesluts och återställs. Men även de mest robusta processerna för reservsystem eller haveriberedskap kan inte helt lösa hotet om verksamhetsavbrott eller dataexponering. Riskreducering stöds av förebyggande.

Många av de CISO:ar jag pratar med använder en palettstrategi för att förebygga och identifiera attacker, och använder olika lager av leverantörslösningar som täcker sårbarhetstestning, perimetertestning, automatiserad övervakning, slutpunktssäkerhet, identitetsskydd osv. För vissa är detta avsiktlig redundans i hopp om att ett tillvägagångssätt med flera lager kommer att täcka alla hål, lite som att stapla schweizisk ost i hopp om att hålen inte hamnar i linje.

Vår erfarenhet har visat att denna mångfald kan komplicera reparationsåtgärderna och potentiellt skapa mer riskexponering. Som en CISO noterar är nackdelen med att installera flera lösningar bristen på synlighet på grund av fragmentering: ”Jag använder en bäst-i-klassen-metod, vilket i sig ger vissa utmaningar eftersom det då saknas en inblick i de sammanlagda riskerna. Du har alla dessa oberoende konsoler för att hantera hot och har inte en samlad överblick över vad som pågår hos dig.” (Vårdbranschen, 1 100 anställda) Med angripare som spinner ett komplext nät som sträcker sig över flera olika lösningar, kan det vara svårt att få en fullständig bild av din kill chain, identifiera omfattningen av komprometteringen och helt avlägsna de skadliga nyttolasterna. Att stoppa en pågående attack kräver att du kan se över flera vektorer för att identifiera, hindra och innesluta/åtgärda attacker i realtid.

Löftet om XDR förblir ouppfyllt av de flesta. Många CISO:ar vi pratar med har implementerat en kraftfull utgångspunkt med EDR. EDR är en beprövad tillgång: det har visat sig att nuvarande användare av identifiering och åtgärd på slutpunkt har identifierat och stoppat utpressningstrojaner snabbare.

Men eftersom XDR är en vidareutveckling av EDR förblir vissa CISO:ar skeptiska till nyttan med XDR. Är XDR bara EDR med några punktlösningar påhakade? Behöver jag verkligen använda en helt separat lösning? Eller kommer min EDR så småningom ha samma funktioner? Den nuvarande marknaden för XDR-lösningar skapar ytterligare förvirring eftersom leverantörerna tävlar om att lägga till XDR-erbjudanden i produktportföljerna. Vissa leverantörer utökar sitt EDR-verktyg för att införliva ytterligare hotdata medan andra är mer fokuserade på att bygga dedikerade XDR-plattformar. De senare är byggda från grunden för att leverera användningsklar integrering och funktioner centrerade kring säkerhetsanalytikerns behov, vilket lämnar färre luckor som ditt team behöver fylla manuellt.

Inför en brist på kunnig säkerhetspersonal och ett behov av snabba åtgärder för att innesluta hot, har vi uppmuntrat ledare att ta i bruk automatisering så att medarbetarna kan fokusera på att försvara organisationen mot de allvarligaste hoten istället för att behöva hantera rutinmässiga uppgifter som att återställa lösenord. Intressant nog nämner många av de säkerhetsansvariga jag har pratat med att de inte drar full nytta av automatiserade funktioner ännu. En del säkerhetsansvariga är inte fullt medvetna om möjligheten, medan andra tvekar att ta till sig automatisering av rädsla för att tappa kontrollen, öka risken för felaktigheter eller offra insyn i hot. Det senare är en fullt berättigad oro. Men vi ser att de effektiva automatiseringsanvändarna faktiskt uppnår motsatsen – mer kontroll, färre falska positiva identifieringar, mindre brus och mer handlingsbara insikter – genom att implementera automatisering tillsammans med säkerhetsteamet för att vägleda och fokusera teamets insatser.

Automatisering täcker en rad funktioner, från grundläggande automatiserade administrativa uppgifter till smart maskininlärningsaktiverad utvärdering av risker. De flesta CISO:ar rapporterar att de har infört det förra, händelseutlöst eller regelbaserad automatisering, men färre har utnyttjat inbyggd artificiell intelligens och maskininlärningsfunktioner som möjliggör riskbaserade åtkomstbeslut i realtid. Självklart bidrar automatisering av rutinmässiga uppgifter till att ge säkerhetsteamet mer tid att fokusera på det mer strategiska tänkande som människor är bäst på. Men det är i det här strategiska området – där prioritering av svar på incident kan nämnas som ett exempel – som automatisering har störst potential att underlätta säkerhetsteamets arbete som en datatuggande, mönstermatchande, intelligent partner. Till exempel är AI och automatisering bra på att korrelera säkerhetssignaler för att stöda omfattande identifiering och åtgärdande av en säkerhetsöverträdelse. Ungefär hälften av säkerhetsexperterna som vi nyligen tillfrågade säger att de måste korrelera signaler manuellt.1   Detta är oerhört tidskrävande och gör det nästan omöjligt att reagera snabbt för att stoppa en attack. Med rätt tillämpning av automatisering – som korrelation av säkerhetssignaler – kan attacker ofta upptäckas i nästan realtid.

Vi har upptäckt att många säkerhetsteam underutnyttjar den automatisering som är inbyggd i befintliga lösningar som de redan använder. I många fall är det lika enkelt (och effektfullt!) att tillämpa automatisering som att konfigurera tillgängliga funktioner som ersättning av åtkomstprinciper med fasta regler med riskbaserade principer för villkorsstyrd åtkomst, utveckling av spelböcker för åtgärder, osv.

CISO:ar som väljer att avstå från möjligheterna med automatisering gör det ofta av misstro, med hänvisning till oro för att systemet gör oåterkalleliga fel utan mänsklig tillsyn. Några av de potentiella scenarierna är till exempel ett system som tar bort användardata på fel sätt, besvärar en chef som behöver tillgång till systemet, eller i värsta fall leder till förlust av kontroll eller synlighet om en säkerhetsrisk som har exploaterats.

Men säkerhet brukar vara en avvägning mellan dagliga små olägenheter och det ständiga hotet om en katastrofal attack. Automatisering har potential att fungera som ett tidigt varningssystem för en sådan attack och dess olägenheter kan avhjälpas eller undvikas helt. Och dessutom körs automatisering när den är som bäst inte självständigt utan tillsammans med mänskliga operatörer, där dess artificiella intelligens både kan informera och kontrolleras av mänsklig intelligens.

För att säkerställa ett smidigt införande har vi lagt till lägen med enbart rapportering i våra lösningar för att kunna erbjuda en provkörning före lanseringen. Detta gör att säkerhetsteamet kan implementera automatisering i sin egen takt för att finjustera automatiseringsregler och övervaka de automatiserade verktygens prestanda.

Säkerhetsansvariga som använder automatisering mest effektivt implementerar det tillsammans med sitt team för att fylla luckor och fungera som en första försvarslinje. Som en CISO nyligen sa till mig, är det nästan omöjligt och oöverkomligt dyrt att ha ett säkerhetsteam fokuserat överallt hela tiden – och även om det var möjligt har säkerhetsteam ofta hög personalomsättning. Automatisering ger ett ständigt aktivt lager av kontinuitet och konsekvens för att stöda säkerhetsteamet i områden som kräver denna konsekvens, till exempel trafikövervakning och system för tidiga varningar. När automatisering används i denna stödjande roll bidrar den till att befria teamet från att manuellt behöva granska loggar och system så att de kan bli mer proaktiva. Automatisering ersätter inte människor – det här är verktyg som ger dina medarbetare möjlighet att prioritera varningar och fokusera sina insatser där de har störst betydelse.