Cybersecurity Compromise Assessments vs Kwetsbaarheidsanalyses
Tijdens de International Cyber Security and Intelligence Conference gaven infosec executives - waaronder CISO's met uitgebreide ervaring in cyberverdediging en de belangrijkste thought leaders op het gebied van informatie over cyberbedreigingen, incident response, threat hunting en Endpoint Detection & Response - lezingen over het belang van proactief vs. reactief zijn in het stoppen van cyberaanvallen.
Als onderdeel van een proactieve beveiligingsstrategie adviseerde spreker Nik Alleyne, senior manager cyberbeveiliging bij Forsythe Solutions Group, het uitvoeren van kwetsbaarheidsanalyses en regelmatige penetratietests.
Hoewel deze red team-activiteiten belangrijke hulpmiddelen zijn voor het evalueren van cyberbeveiliging en algemene IT-risico's, beantwoorden ze slechts de helft van de beveiligingsparadox "Kan ik gehackt worden?". Ze geven geen antwoord op de meer essentiële vraag: "Ben ik al gehackt?".
Met de toenemende wereldwijde regelgeving rond gegevensbescherming in de onderneming, van GDPR in Europa tot het nieuwe NIST-raamwerk in de VS, hebben managers van informatiebeveiliging de mogelijkheid nodig om inbreuken op de beveiliging, schadelijke activiteiten en indicators of compromise (IOC's) die al aanwezig zijn in hun IT-omgevingen, snel te ontdekken en aan te pakken.
Verder moeten beveiligingsanalisten snel kunnen valideren of hun netwerk en endpoints daadwerkelijk vrij zijn van malware, bedreigingsactoren, APT's die zich lateraal kunnen verplaatsen en ongeautoriseerde toegang of toegang op afstand. Dat is precies de reden waarom het beoordelen van uw cyberbeveiligingsrisico door middel van een Compromise Assessment belangrijker is dan een kwetsbaarhedenscan, penetratietests en/of analyses van netwerkverkeer.
Wat is een Cybersecurity Compromise Assessment?
Elke proactieve cyberbeveiligingsstrategie moet een beveiligings-/risicobeoordeling van uw huidige ecosysteem en de staat van uw netwerkomgeving omvatten. Geavanceerde bedreigingsactoren, geavanceerde aanhoudende bedreigingen en andere nieuwe soorten malware (zoals bestandsloze malware en polymorfe malware) bevinden zich vaak maanden, soms jaren, in een IT-omgeving voordat ze worden gedetecteerd en hersteld.
Zoals blijkt uit het groeiende aantal datalekken, zijn bestaande technologieën niet langer voldoende om bedreigingen (en bedreigingsactoren) ervan te weerhouden uw perimeter binnen te dringen. Kwetsbaarheidsbeoordelingen en penetratietests zoeken naar beveiligingslekken en kwetsbaarheden, maar detecteren geen bestaande compromissen en de onderliggende activiteit van aanvallers. Vandaag de dag moeten ondernemingen compromisbeoordelingen toevoegen aan hun beveiligingsprogramma om proactief te controleren of een netwerk al is doorbroken en risico's effectiever te beperken, zodat ze sneller kunnen reageren op beveiligingsincidenten en netwerkbeheerders snel kunnen handelen en cyberaanvallen in bijna realtime kunnen verhelpen.
Aangezien een Compromise Assessment zich richt op het identificeren van voorheen onbekende, succesvolle of lopende compromitteringen, moeten de tools en technieken die worden gebruikt om de assessment uit te voeren in staat zijn om post breach activiteiten, slapende en verborgen malware, kwaadaardig gebruik van credentials en Command and Control (C2) verkeer te identificeren.
Dit verschilt van traditionele loggebaseerde EDR-platforms en oplossingen voor de analyse van netwerkverkeer, die zich richten op vroegtijdige detectie van cyberaanvallen, exploits en gebeurtenissen waarbij malware wordt geïnstalleerd. Deze platformen en technieken proberen te voorkomen dat een aanval slaagt of een aanval vroeg genoeg op te vangen om de schade (bijv. data exfiltratie) tijdens een datalek te beperken.
Uw compromisstatus beoordelen
Hoe beoordeelt u de gecompromitteerde staat van uw omgeving? Hoewel er een handvol aangepaste methodologieën zijn voor het uitvoeren van cybersecurity compromisbeoordelingen, worden deze vaak gebundeld met responsdiensten die meestal gebruik maken van handmatige processen om logs en analyses van beveiligingssystemen en event logging platforms uit te kammen - soms duurt het maanden om te voltooien en zit het vol met ruis, namelijk fout-positieven en fout-negatieven.
Wat nu (en in de toekomst) nodig is, is een aanpak die gebruik maakt van geautomatiseerd scannen om het proces van het beoordelen van uw omgeving op kwaadaardige cyberbedreigingen te versnellen.
We hebben ontdekt dat onafhankelijke scans van de eindpunten van uw netwerk met behulp van een methodologie genaamd Forensic State Analysis (FSA) de meest effectieve aanpak is. Een FSA-gebaseerde aanpak stelt u in staat om:
- Identificeer alle eindpunten (hosts, systemen, servers en werklasten) binnen uw netwerkomgeving
- Scan endpoints op geïnstalleerde applicaties en identificeer kwetsbaarheden
- Onbekende bedreigingen blootleggen - actief of sluimerend - inclusief malware, verdachte code, scripts, autostarts, geheugeninjecties, processen en meer
- Bekijk verzamelde bedreigingsinformatiegegevens en bruikbare inzichten voor snelle herstelmaatregelen en een snellere reactie op cyberbeveiligingsincidenten
- Identificeer snel toegangspunten, uitgangspunten en root cause analysis (RCA) zodat incidentbestrijders patiënt zero (de eerste machine, host of het eerste systeem dat geïnfecteerd is) kunnen vastleggen en isoleren.
- Kosteneffectief een volledige cyberbeveiligingscompromittering en risicobeoordeling uitvoeren in enkele dagen, niet maanden (zoals de meeste CA-oplossingen)
- Voer zo vaak als nodig compromisbeoordelingen uit: dagelijks, maandelijks, driemaandelijks, jaarlijks, enz.
Een holistische benadering van netwerkbeveiliging, endpointbeveiliging en algehele IT-gezondheid
Alleyne sprak ook over het belang van "cyber threat hunting" ter ondersteuning van een proactieve beveiligingsaanpak. Cyber threat hunting is vergelijkbaar met een compromisbeoordeling, maar in plaats van alleen bedreigingen bloot te leggen, proberen bedreigingsjagers bedreigingen te isoleren, in te dammen, uit te roeien en post-incident certificering uit te voeren (om te controleren of bedreigingen inderdaad zijn verwijderd). In wezen is threat hunting een reactie op cyberbeveiligingsincidenten zonder het incident.
Het vaststellen van de initiële compromistoestand van uw IT-omgeving is een goed begin, maar organisaties moeten voortdurende detectie na een inbreuk (ook wel threat hunting genoemd) als proactieve maatregel in hun beveiligingsactiviteiten opnemen. Deze aanpak stelt beveiligings- en operationele teams in staat om een iteratief proces te creëren voor het detecteren van infecties die defensieve technologieën (EDR, AV, etc.) vaak missen, en schade te beperken die kan worden veroorzaakt door verborgen aanhoudende compromissen.
Datto maakt het organisaties gemakkelijk om beoordelingen van beveiligingsrisico's en de voortdurende jacht op cyberbedreigingen op te nemen in een proactieve strategie voor het beheer van informatie- en IT-risico's.
Met behulp van onze FSA-methodologie, waarvoor patent is aangevraagd, scant het HUNT-onderzoek elk endpoint in uw omgeving (werkstations, servers, werklasten en apparaten) en valideert alles wat erop wordt uitgevoerd, wat kan worden geactiveerd om uit te voeren (via een autostart- of persistentiemechanisme) en analyseert het vluchtige geheugen van elk systeem om tekenen van manipulatie of verborgen processen te ontdekken. Datto heeft de unieke mogelijkheid om deze inspecties agentloos uit te voeren. Dit betekent dat er geen software vooraf hoeft te worden geïnstalleerd op de systemen die worden gescand en dat het volledig onafhankelijk is van de bestaande beveiligingsinfrastructuur van het netwerk, zodat de resultaten onaangetast blijven.
Conclusie
Onze netwerken zullen altijd een bepaalde mate van kwetsbaarheid hebben, omdat organisaties worstelen om vastberaden aanvallers buiten hun netwerken te houden en ervaren aanvallers met succes maanden, soms jaren, verborgen kunnen blijven voordat ze worden ontdekt. Tenzij u de huidige compromisstatus van uw netwerk kunt meten, is uw risicoprofiel voor cyberbeveiliging onvolledig.
