Все MSSP ежедневно имеют дело с огромным количеством предупреждений, но как наиболее успешные партнеры справляются с наплывом?
В этом году в индустрии MSSP наблюдается значительный рост атак на MSP и партнеров MSSP . Это привело к появлению новых атак на самые разные объекты, от инструментов RMM до приложений. Ежедневно мы сталкиваемся с огромным количеством оповещений – как же наиболее успешные партнеры справляются с этим?
Начните с цепочки убийств. На сегодняшний день самым популярным фреймворком является MITER Структура атаки. Если вы сможете взглянуть на свои оповещения под таким углом, вы сможете начать снижать свои риски. SOC Значительно снизьте нагрузку на команды. Начните с этапа разведки. Почему именно с него? Потому что, если вы сможете перекрыть связи до того, как злоумышленники закрепятся на территории, вы сможете значительно сократить объем работы по поиску и устранению угроз, которую ваша команда выполняет сегодня.
Отличный пример - Лог4дж. Это было большой неприятностью в течение последнего месяца или около того. Многие злоумышленники используют это, потому что в настоящее время это создает слишком много шума. В некотором смысле он был усилен за счет краудсорсинга несколькими группами атак — чем больше злоумышленников использует его, тем больше предупреждений вы увидите, связанных с ним.
Эти первоначальные сканирования не приносят никакой полезной нагрузки, но создают массу работы для вашего SOC. Если вы можете подключить сканирование к связи с активом в вашей сети, вы можете ограничить свой ответ на реальные угрозы вашему клиенту. Это область, в которой машинное обучение может значительно повысить ваши шансы на успех.
Используя машинное обучение без учителя, вы можете определить, взаимодействовала ли конкретная машина когда-либо с внешним хостом или запускала ли она определенное приложение, например Log4j . Что еще важнее, вы также можете обнаружить утечку данных. Компания Stellar Cyber разработала платформу, которая может сопоставить это с фреймворком атак MITRE , чтобы быстро идентифицировать такое поведение, включить его в цепочку атак и рекомендовать тактику устранения последствий. Обладая этой информацией, вы можете применять гораздо более целенаправленный подход к реагированию, и вам не потребуется приобретать или развертывать специальные средства обнаружения от разных поставщиков.
Кроме того, если вы обнаружите соединение с известным вредоносным хостом, вы можете автоматически разорвать его на межсетевом экране и на устройстве. С помощью правил автоматического поиска угроз вы можете выбрать обнаружение, задать условие, и платформа Stellar Cyber Platform сможет инициировать ответные действия благодаря интеграции с вашим межсетевым экраном и инструментом EDR . В конечном итоге это позволяет достичь трех очень важных целей:
- Сократить время до обнаружения реальных событий.
- Отключите шум.
- Автоматизируйте реакцию, чтобы снизить риск.
Когда у вас есть полностью интегрированная платформа, выполняющая эти задачи, все становится просто. Если вас интересует более подробная информация, пожалуйста, свяжитесь с Брайаном Стонером из Stellar Cyber.
