Платформа анализа угроз - Threat Intelligence Platform

Платформа анализа угроз это новая технологическая дисциплина, которая помогает организациям объединять, соотносить и анализировать угроза данные из нескольких источников в режиме реального времени для поддержки защитных действий. TIP разработаны для обработки растущего объема данных, генерируемых различными внутренними и внешними ресурсами (такими как системные журналы и каналы аналитики угроз), и помогают группам безопасности выявлять угрозы, актуальные для их организации. Импортируя данные об угрозах из различных источников и форматов, сопоставляя эти данные и затем экспортируя их в существующие системы безопасности или системы продажи билетов, TIP автоматизирует упреждающее управление угрозами и их смягчение. Настоящий TIP отличается от типичных продуктов корпоративной безопасности тем, что это система, которую могут программировать сторонние разработчики, в частности, пользователи платформы. СОВЕТЫ также могут использовать API для сбора данных для создания анализ конфигурации, Кто Информация, обратный поиск IP, анализ содержания веб-сайта, серверы имен, и SSL сертификаты.

Традиционный подход к безопасности предприятия

Традиционный подход к безопасность предприятия включает группы безопасности, использующие различные процессы и инструменты для реагирования на инциденты, защиты сети и анализа угроз. Интеграция между этими группами и обмен данными об угрозах часто осуществляется вручную с использованием электронной почты, электронных таблиц или системы продажи билетов на портале. Такой подход не масштабируется по мере роста команды и предприятия, а также увеличения количества угроз и событий. Поскольку источники атак меняются по минутам, часам и дням, масштабируемость и эффективность затруднены. Инструменты, используемые крупными Центры безопасности (SOC), например, генерируют сотни миллионов событий в день, от предупреждений конечных точек и сети до событий журнала, что затрудняет фильтрацию до управляемого количества подозрительных событий для сортировки.

Платформы анализа угроз

Платформы анализа угроз позволяют организациям получить преимущество перед противником, обнаруживая присутствие субъектов угрозы, блокируя и отражая их атаки или ухудшая свою инфраструктуру. Используя анализ угроз, предприятия и государственные учреждения могут также определять источники угроз и данные, которые являются наиболее полезными и актуальными для их собственной среды, что потенциально снижает затраты, связанные с ненужными коммерческими потоками угроз.[1]

Тактические варианты использования аналитики угроз включают планирование безопасности, мониторинг и обнаружение, реакция на инцидент, обнаружение угроз и оценка угроз. СОВЕТ также возвращает разумные методы SIEM, обнаружения вторжений, а также другие инструменты безопасности благодаря тщательно подобранной, актуальной и широко используемой аналитике угроз, которую предоставляет TIP.

Преимущество TIP - это возможность делиться информацией об угрозах с другими заинтересованными сторонами и сообществами. Противники обычно координируют свои усилия на форумах и платформах. TIP обеспечивает общую среду обитания, которая позволяет группам безопасности обмениваться информацией об угрозах среди своих доверенных кругов, взаимодействовать с экспертами по безопасности и разведке и получать рекомендации по применению скоординированных контрмер. Полнофункциональные TIP позволяют аналитикам безопасности одновременно координировать эти тактические и стратегические действия с реагированием на инциденты, операциями по обеспечению безопасности и управление рисками команды при агрегировании данных из доверенных сообществ.[2]

Возможности платформы анализа угроз

Платформы анализа угроз состоят из нескольких основных функциональных областей.[3] которые позволяют организациям реализовать подход к безопасности, основанный на аналитических данных. Эти этапы поддерживаются автоматизированными рабочими процессами, которые оптимизируют процесс обнаружения угроз, управления, анализа и защиты и отслеживают их до завершения:

  • Сбор - TIP собирает и объединяет несколько форматов данных из нескольких источников, включая CSV, STIX, XML, JSON, IODEK, OpenIOC, электронную почту и различные другие каналы. Этим TIP отличается от SIEM Платформа. Хотя SIEM могут обрабатывать несколько каналов TI, они хуже подходят для специального импорта или для анализа неструктурированных форматов, которые регулярно требуются для анализа. Эффективность АПИ будет во многом зависеть от качества, глубины, широты и своевременности выбранных источников. Большинство TIP обеспечивают интеграцию с основными коммерческими и разведка с открытым исходным кодом источники.
  • Корреляция - TIP позволяет организациям начать автоматический анализ, корреляцию и анализ данных, чтобы можно было получить действенную информацию о том, кто, почему и как для данной атаки, и ввести меры блокировки. Автоматизация обработки кормов имеет решающее значение.
  • Обогащение и контекстуализация - для создания расширенного контекста вокруг угроз TIP должен иметь возможность автоматически дополнять или позволять аналитикам анализа угроз использовать сторонние приложения анализа угроз для увеличения данных об угрозах. Это позволяет SOC и ИК командам необходимо иметь как можно больше данных об определенном субъекте угрозы, его возможностях и его инфраструктуре, чтобы должным образом отреагировать на угрозу. TIP обычно дополняет собранные данные такой информацией, как геолокация IP, сети ASN и другой другой информацией из таких источников, как списки заблокированных IP-адресов и доменов.
  • Анализировать - TIP автоматически анализирует содержание индикаторов угроз и взаимосвязи между ними, чтобы на основе собранных данных получать полезную, актуальную и своевременную информацию об угрозах. Этот анализ позволяет определить тактику, методы и процедуры злоумышленника. Кроме того, возможности визуализации помогают отображать сложные отношения и позволяют пользователям поворачиваться, чтобы выявить более подробные и тонкие взаимосвязи. Проверенный метод анализа в рамках TIP - это алмазная модель анализа вторжений.[4] Алмазная модель позволяет командам составить четкое представление о том, как действуют злоумышленники, и более эффективно информировать общий ответ. Этот процесс помогает командам уточнить и разместить данные в контексте для разработки эффективного плана действий. Например, аналитик по анализу угроз может выполнить моделирование отношений с фишинговым электронным письмом, чтобы определить, кто его отправил, кто получил электронное письмо, домены, на которые оно зарегистрировано, IP-адреса, относящиеся к этому домену, и т. далее, чтобы выявить другие домены, которые используют тот же преобразователь DNS, внутренние хосты, которые пытаются подключиться к нему, и какие другие запросы имени хоста / домена были предприняты. Diamond Model отличается от подхода Cyber ​​Kill Chain® (приписываемого Lockheed Martin[5]), который теоретизирует, что, как защитник, организация должна только нарушить одно звено в цепи, чтобы скомпрометировать атаку. Однако не все стадии атаки для защитника очевидны. Хотя шаги разведки могут быть обнаружены, если злоумышленник просматривает веб-сайт своей жертвы, этап размещения оружия остается скрытым. Алмазная модель, однако, больше фокусируется на понимании злоумышленника (его TTP и мотивации). Вместо того, чтобы смотреть на серию событий, Модель рассматривает отношения между функциями, чтобы помочь защитникам лучше понять угрозу. Это обеспечивает более эффективный общий ответ.[6] Вместо того, чтобы играть с постоянными угрозами, организации создают представление о том, как они действуют, и могут предпринять шаги для непосредственного рассмотрения этих фактов.
  • Интеграция - Интеграция является ключевым требованием TIP. Данные с платформы должны быть возвращены в инструменты и продукты безопасности, используемые организацией. Полнофункциональные TIP обеспечивают поток информации, собираемой и анализируемой из каналов и т. Д., А также распространяют и интегрируют очищенные данные в другие сетевые инструменты, включая SIEM, внутренние билетные системы, брандмауэры, системы обнаружения вторжений, и больше. Более того, API позволяют автоматизировать действия без прямого участия пользователя.[7]
  • Действие - Развитая платформа анализа угроз также обрабатывает ответы. Встроенные рабочие процессы и процессы ускоряют сотрудничество внутри группы безопасности и более широких сообществ, таких как Центры обмена информацией и анализа (ISAC) и организации по обмену и анализу информации (ISAO), чтобы группы могли контролировать разработку курса действий, планирование и выполнение мер по снижению рисков. Такой уровень участия сообщества не может быть достигнут без сложной платформы анализа угроз. Мощные советы позволяют этим сообществам создавать инструменты и приложения, которые можно использовать, чтобы и дальше менять правила игры для профессионалов в области безопасности. В этой модели аналитики и разработчики свободно обмениваются приложениями друг с другом, выбирают и изменяют приложения, а также ускоряют разработку решений с помощью операций plug-and-play. Кроме того, аналитика угроз также может использоваться стратегически для информирования о необходимых изменениях архитектуры сети и безопасности и оптимизации групп безопасности.
  • Совместная работа - платформа анализа угроз также позволяет сотрудникам сотрудничать как с внутренними, так и с внешними заинтересованными сторонами.

Оперативное развертывание

Платформы анализа угроз могут быть развернуты как программное обеспечение или устройство (физическое или виртуальное). на территории или в посвященных или публичных облака для расширения сотрудничества с сообществом.

Рекомендации

  1. ^ «Платформы аналитики угроз: следующая вещь, которая обязательно должна быть у опытных команд по обеспечению безопасности». Темное чтение. Получено 2016-02-03.
  2. ^ Попута-Чистый, Пол (15 января 2015 г.). «Автоматизированная защита с использованием анализа угроз для повышения безопасности». Информационный зал Института SANS.
  3. ^ «Обзор технологий для платформ анализа угроз». www.gartner.com. Получено 2016-02-03.
  4. ^ "Алмазная модель анализа вторжений | ActiveResponse.org". www.activeresponse.org. Получено 2016-02-03.
  5. ^ Эрик М. Хатчинс; Майкл Дж. Клопперт; Рохан М. Амин (2009). "Интеллектуальная защита компьютерной сети, основанная на анализе противоборствующих кампаний и цепочек уничтожения вторжений" (PDF). Локхид Мартин.
  6. ^ МакГрегор, Роб (29 мая 2015 г.). "Бриллианты или цепочки".
  7. ^ «Что входит в настоящую платформу анализа данных об угрозах?». ThreatConnect | Платформа корпоративной аналитики угроз. Получено 2016-02-03.

внешняя ссылка