Как да внедрите безопасно инструменти за откриване на заплахи на крайните устройства

Ransomware атаката рядко започва с драматичен срив на мрежата. По-често започва от един лаптоп, сървър или неуправлявано отдалечено устройство, където подозрителна дейност остава незабелязана достатъчно дълго, за да се разпространи. Когато организациите внедрят инструменти за откриване на заплахи на крайните устройства, те получават видимост към тези ранни предупредителни сигнали и практичен начин да ограничат риска, преди той да се превърне в оперативна и финансова криза.

Откриването и реакцията на крайни точки (EDR) не е просто поредна покупка на антивирус. Това е способност за сигурност, която наблюдава поведението на крайните устройства, идентифицира потенциални заплахи, подпомага разследването и може да изолира компрометирани устройства. За бизнес лидерите ползата е ясна: по-бързото откриване може да намали времето на прекъсване, да ограничи излагането на данни, да запази доказателствата и да подпомогне мерките за сигурност, които застрахователите все по-често очакват.

Какво трябва да правят инструментите за откриване на заплахи на крайните устройства

Традиционният антивирус се фокусира основно върху известни злонамерени файлове. Това остава полезно, но може да не открие злоупотреба с идентификационни данни, подозрителна дейност през PowerShell, необичайно предаване на данни или нападател, който използва легитимни инструменти за администриране. EDR инструментите събират телеметрия от крайните устройства и търсят поведение, което подсказва компрометиране.

Добре конфигурираната платформа трябва да осигурява видимост към работни станции, лаптопи, сървъри и други поддържани крайни устройства. Тя трябва да сигнализира на екипа по сигурността за подозрителна дейност, да показва последователността от събития, довели до сигнала, и да позволява на реагиращия специалист да предприеме действие. В зависимост от инструмента и нивото на лиценза това действие може да включва изолиране на устройство от мрежата, спиране на злонамерен процес, поставяне на файл под карантина или събиране на криминалистична информация.

Бизнес целта не е да се генерират повече сигнали. Целта е да се намали времето между проникването, откриването, ограничаването и възстановяването. Това изисква технология, ясно определени отговорности и план за внедряване, който съобразява бизнес операциите.

Подгответе се, преди да внедрите инструменти за откриване на заплахи на крайните устройства

Най-честата грешка при внедряването е EDR да се третира като просто разпространение на софтуер. Инсталирането на агенти, без да се знае кои устройства са най-важни, кой ще следи сигналите или как ще се вземат решенията при инциденти, може да създаде фалшиво чувство за сигурност.

Започнете с точен опис на крайните устройства. Определете управляваните от компанията лаптопи, настолни компютри, физически и виртуални сървъри, отдалечени устройства, облачно хоствани работни натоварвания и устройствата, използвани от привилегировани потребители. Обърнете специално внимание на системите, които съхраняват клиентски данни, финансови записи, идентификационни данни, резервни копия, интелектуална собственост или регулирана информация. Устройство, което не е видимо за платформата за сигурност, не може да бъде защитено от нея.

След това определете собственост. Някой трябва да отговаря за внедряването на агентите, управлението на политиките, първоначалния преглед на сигналите, ескалацията, одобряването на ограничаващи действия и отчитането. Малките и средните организации може да нямат специален център за операции по сигурността. В такъв случай услугата за управлявано откриване и реакция (MDR) може да осигури непрекъснато наблюдение и подкрепа при реакция, докато вътрешното ръководство запазва правомощията си за решения, които засягат бизнеса.

Организациите трябва също да проверят съвместимостта преди внедряването. По-старите операционни системи, специализираните бизнес приложения, индустриалните устройства и сървърите, чувствителни към производителността, може да изискват тестване. Мерки за сигурност, които нарушават заплатите, производството, обслужването на клиенти или клиничните операции, бързо губят вътрешна подкрепа. Правилният подход не е да се оставят критичните системи без защита, а да се валидира методът на внедряване и да се въведат компенсиращи мерки, когато е необходимо.

Използвайте поетапно внедряване вместо внедряване наведнъж

Поетапното внедряване дава на бизнеса време да установи проблеми със съвместимостта, да настрои откриванията и да изгради рутини за реакция. Започнете с пилотна група, която включва ИТ персонал, малък брой обикновени бизнес потребители и избрани непроизводствени системи. Тази група трябва да отразява операционните системи, приложенията и начина на работа в цялата организация.

По време на пилота се уверете, че агентът докладва правилно, че сигналите стигат до правилните хора и че действията за изолиране или отстраняване работят според очакванията. Прегледайте влиянието върху производителността на крайните устройства и проучете всякакви конфликти със съществуващ антивирус, софтуер за отдалечено управление, криптиране или резервно копиране.

След като пилотът се стабилизира, разширете защитата към високоценните активи. Контролерите на домейни, системите за идентичности, файловите сървъри, финансовите системи, устройствата на ръководството и крайните устройства с достъп до чувствителна клиентска информация обикновено заслужават ранно внимание. Служителите, които работят отдалечено, също трябва да бъдат част от първоначалния план за внедряване, особено ако имат достъп до облачни системи или използват привилегировани идентификационни данни извън офис мрежата.

Последният етап трябва да обхване останалите крайни устройства и изключенията. Всяко изключение трябва да има собственик, причина, целева дата за отстраняване и компенсираща мярка. Например остарял сървър, който не може да приеме EDR агент, може да изисква мрежова сегментация, по-строг контрол на достъпа, подобрено журналиране и по-чести прегледи, докато не бъде заменен или надграден.

Настройте сигналите според реалния бизнес риск

EDR платформите могат да произвеждат голям обем констатации. Някои сигнали са наистина спешни, докато други може да отразяват обичайна административна дейност. Ако всеки сигнал се третира по един и същ начин, вътрешните екипи се претоварват и сериозни заплахи могат да бъдат пропуснати.

Настройката трябва да се съсредоточи върху поведението, което най-вероятно ще причини съществена бизнес вреда. Приоритетните откривания често включват необичайно повишаване на привилегиите, опити за изключване на инструменти за сигурност, подозрителен отдалечен достъп, масово криптиране на файлове, извличане на идентификационни данни, нови механизми за запазване на присъствие (persistence) и неочаквано предаване на данни. Сигналите, свързани с привилегировани акаунти, критични сървъри или чувствителни данни, трябва да получават по-висок приоритет от същото поведение на нискорискова тестова машина.

Не потискайте сигнали само защото са неудобни. Първо определете дали дейността е оторизирана, дали може да бъде ограничена до известни потребители или устройства и дали трябва да задейства процес на одобрение. Добрата настройка намалява шума, като същевременно запазва способността да се разпознава поведението на нападателите.

Това е и мястото, където много организации печелят от партньор за управлявана сигурност. Денонощното наблюдение на сигналите изисква опитни анализатори, които могат да отличат обичайното административно поведение от развиващ се инцидент. Технологията открива сигнали; опитните процеси за реакция превръщат тези сигнали в действие.

Изградете процес за реакция, преди да се появи първият сигнал

Един сигнал е полезен само ако организацията знае какво следва. Установете документиран процес за реакция, който определя нивата на сериозност, контактите за ескалация, правомощията за вземане на решения и очакванията за комуникация. Процесът трябва да отговаря на практически въпроси: Кой може да изолира устройство на служител? Кой се свързва с външен доставчик на ИТ услуги? Кога трябва да бъдат уведомени юридическият съветник, изпълнителното ръководство, клиентите или застрахователят?

Тествайте процеса с реалистични сценарии. Компрометиран лаптоп на служител може да изисква изолиране, подмяна на идентификационни данни и преглед на достъпа до облачни акаунти. Подозрение за ransomware на файлов сървър може да изисква незабавно ограничаване, проверка на резервните копия, запазване на криминалистични доказателства и координация с ръководството. Правилната реакция зависи от засегнатия актив и наличните доказателства.

Запазването на доказателствата е важно. EDR журналите могат да помогнат да се установи кога е започнал инцидентът, кои системи са били засегнати, до какви данни може да е имало достъп и какви ограничаващи действия са били предприети. Тази информация подпомага техническото възстановяване, правната оценка, регулаторните задължения и претенциите по киберзастраховката. Организациите обаче трябва да проверят изискванията на застрахователя за уведомяване, преди да настъпи голямо събитие. Някои полици изискват незабавно уведомяване и може да посочват одобрени доставчици за реакция при инциденти.

Свържете внедряването на EDR със застрахователната готовност

Киберзастрахователите все по-често оценяват дали кандидатите поддържат основна защита на крайните устройства, многофакторна автентикация, резервни копия, актуализации, контрол на достъпа и процедури за реакция при инциденти. Само EDR не гарантира покритие и не предотвратява всяка загуба, но може да покаже, че организацията е предприела разумни стъпки за откриване и ограничаване на злонамерена дейност.

Съхранявайте ясни записи за обхвата на внедряването, настройките на политиките, пропуските в покритието, процедурите за ескалация на сигнали и периодичните прегледи. Тези записи могат да укрепят застрахователните заявления и да осигурят полезни доказателства след инцидент. Те помагат и на ръководството да разбере разликата между мярка за сигурност, която е лицензирана, и такава, която реално работи ефективно.

Застраховането остава механизъм за финансово прехвърляне на риска, а не заместител на превенцията. Откриването на заплахи на крайните устройства може да намали вероятността и въздействието на един инцидент, докато киберзастраховката може да помогне за покриване на покрити разходи като правна подкрепа, криминалистично разследване, уведомяване при пробив, прекъсване на дейността и някои претенции за отговорност. Двете работят най-добре като координирани части от по-широка стратегия за устойчивост.

Измервайте дали програмата работи

Внедряването не бива да приключва, когато е инсталиран последният агент. Ръководството трябва да получава редовни отчети за покритието на крайните устройства, неактивните агенти, неподдържаните системи, откриванията с висока сериозност, времената за реакция, неразрешените изключения и повтарящите се модели на риск. Степен на внедряване от 95% може да звучи силно, но липсващите 5% може да включват най-важните системи.

Преглеждайте програмата след големи технологични промени, придобивания, нови договорености за отдалечена работа или инциденти със сигурността. Средите на крайните устройства се променят непрекъснато и политиките за сигурност трябва да се променят заедно с тях. InsureCyberSec може да помогне на организациите да съгласуват защитата на крайните устройства, управляваните операции по сигурността, изискванията на киберзастраховката и планирането на инциденти в един практичен подход към управлението на риска.

Правилната програма за откриване на заплахи на крайните устройства дава на лидерите повече от поредното табло за сигурност. Тя им дава по-ранно предупреждение, по-ясни решения по време на инцидент и документирано доказателство, че защитата се управлява активно, когато бизнесът има най-голяма нужда от нея.

Бърз контролен списък за внедряване на EDR

Често задавани въпроси