Fünf Irrtümer behindern die Einführung von Threat Hunting
Unternehmen können es sich nicht länger leisten, nur noch zu reagieren und sich bei der Cybersicherheit ausschließlich auf Erkennung und Reaktion zu verlassen. Threat Hunting ist der nächste Schritt. Es handelt sich um einen proaktiven Ansatz zur Aufdeckung von Bedrohungen, die andernfalls unentdeckt bleiben, wie mehrstufige Ransomware-Angriffe und Malware, die in Ihrem Netzwerk schlummert, bis sie aktiviert wird, um Daten zu exfiltrieren.
Was ist Threat Hunting?
Threat Hunting ist der von Menschen durchgeführte Prozess der proaktiven und iterativen Suche in Netzwerken, um komplexe Bedrohungen zu erkennen und zu isolieren, die bestehende Sicherheitslösungen umgehen. Diese proaktive Verteidigungslinie sorgt für eine schnelle Reaktion, bevor Angreifer ihre Methoden ändern oder der Entdeckung entkommen. Die Bedrohungssuche ist ein notwendiger Bestandteil umfassender, mehrschichtiger Sicherheit.
Häufige Irrtümer über die Bedrohungsjagd behindern die Akzeptanz
Aktuelle Untersuchungen des SANS-Instituts zeigen, dass die Verbreitung von Threat Hunting zunimmt und funktioniert. 68 Prozent der Unternehmen, die ihre Bedrohungsjagd messen, stellten eine Verbesserung der allgemeinen Sicherheitslage um 25 bis 75 Prozent fest. Allerdings stehen einer breiteren Einführung der Mangel an Personal und Kompetenzen sowie weit verbreitete Missverständnisse darüber, was Threat Hunting überhaupt ist, im Weg. Hier sind einige der Irrtümer, auf die unsere Experten des Netsurion Security Operations Center (SOC) „in freier Wildbahn“ gestoßen sind, und was Sie wirklich über Threat Hunting wissen müssen.
1. Threat Hunting und Incident Response sind dasselbe. Threat Hunting ist „vorher. „Die Reaktion auf den Vorfall ist „nachher“. „Sie sind nicht dasselbe. Wenn Sie auf der Suche nach Bedrohungen sind, suchen Sie im Rahmen der Prävention und Erkennung proaktiv nach Anzeichen eines Einbruchs oder einer anomalen Aktivität in Ihrem Netzwerk. Wenn Sie etwas finden, müssen Sie es eskalieren, damit die zuständige IT- oder IT-Sicherheitsperson Maßnahmen ergreifen kann. Diese Aktion, die auf die Threat-Hunting-Aktivität folgt, ist die Reaktion auf Vorfälle.
2. Compliance-Vorgaben erfordern die Suche nach Bedrohungen. Bei Compliance-Anforderungen geht es in der Regel um die Einhaltung der Sicherheitsanforderungen der Payment Card Institute Data Security Standards (PCI DSS), der General Data Protection Regulation (GDPR) und des Health Insurance Portability and Accountability Act (HIPAA). ) Frameworks zum Beispiel. Ihre Sicherheitsmandate befassen sich mit zwei Dingen: Sicherheitshygiene und Best Practices in Bezug auf die Sicherheitskonfiguration. Sie können diese Vorschriften einhalten und dennoch Sicherheitsverstöße erleiden, da die meisten Anforderungen den kleinsten gemeinsamen Nenner der Sicherheit betreffen. Daher schreiben diese Vorschriften keine Bedrohungssuche vor. Die Bedrohungssuche geht über die grundlegenden Anforderungen der Regulierungsvorschriften hinaus.
3. Bedrohungsjäger müssen wissen, wonach sie suchen. Nicht immer. Die Bedrohungssuche kann durch eine Warnung oder einen Alarm ausgelöst werden, den der Bedrohungsjäger untersucht, um die Ursache zu ermitteln. Oder es kann durch Sicherheitsnachrichten ausgelöst werden, wie im Fall der neuen Berichterstattung über die Sicherheitslücken log4j, Hafnium und SolarWinds, oder durch eine interne Beobachtung.
Bei diesen Jagden geht es um eine bekannte/bekannte Bedrohung - Sie wissen, was es ist und dass es passiert ist. Eine andere Art der Bedrohungssuche ist die Suche nach einer unbekannten/unbekannten Bedrohung - der am schwierigsten zu findenden Bedrohung. Bedrohungsjäger untersuchen proaktiv anormale Aktivitäten im Netzwerk - beispielsweise einen Anstieg der Anzahl von Angriffen auf eine Website oder Scans einer Firewall oder eine ungewöhnliche Anzahl von Anmeldefehlern. Der Schwerpunkt liegt auf der Root Cause Analysis (RCA).
4. Künstliche Intelligenz und maschinelles Lernen können die Bedrohungssuche übernehmen. Wir betrachten maschinelles Lernen (ML) als einen Kraftmultiplikator für die Bedrohungssuche, nicht als Ersatz dafür. Es gibt viele Nuancen und Unterschiede, für deren Bewältigung menschliche Bedrohungsjäger weitaus besser gerüstet sind. Bei Netsurion verwenden wir ML zur Erkennung von Anomalien, die dann von menschlichen Bedrohungsjägern verfolgt werden. Aber können wir den Job vollständig ML überlassen? Noch nicht. Die heutige Technologie ist im Vergleich zum Ausmaß des Problems noch recht begrenzt, aber sie ist definitiv der Weg der Zukunft.
5. Wenn Sie über Bedrohungsinformationen verfügen, benötigen Sie kein Threat Hunting. Bedrohungsinformationen und Threat Hunting sind zwei verschiedene Dinge. Für die Bedrohungssuche benötigen Sie Bedrohungsinformationen. Dazu gehören sowohl interne Bedrohungsinformationen, wie z. B. das Verständnis Ihres Netzwerks, als auch die Grundlinie für das, was normal ist. Sie können auch Bedrohungsinformationen von einer beliebigen Anzahl von Anbietern abonnieren. Es besteht aus Informationen über die Motive, Ziele und Angriffsverhalten von Bedrohungsakteuren, die aggregiert wurden, um Sicherheitsexperten Bedrohungskontext und Einblicke zu bieten. Wenn Sie in Ihrem Netzwerk etwas Ungewöhnliches entdecken, können Sie in diesen Bedrohungsdatenbanken nachschlagen, ob es sich um eine bekannte Bedrohung handelt.
Die Bedrohungssuche, die von einem Eliteteam von Bedrohungsjägern in unserem SOC durchgeführt wird, ist ein integraler Bestandteil der Managed Open XDR-Lösung von Netsurion. Wir integrieren MITRE ATT&CK® Threat Intelligence in unseren hypothesenbasierten Ansatz zur proaktiven, kontinuierlichen Bedrohungssuche. Erfahren Sie hier mehr oder sehen Sie sich dieses Webinar an, um eine Demo zur Bedrohungssuche mithilfe unserer Plattform zu erhalten.