Wir suchten nach einem System mit einer einzigen Glasscheibe. Der Prozess begann mit der Bereitstellung des EDR-Clients auf den Servern, die TrendAI™ Deep Security und TrendAI™ Apex One™ auf den Endpunkten, wie Desktops und Laptops, genannt werden. Anschließend haben wir sie mit einer einzigen Glasscheibe verbunden, die XDR genannt wird und jetzt Trend Vision One genannt wird. Es hat uns geholfen, richtig zu jagen und zu reparieren. Wir konnten die Kommunikation zwischen den Endpunkten und den Servern und alles andere sehen, mit dem sie gesprochen haben. Wir konnten sie dann weiter erweitern und mit allen Systemen über APIs verbinden. Das war die erste Anforderung, die wir hatten, und es hat in diesem Sinne sehr gut funktioniert.

Wenn Sie umfangreiche oder teure SIEM-Lösungen wie Splunk oder etwas anderes kaufen, müssen Sie Analysen benötigen. Sie können aussagekräftige Abfragen schreiben, um die Daten abzufragen. Letztendlich müssen alle Daten korreliert werden. TrendAI Vision One™ bietet Transparenz in diesem Sinne.

Wir haben es mit der Cloud verbunden, damit wir die Telemetrie von Azure und der Cloud sehen konnten. Anschließend haben wir die Reaktion auf die Netzwerkerkennung installiert. Es konnte eine kleine Bewegung von der Netzwerkschicht erkennen und erkennen. Wir haben es dann mit Active Directory verbunden, damit eine Zuordnung stattfinden kann. Derzeit kommen viele Daten. Bei einem kleinen Team stellt sich das Problem, wie man mit so vielen Informationen umgeht und Prioritäten setzt. Es hilft bei der Priorisierung. Das System ist intelligent genug, um proaktiv Protokolle zu scannen und Workflow-Warnungen auszulösen. Sie priorisiert sie auf der Grundlage der Kritikalität, wie hoch, mittel, niedrig oder informativ. Wenn Sie ein kleines Team haben, können Ihre Analysten sich diese ansehen und sehen, was passiert und was sie in einer Phase priorisieren müssen.

Wir näherten uns einem russischen Bedrohungsakteur und TrendAI Vision One™ half enorm. Es hat uns geholfen, den Angriff in den Anfangsphasen zu kontrollieren. Sie sind in die Umwelt eingedrungen und haben die Reverse Shell herausgeholt. Ich habe den Alarm gesehen. TrendAI Vision One™ Protection hat mir im Detail gezeigt, was sie ausgeführt haben, was sie abgefragt haben, welche Informationen erfasst wurden und wo die Verbindungen hingingen. Es war ein erster Zugangsmakler, der den Angriff durchgeführt hatte. Wenn diese Informationen am späten Freitagnachmittag nicht abgeholt wurden, können Sie sich vorstellen, was bis Montag hätte passieren können. Innerhalb weniger Stunden wären diese Informationen ins dunkle Netz gegangen und wären an eine Ransomware-Bande verkauft worden. Die mittlere Zeit bis zum Ansprechen war signifikant reduziert. Es ist sehr selten, dass die meisten Unternehmen solche Angriffe innerhalb der ersten vier Stunden in ihrer eigenen Umgebung erkennen. Sie reduzierte die mittlere Reaktionszeit um 70 % bis 80 %.

Die Echtzeit-Überwachungsfunktionen helfen uns sehr bei der allgemeinen Sicherheitslage. Wir haben alles für unser zentrales SOC-E-Mail-System konfiguriert, sodass wir, je nachdem, um welche Kritikalität es sich handelt, daran arbeiten können, sobald eine Warnung ausgelöst wird. Wenn Sie in der Gesundheitsbranche arbeiten, arbeiten Sie oft mit Anbietern zusammen, die immer noch nicht sehr Cybersicherheitsbewusst sind. Sie lernen noch. Einer von ihnen hat ein USB-Laufwerk angeschlossen und wir haben einen frühen Indikator für Kompromittierung gefunden. Das Gerät wurde an eines der technischen Systeme angeschlossen. Dies wurde nicht nur erkannt und blockiert, sondern wir haben auch den Alarm auf die Maschine gerichtet. Wenn sie nicht innerhalb weniger Minuten erkannt und in dieser Phase erfasst wurde, hätte sie letztendlich ziemlich große Auswirkungen haben können.

Das Schöne ist, dass ich mich nicht bei der separaten Konsole von Apex One oder Deep Security anmelden muss. Die TrendAI Vision One™-Konsole bietet alle Transparenz- und Telemetrie-Feeds in Echtzeit. Die TrendAI Vision One™-Konsole warnt Sie sofort. Es blinkt nur eine kritische Warnung. Sie blockiert, gibt aber dann Empfehlungen zur Risikominderung. Wir müssen die Maschine aus dem Netzwerk nehmen, den USB scannen, den Benutzer aufklären und an die richtigen Personen eskalieren. All diese Informationen zur Hand zu haben, ist sehr wichtig. Auch das Nutzerverhalten können wir beeinflussen, damit sie das nicht noch einmal machen.

Wir verwenden es auf Endpunkten. Wir verwenden sie auf unseren Servern. Wir haben eine Netzwerkerkennungsreaktion, die NDR genannt wird. Wir überwachen den gesamten internen Datenverkehr, der von den Firewalls kommt. Wir haben Citrix NetScalers, daher überwachen wir auch die Netzwerkseite. Wir haben auch ein anderes Produkt namens Konformität, das eine Cloud-Bewertung und Compliance-Prüfung für alle extern exponierten Cloud-Assets durchführt. Sie informiert Sie, wenn sie nicht konform sind. Zum Beispiel kann bei dem Projekt, das ins Internet gegangen ist, versehentlich etwas dem Internet ausgesetzt werden, wie z. B. ein Azure-Speicherkonto. Alles wird in TrendAI Vision One™ eingespeist und wir haben eine einzige Glasscheibe.

Es ist für mehrere Teams hilfreich. Sie ist nicht nur auf SOC beschränkt. Wir haben Teams aus der Cloud-Seite und manchmal auch aus dem Endpunkt- und Server-Seite, die eingreifen können, und sie können die Warnungen sehen. Es erleichtert die Arbeit, weil wir alle das Gleiche mit mehr Informationen sehen. Daher verwenden wir es für unsere Endpunktserver und unser Netzwerk. Wir verwenden es zur Überwachung unserer Azure Cloud. Im Rahmen unserer Lizenzierung haben wir auch Lizenzen namens TrendAI™ Cloud App Security. Wir verfügen über Richtlinien, die erweiterte Bedrohungsschutzüberwachung und DLP-Überwachung auf SaaS-Kanälen wie Exchange Online, Teams, OneDrive und SharePoint-Websites durchführen. Dies sind andere Kanäle, über die die Daten weitergegeben werden können, die Daten in unsere Umgebung gelangen können oder die Daten aus unserer Umgebung herausfallen können. Es gibt Richtlinien zur Überwachung von DLP. Es verfügt über Richtlinien zur Überwachung bösartiger Dateien oder von Indikatoren für einen ATP-Angriff. Diese Warnungen erhalten wir auch.

Es gibt zwei Dashboards. Die Executive Dashboards geben einen Gesamtüberblick über das gesamte System und darüber, was zu einem beliebigen Zeitpunkt in unserem System geschieht. Wir können sehen, wie viele offene Schwachstellen wir haben, was wir dem Management melden müssen und wie wir bei solchen Dingen vorankommen werden. Dann haben wir das Operational Dashboard mit Echtzeitwarnungen oder ausstehenden Warnungen. Es zeigt uns, dass wir ein Konto haben, das mit einem .Net Data Lake übereinstimmt. Ein Problem ist beispielsweise, dass die meisten Benutzer dasselbe Passwort behalten, sodass Sie das gleiche Kontopasswort für Ihr Arbeitskonto und Ihr persönliches Konto haben könnten. Sie können zu Hause und auch bei der Arbeit gefährdet werden. Daher verwenden wir Executive Dashboards für Berichte und allgemeines Verständnis dessen, was in der Umgebung passiert und was wir melden und priorisieren müssen. Das Betriebs-Dashboard ist für die tägliche Arbeit bestimmt.

Es ist sehr wichtig, dass wir in der Lage sind, von den Executive Dashboards in XDR-Erkennungen aufzuschlüsseln. Wir sind in der Gesundheitsbranche. Wir sind ein Krankenhaus. Der Vorstand macht sich nicht nur Sorgen über Ransomware, weil dies jedem passieren kann. Man kann nie sicher genug sein. Sie sind auch besorgt über den Schaden an unserem Ruf und die Betriebskosten der Wiederherstellung, sodass sie sehr daran interessiert sind, Transparenz zu haben. Die Executive Dashboards liefern uns ausreichend Informationen, um dies zu filtern. Zum Beispiel hat unser Desktop-Support-Team eine begrenzte Anzahl von Mitarbeitern. Für Cybersicherheit möchten wir Patching für eine Zero-Day-Bedrohung priorisieren, aber manchmal kann es nicht passieren, weil die Teams andere Prioritäten haben. Das Problem ist nicht, dass sie nicht helfen möchten, sondern dass sie keine Ressourcen haben. Mit Executive Dashboards und Reporting können wir Dinge an den Vorstand eskalieren und sagen, dass wir etwas Aufmerksamkeit benötigen. Wir können sie bitten, uns mit mehr Ressourcen zu finanzieren, um dies über die Linie hinweg zu erreichen. Es hilft uns, die Auswirkungen zu diktieren und eine kritische Cybersicherheitsschwachstelle zu priorisieren, damit wir die Zustimmung des Managements erhalten, sie zu priorisieren und zu beheben, bevor sie außer Kontrolle geht.

Wir verwenden die Funktion Risikoindex, um andere Organisationen in derselben geografischen Region abzubilden, um zu sehen, wie wir im Vergleich zu anderen Organisationen in Bezug auf Risiken abschneiden. Sind wir besser oder schlechter als andere? Wenn wir einige Bereiche haben, in denen wir schlechter sind als andere, helfen sie uns, den Grund und die Verbesserung zu verstehen.

Wenn wir jedes einzelne Ereignis durchlaufen möchten, kann XDR mit unserer aktuellen Lizenzierung bis zu sechs Monate an Daten speichern, was Millionen oder Tausende von Warnungen sein kann. Eine intelligente Sache, die sie getan haben, ist die Bereitstellung der Workbench, die automatisch priorisiert. Es erledigt die harte Arbeit für Sie, indem Sie diese Informationen abrufen und sagen, dass dies die wichtigsten sind, die Sie so schnell wie möglich angehen müssen. Ich vernachlässige nicht die Tatsache, dass Angreifer manchmal nicht einmal hochkritische einsetzen. Sie sind für einen mittelgroßen, aber es hilft uns, sie aus dem Weg zu räumen. Unser Team ist klein, und ich hatte gute Erfahrungen damit, einige Leute zu schulen, sie durchzugehen und ihnen zu zeigen, wie sie es machen können. Sobald die Mitarbeiter mit der Arbeit beginnen, verstehen sie den Workflow. Es wird einfach zur zweiten Gewohnheit. Sie ist sehr intuitiv. Sie können in die Konsole gelangen, neue Indikatoren für Kompromittierung hinzufügen, neue Anfragen zur Bedrohungssuche hinzufügen, neue CTI-Feeds hinzufügen und nach neuen Schwachstellen suchen. Es gibt so viel, was Sie daraus machen können. Sie müssen nur priorisieren, was Ihrer Meinung nach für diesen Tag wichtig ist.

Wir verwenden Managed XDR als zweiten Service. Die Art und Weise, wie sie praktisch ist, ist, dass wir Menschen auf Abruf haben. Ich überprüfe meine E-Mails auf jeden Fall weiter, aber wenn wir eine kritische Warnung haben, dass niemand von unserer Seite aus teilgenommen hat, werden sie sie überprüfen. Sie triagieren es sehr gut und bewerten es dann. Zum Beispiel könnten sie sagen: „Es scheint gutartig oder negativ zu sein, aber es kam eine Warnung ein, und niemand war verfügbar. Wenn Sie eine zusätzliche Sicherheits- oder Vorsichtsebene hinzufügen möchten, ist dies die Minderung.“ Sie sind sehr reaktionsschnell. Ich konnte den großen Angriff sehen, den wir vor zwei Jahren innerhalb der ersten vier Stunden hatten, und als er zum XDR kam, war alles korreliert. Innerhalb einer halben Stunde kam das Reaktionsteam zu dem gleichen Ergebnis. Sie haben sich an uns gewandt, als ich sie kurz davor hatte, sie zu kontaktieren, also waren wir auf der gleichen Seite. Sie sind definitiv ein gutes Backup oder eine zweite Lösung für uns. Außerdem können einige der Warnungen aus Workflows stammen. Sie mögen bösartig erscheinen, sind es aber nicht. Die Mitarbeiter des Managed XDR Service kommen zu uns zurück, um dies erneut zu bestätigen. Wir sagen ihnen, dass es sich um eine bekannte Datei handelt. Sie müssen sich keine Sorgen darüber machen. Manchmal verpassen wir etwas oder haben keine Ahnung vom nächsten Schritt. Sie entwickeln dann eine Empfehlung, was wir tun müssen. Es ist ein sehr guter Service.

Wir verwenden Attack Surface Discovery, um die Geräte, die wir haben, und die internetorientierten Assets, Konten und Anwendungen zu überwachen. API ist etwas, wonach wir noch suchen, aber mit ein paar Klicks erhalten wir einen Überblick. Wir können sehen, wie viele gepatcht sind und wie viele extern oder internetorientierte Assets exponiert sind. Wir haben viele Subdomains, die für verschiedene Projekte und Workflows mit dem primären Krankenhausstandort verknüpft sind. Wir können sehen, wie es ihnen geht, welche Ports offen sind und welche bekannten Schwachstellen vorhanden sind, da einige von ihnen nicht von uns verwaltet werden. Sie werden von extern gehosteten Anbietern verwaltet, damit wir sie unter Kontrolle halten können. Gleiches gilt für unsere Konten. Wenn wir Konten haben, die sich im Dark-Net befinden, oder wir Konten mit übermäßigen Privilegien haben, die potenziell ausgenutzt werden können, können wir dies angehen.

Bei Anwendungen wird die Funktion, die mir am meisten gefällt, Cloud App List genannt. Sie betrachtet im Grunde alle SaaS-Anwendungen und bewertet sie. Sie werden auf der Grundlage der übrigen Profile erstellt und wir erhalten einen Bericht. Sie sagt uns, dass bestimmte Apps, die Menschen verwenden, möglicherweise nicht offiziell von uns sanktioniert werden. Für eine nicht genehmigte App führt das Unternehmen ein Risikoprofiling über TrendAI Vision One™ durch, das uns zeigt, welchen Sicherheits-Compliance-Standard es vom Anbieter durchlaufen hat. Sie geben uns ein schnelles Verständnis davon, wie schlecht oder gut es ist, eine Anwendung weiterhin zu nutzen.

Während der COVID-Zeit habe ich TrendAI Vision One™ eingerichtet und eine Informationswarnung erhalten. Der Ehemann einer Krankenschwester hat ihr einen USB-Stick gegeben und sie hat ihn angeschlossen. Sie befand sich in einer Offsite-Umgebung, aber der TrendAI™-Client war noch in Betrieb. Die Clients waren mit der SaaS-Konsole oder dem Internet verbunden, sodass die gesamte Telemetrie noch gespeist wurde. Sie müssen gedacht haben, dass dies nicht der Fall war, aber es kam immer noch zu Erkennungen. Als sie es anschloss, lud sie ein Power-Shell-Exploitation-Framework herunter, das sie einer ATP-Gruppe aus China zuordnen konnten, die diese Technik häufig für die Exfiltration geistigen Eigentums verwendet. Mir gefällt sehr, wie viel Transparenz es bietet. Bei einigen Anwendungen kommt es hier manchmal zu einer Warnung, die sogar bis zum letzten ausgeführten Befehl ausgeführt werden kann. Es kann ein Angriffsdiagramm erstellen und Ihnen das vollständige Ausführungsprofil anzeigen. Sie hilft Ihnen bei der Fehlerbehebung und filtert heraus, ob etwas falsch-positiv oder ein Problem vorliegt. Die gesamte Interkonnektivität verschiedener Systeme in TrendAI Vision One™ und seine Fähigkeit, einen Angriff individuell zu gestalten, sind das, was mir am meisten gefällt. Das ist sehr gut, da das Lesen von Protokollen und das Sehen eines Angriffs zwei verschiedene Perspektiven für einen Bedrohungsjäger sind. Es hilft Ihnen wirklich zu verstehen, was vor sich geht.

Bei jeder dieser Technologien in einer Unternehmensumgebung sowie bei den meisten Produktionssystemen hängt die Reduzierung der Zeit, die wir mit der Untersuchung falsch positiver Warnungen verbringen, davon ab, wie schnell Sie das System optimieren. Sie müssen ihm mitteilen, bei welchen Ausnahmen es sich um Ausnahmen handelt, und Sie müssen nicht darauf aufmerksam gemacht werden, und bei welchen müssen Sie darauf aufmerksam gemacht werden. Es ist ein Balanceakt in der Cybersicherheit. Zum Beispiel werden Anmeldungen von Angreifern, aber auch von Ihren Admin-Mitarbeitern verwendet. Wenn Sie sie vollständig in Ausnahme setzen, können Sie eine bösartige Anmeldung in Ihrer Umgebung ausführen lassen. Sie wären dort völlig blind, weil nichts alarmiert würde. Was Falschmeldungen betrifft, erfasst das System viele Daten, und es ist nicht der Fehler des Systems, weil es viele Daten sieht. Manchmal haben wir die Daten nicht klassifiziert. Wir werden besser darin. Wir kennzeichnen und kennzeichnen die Systeme. Wir optimieren es, und es hat sich etwas reduziert, aber wir haben noch viel zu tun. Es passiert, aber es ist etwas, was wir hinter den Kulissen tun. Im Hinblick auf die tägliche Bedrohungssuche und Transparenz werden sie in Workbench kategorisiert, und das ist es, was wir uns am Morgen als erstes ansehen. Wir erfahren, was passiert und worauf wir uns konzentrieren müssen. Sobald wir sehen, dass sich ein Muster für einige falsch positive Ergebnisse wiederholt und Workbench-Warnungen hoch und nicht wirklich positiv sind, finden wir heraus, wie diese Systeme auf die Whitelist gesetzt werden. Wir wissen jetzt, dass dies ein bekannter Ausführungsprozess ist. Wir wissen, dass es sich um einen bekannten Datenverkehr oder einen bekannten Anbieter handelt, der diese Anwendung ausführt, und wenn sie geöffnet wird, stellt sie beispielsweise eine Verbindung zu diesen Ports her. Es ist ein gewisser Balanceakt. Sie ändert sich dynamisch.