Eravamo alla ricerca di un sistema con un unico pannello di controllo. Il percorso è iniziato con la distribuzione del client EDR sui server, che si chiama Trend Micro™ Deep Security, e Trend Micro Apex One™ sugli endpoint, come desktop e laptop. Li abbiamo quindi collegati a un unico pannello di controllo, chiamato XDR, ora noto come Trend Vision One. Ci ha aiutato a cacciare e correggere correttamente. Abbiamo potuto vedere la comunicazione tra gli endpoint e i server e tutto ciò con cui stavano parlando. Potremmo quindi espanderlo ulteriormente e collegarlo a tutti i sistemi attraverso le API. Questo era il requisito iniziale che avevamo e ha funzionato molto bene in questo senso.

Quando acquisti soluzioni SIEM estese o costose, come Splunk o altro, ciò che accade è che hai bisogno di analisi. È possibile scrivere query significative per interrogare i dati. Alla fine della giornata, tutti i dati in entrata devono essere correlati. Trend Vision One offre visibilità in questo senso.

L'abbiamo collegata al cloud, così abbiamo potuto vedere la telemetria da Azure e dal cloud. Abbiamo quindi installato la risposta di rilevamento della rete. Potrebbe vedere e rilevare un piccolo movimento dal livello di rete. L'abbiamo quindi collegata ad Active Directory, in modo da poter ottenere l'attribuzione. Attualmente abbiamo molti dati in arrivo. Con un piccolo team, il problema che si presenta è come gestire così tante informazioni e come dare priorità. Aiuta a dare priorità. Il sistema è abbastanza intelligente da eseguire la scansione proattiva dei registri e attivare gli avvisi del flusso di lavoro. Essa assegna loro la priorità in base alla criticità, come alta, media, bassa o informativa. Quando hai un piccolo team, i tuoi analisti possono iniziare a esaminarli e vedere cosa sta succedendo e cosa devono dare priorità in una fase.

Ci siamo avvicinati molto a un attore russo delle minacce e Trend Vision One ci ha aiutato enormemente. Ci ha aiutato a controllare l'attacco nelle fasi iniziali. Sono entrati nell'ambiente e hanno ottenuto il reverse shell. Ho visto l'avviso. Trend Vision One Protection mi ha mostrato in dettaglio cosa hanno eseguito, cosa hanno chiesto, quali informazioni sono state acquisite e dove stavano uscendo le connessioni. Era un broker di accesso iniziale che aveva fatto l'attacco. Se queste informazioni non sono state raccolte nel tardo venerdì pomeriggio, puoi immaginare cosa sarebbe potuto accadere entro lunedì. Nel giro di poche ore, tali informazioni sarebbero andate alla rete oscura e sarebbero state vendute a una gang di ransomware. Il tempo medio di risposta è stato ridotto in modo significativo. È molto raro che la maggior parte delle organizzazioni rilevi tali attacchi nel proprio ambiente entro le prime quattro ore. Ha ridotto il tempo medio di risposta dal 70% all'80%.

Le sue funzionalità di monitoraggio in tempo reale aiutano molto nel nostro stato di sicurezza generale. Abbiamo tutto configurato per il nostro sistema email SOC centrale, quindi al momento in cui viene attivato un avviso e a seconda della sua criticità, possiamo lavorarci. Quando lavori nel settore sanitario, spesso lavori con fornitori che non sono ancora molto attenti alla cybersecurity. Stanno ancora imparando. Uno di loro ha collegato un'unità USB e abbiamo trovato un primo indicatore di compromissione. Il dispositivo è stato collegato a uno dei sistemi tecnici. Non solo lo ha rilevato e bloccato, ma abbiamo anche ricevuto l'avviso che puntava alla macchina. Se non fosse stato rilevato e rilevato in quella stessa fase nel giro di pochi minuti, avrebbe potuto avere un impatto piuttosto grande alla fine.

Il bello è che non ho bisogno di accedere alla console separata di Apex One o Deep Security. Ho tutta la visibilità e la telemetria che mi vengono fornite in tempo reale nella console Trend Vision One. La console Trend Vision One ti avvisa immediatamente. Lampeggia solo un avviso critico. Blocca, ma poi fornisce raccomandazioni di mitigazione. Dobbiamo rimuovere la macchina dalla rete, scansionare l'USB, istruire l'utente e passare alle persone giuste. Avere tutte queste informazioni a portata di mano è molto cruciale. Possiamo influenzare anche il comportamento degli utenti in modo che non lo facciano di nuovo.

Lo usiamo sugli endpoint. Lo usiamo sui nostri server. Abbiamo una risposta di rilevamento della rete, chiamata NDR. Stiamo monitorando tutto il traffico interno proveniente dai firewall. Abbiamo Citrix NetScaler, quindi stiamo monitorando anche il lato della rete. Abbiamo anche un altro prodotto chiamato Conformity che esegue una valutazione del cloud e un controllo della conformità per tutte le risorse cloud esposte esternamente. Ti dice se non sono conformi. Ad esempio, con il progetto che è entrato, qualcosa potrebbe essere esposto accidentalmente, come un account di archiviazione Azure, a Internet. Tutto si basa su Trend Vision One e abbiamo un unico pannello di controllo.

È utile per più team. Non si limita solo al SOC. Abbiamo team dal lato del cloud e a volte dall'endpoint e dal lato del server che possono entrare e possono vedere gli avvisi. Semplifica il lavoro perché tutti noi vediamo la stessa cosa con maggiori informazioni. Quindi, lo usiamo per i nostri server endpoint e la nostra rete. Lo stiamo utilizzando per monitorare il nostro cloud Azure. Nell'ambito delle nostre licenze, abbiamo anche una cosa chiamata licenze Trend Micro™ Cloud App Security. Disponiamo di policy che eseguono il monitoraggio avanzato della protezione dalle minacce e il monitoraggio DLP sui canali SaaS, come Exchange Online, Teams, OneDrive e i siti SharePoint. Questi sono altri canali da cui i dati possono essere condivisi, i dati possono entrare nel nostro ambiente o i dati possono uscire dal nostro ambiente. Dispone di politiche per monitorare la DLP. Dispone di politiche per monitorare eventuali file dannosi o indicatori di un attacco ATP. Riceviamo anche questi avvisi.

Ci sono due dashboard. I Dashboard Esecutivi offrono una visione complessiva dell'intero sistema e di ciò che sta accadendo nel nostro sistema in qualsiasi momento. Possiamo vedere quante vulnerabilità in sospeso abbiamo, cosa dobbiamo segnalare alla dirigenza e come procederemo per cose del genere. Poi abbiamo il dashboard operativo con avvisi in tempo reale o in sospeso. Ci mostra che abbiamo un account che corrisponde a un data lake .Net. Un problema, ad esempio, è che la maggior parte degli utenti conserva la stessa password, in modo che tu possa avere la stessa password per il tuo account di lavoro e per il tuo account personale. Possono essere compromessi anche a casa e al lavoro. Quindi, usiamo i dashboard esecutivi per la reportistica e la comprensione complessiva di ciò che sta accadendo nell'ambiente e di ciò che dobbiamo segnalare e dare priorità. Il dashboard operativo è destinato al lavoro quotidiano.

È molto importante essere in grado di approfondire i rilevamenti XDR dai dashboard esecutivi. Siamo nel settore sanitario. Siamo un ospedale. Il consiglio di amministrazione non è solo preoccupato per il ransomware perché può accadere a chiunque. Non puoi mai essere abbastanza sicuro. Sono anche preoccupati per i danni alla nostra reputazione e per il costo operativo del recupero, quindi sono molto desiderosi di avere visibilità. I Dashboard Esecutivi ci forniscono informazioni sufficienti per filtrarle. Ad esempio, il nostro team di supporto desktop ha un numero limitato di persone. Per la cybersecurity, vogliamo dare priorità alle patch per una minaccia zero-day, ma a volte non può accadere perché i team hanno altre priorità. Il problema non è che non vogliono aiutare, ma non hanno risorse. Con Executive Dashboards e reporting, possiamo inoltrare le cose al consiglio di amministrazione dicendo che abbiamo bisogno di un po' di attenzione. Possiamo chiedere loro di finanziarci con più risorse per raggiungere questo obiettivo. Ci aiuta a dettare l'impatto e a dare priorità a una vulnerabilità critica della cybersecurity, in modo da poter ottenere il consenso della dirigenza per assegnargli la priorità e affrontarla prima che vada fuori mano.

Utilizziamo la funzione Indice di rischio per mappare le prestazioni rispetto ad altre organizzazioni nella stessa regione geografica, al fine di vedere come stiamo procedendo in termini di rischi rispetto ad altre organizzazioni. Siamo migliori o peggiori di altri? Se abbiamo alcune aree in cui siamo peggiori di altre, ci aiutano a capire il motivo e come migliorare.

Se vogliamo affrontare ogni singolo evento, con le nostre attuali licenze, XDR può contenere fino a sei mesi di dati, che potrebbero essere milioni o migliaia di avvisi. Una cosa intelligente che hanno fatto è fornire il Workbench, che dà automaticamente priorità. Svolge il duro lavoro per te traendo quella informazione e dicendo che queste sono quelle altamente critiche che devi affrontare il prima possibile. Non sto scontando il fatto che, a volte, gli aggressori non si rivolgono nemmeno a quelli altamente critici. Ne optano per uno medio, ma ci aiuta a liberarli. Il nostro team è piccolo e ho avuto una buona esperienza nella formazione di alcune persone, mostrando loro come farlo. Una volta che le persone iniziano a lavorare, comprendono il flusso di lavoro. Diventa solo una seconda abitudine. È molto intuitivo. Puoi entrare nella console, aggiungere nuovi indicatori di compromissione, aggiungere nuove query di ricerca delle minacce, aggiungere nuovi feed CTI e verificare la presenza di nuove vulnerabilità. C'è così tanto che puoi trarne vantaggio. Devi solo dare la priorità a ciò che pensi sia importante per quel giorno.

Utilizziamo Managed XDR come secondo servizio. Il modo in cui ci viene utile è che abbiamo persone in chiamata. Certo, continuo a controllare le mie email, ma se abbiamo un avviso critico che nessuno ha partecipato da parte nostra, lo valutano. Lo valutano molto bene e poi lo valutano. Ad esempio, potrebbero dire: "Sembra benigno o negativo, ma è arrivato un avviso e nessuno era disponibile. Se vuoi aggiungere un ulteriore livello di sicurezza o attenzione, ecco la mitigazione." Sono molto reattivi. Sono riuscito a vedere il grande attacco che avevamo due anni fa nelle prime quattro ore, e quando è arrivato all'XDR, tutto era correlato. In mezz'ora, il team di risposta è giunto alla stessa conclusione. Ci hanno contattato quando stavo per contattarli, quindi eravamo sulla stessa lunghezza d'onda. Sono sicuramente un buon backup o una seconda soluzione per noi. Inoltre, alcuni degli avvisi possono emergere dai flussi di lavoro. Possono sembrare malevoli, ma non lo sono. Il personale del servizio Managed XDR torna da noi solo per riconfermarlo. Diciamo loro che si tratta di un file noto. Non devono preoccuparsene. A volte, potremmo perdere qualcosa o non avere idea del passo successivo. Quindi hanno ricevuto una raccomandazione su ciò che dobbiamo fare. È un ottimo servizio.

Stiamo utilizzando Attack Surface Discovery per monitorare i dispositivi di cui disponiamo e le risorse, gli account e le applicazioni rivolte a Internet. L'API è qualcosa che stiamo ancora esaminando, ma con pochi clic otteniamo una panoramica. Possiamo vedere quanti sono i patch e quanti sono esposti all'esterno o alle risorse rivolte a Internet. Abbiamo molti sottodomini collegati al sito ospedaliero primario per diversi progetti e flussi di lavoro. Possiamo vedere come stanno andando, quali porte sono aperte e quali vulnerabilità note ci sono perché alcune di esse non sono gestite da noi. Sono gestiti da fornitori ospitati esternamente, in modo da poterli tenere sotto controllo. Lo stesso vale per i nostri account. Se abbiamo account che si trovano sulla rete buia, o abbiamo account con privilegi eccessivi che possono potenzialmente essere sfruttati, possiamo affrontarli.

Per le applicazioni, la funzionalità che mi piace di più si chiama Cloud App List. In pratica, esamina tutte le applicazioni SaaS e le confronta. Li profila in base al resto e ci fornisce un report. Ci dice che alcune app che le persone utilizzano potrebbero non essere ufficialmente sanzionate da noi. Per un'app non autorizzata, eseguono una profilazione del rischio attraverso Trend Vision One, che ci mostra quale standard di conformità di sicurezza ha superato dal fornitore. Ci danno una rapida comprensione di quanto sia cattivo o buono continuare a utilizzare un'applicazione.

Durante il periodo COVID, stavo configurando Trend Vision One e ho ricevuto un avviso informativo. Il marito di un'infermiera le ha dato una chiavetta USB e l'ha collegata. Era in un ambiente fuori sede, ma il client Trend era ancora in esecuzione. I client erano connessi alla console SaaS o a Internet, quindi tutta la telemetria era ancora alimentata. Avrebbero dovuto pensare che non fosse così, ma i rilevamenti erano ancora in arrivo. Quando l'ha collegato, ha scaricato un framework di sfruttamento della shell di potenza, che è stato in grado di mappare a un gruppo ATP cinese che utilizza comunemente questa tecnica per l'esfiltrazione della proprietà intellettuale. Mi piace quanta visibilità offre. Per un paio di applicazioni qui, a volte arriva un avviso e può anche eseguire il drill-down fino all'ultimo comando eseguito. Può creare un grafico degli attacchi e mostrare il profilo di esecuzione completo. Ti aiuta a risolvere i problemi e a filtrare se qualcosa è un falso positivo o un problema a portata di mano. L'intera interconnettività dei diversi sistemi in Trend Vision One e la sua capacità di aiutare a personalizzare un attacco sono le cose che mi piacciono di più. È molto utile perché la lettura dei registri e la visualizzazione di un attacco sono due prospettive diverse per un cacciatore di minacce. Ti aiuta davvero a capire cosa sta succedendo.

Con ogni tecnologia di questo tipo in un ambiente aziendale, nonché con la maggior parte dei sistemi di produzione, la riduzione della quantità di tempo che dedichiamo all'indagine sugli allarmi falsi positivi dipende dalla velocità con cui si ottimizza il sistema. Devi dire quali sono le eccezioni e quali non ti avvisano e quali dovrebbero avvisarti. Si tratta di un atto di equilibrio nella cybersecurity. Ad esempio, gli accessi vengono utilizzati dagli aggressori ma anche dal personale amministrativo. Se li metti completamente in esenzione, puoi avere un login dannoso in esecuzione nel tuo ambiente. Saresti completamente cieco perché nulla verrebbe avvisato. In termini di falsi positivi, il sistema acquisisce molti dati e non è colpa del sistema perché vede molti dati. A volte, non abbiamo classificato i dati. Stiamo migliorando. Stiamo etichettando e taggando i sistemi. Lo stiamo perfezionando e questo è diminuito un po', ma abbiamo ancora molto lavoro da fare. Succede, ma è qualcosa che facciamo dietro le quinte. In termini di ricerca e visibilità delle minacce quotidiane, le categorizziamo in Workbench, ed è quello che guardiamo la prima cosa al mattino. Sappiamo cosa sta succedendo e su cosa dobbiamo concentrarci. Una volta che vediamo che c'è un modello che si ripete per alcuni falsi positivi e gli avvisi Workbench sono alti e non veri positivi, vediamo come inserire nella whitelist tali sistemi. Ora sappiamo che si tratta di un processo di esecuzione noto. Sappiamo che si tratta di un traffico noto o di un fornitore noto che esegue questa applicazione e, quando si apre, si connette a queste porte, ad esempio. Si tratta di un atto di equilibrio. Cambia dinamicamente.