Szukaliśmy systemu z jednym panelem. Rozpoczęto proces wdrażania klienta EDR na serwerach o nazwie TrendAI™ Deep Security i TrendAI™ Apex One™ w punktach końcowych, takich jak komputery stacjonarne i laptopy. Następnie  połączyliśmy je z jednym panelem szklanym o nazwie XDR, znanym obecnie pod nazwą Trend Vision One. Pomogło nam to prawidłowo znaleźć i naprawić sytuację. Widzieliśmy komunikację między punktami końcowymi i serwerami oraz wszystko, z czym rozmawiali. Moglibyśmy ją następnie rozszerzyć i połączyć ze wszystkimi systemami za pomocą interfejsów API. Był to nasz początkowy wymóg i bardzo dobrze się sprawdził.

Gdy kupujesz rozległe lub drogie rozwiązania SIEM, takie jak Splunk lub coś innego, potrzebujesz analityki. Można napisać istotne zapytania w celu zapytania o dane. W ostatecznym rozrachunku wszystkie wprowadzane dane muszą być skorelowane. TrendAI Vision One™ zapewnia widoczność w tym sensie.

Połączyliśmy ją z chmurą, aby zobaczyć telemetrię z Azure i chmury. Następnie zainstalowaliśmy system wykrywania sieci. Może dostrzec i wykryć niewielki ruch z warstwy sieciowej. Następnie połączyliśmy je z usługą Active Directory, aby możliwe było przypisanie. Obecnie mamy wiele danych. W małym zespole pojawia się problem polegający na tym, jak radzić sobie z tak dużą ilością informacji i jak ustalać priorytety. Pomaga w ustalaniu priorytetów. System jest wystarczająco inteligentny, aby aktywnie skanować dzienniki i uruchamiać alerty przepływu pracy. Ustala ich priorytety w oparciu o krytyczność, np. wysoką, średnią, niską lub informacyjną. Gdy masz mały zespół, Twoi analitycy mogą zacząć przyglądać się nim i sprawdzać, co się dzieje, a co należy nadać priorytet na etapie.

Zbliżyliśmy się bardzo do rosyjskiego ataku, a TrendAI Vision One™ bardzo pomogła. Pomogło nam to kontrolować atak na początkowych etapach. Dostali się do środowiska i zdejmowali odwrotną powłokę. Widziałem ostrzeżenie. TrendAI Vision One™ Protection pokazała mi szczegółowo, co uruchomili, czego zapytali, jakie informacje zostały przechwycone i gdzie wyszły połączenia. Był to pośrednik pierwszego dostępu, który przeprowadził ten atak. Jeśli te informacje nie zostaną odebrane późnym piątkowym popołudniem, można sobie wyobrazić, co mogło się wydarzyć do poniedziałku. W ciągu kilku godzin informacje te trafiłyby do ciemnej sieci i zostałyby sprzedane do grupy ransomware. Średni czas reakcji został znacznie skrócony. Większość organizacji bardzo rzadko wykrywa takie ataki we własnym środowisku w ciągu pierwszych czterech godzin. Skróciło to średni czas reakcji o 70% do 80%.

Funkcje monitorowania w czasie rzeczywistym znacznie pomagają w ogólnej ochronie. Wszystko zostało skonfigurowane z naszym centralnym systemem poczty elektronicznej SOC, więc w momencie uruchomienia alertu i w zależności od jego krytyczności możemy nad nim pracować. Pracując w branży opieki zdrowotnej, często współpracujesz z dostawcami, którzy nadal nie są zbyt świadomi cyberbezpieczeństwa. Wciąż się uczą. Jeden z nich jest podłączony do pamięci USB i znaleźliśmy wczesny wskaźnik infekcji. Urządzenie zostało podłączone do jednego z systemów technicznych. Nie tylko to wykryło i zablokowało, ale także otrzymaliśmy ostrzeżenie wskazujące na maszynę. Gdyby nie zostało wykryte i odebrane na tym samym etapie w ciągu kilku minut, mogłoby to ostatecznie mieć dość duży wpływ.

Piękno tkwi w tym, że nie muszę logować się do osobnej konsoli Apex One lub Deep Security. Konsola TrendAI Vision One™ zapewnia pełną widoczność i dostęp do danych telemetrycznych w czasie rzeczywistym. Konsola TrendAI Vision One™ natychmiast Cię ostrzega. Po prostu generuje alarm o krytycznym znaczeniu. Blokuje, ale następnie zapewnia zalecenia dotyczące łagodzenia skutków. Musimy odłączyć maszynę od sieci, zeskanować USB, edukować użytkownika i przekazać sprawę odpowiednim osobom. Posiadanie wszystkich tych informacji jest bardzo ważne. Możemy również wpływać na zachowanie użytkownika, aby nie robił tego ponownie.

Używamy go w punktach końcowych. Używamy go na naszych serwerach. Mamy funkcję wykrywania sieci o nazwie NDR. Monitorujemy cały wewnętrzny ruch pochodzący z zapór sieciowych. Posiadamy rozwiązanie Citrix NetScalers, więc monitorujemy również stronę sieci. Mamy również inny produkt o nazwie Conformity, który przeprowadza ocenę chmury i kontrolę zgodności dla wszystkich zewnętrznych zasobów chmury. Informuje, czy nie są zgodne z przepisami. Na przykład w przypadku projektu, który wszedł, coś może zostać przypadkowo ujawnione internetowi, na przykład konto pamięci masowej Azure. Wszystko to wpływa na TrendAI Vision One™, a my mamy jedną szybę.

Jest to pomocne dla wielu zespołów. Nie ogranicza się tylko do SOC. Mamy zespoły od strony chmury, a czasami od punktu końcowego i serwera, które mogą wejść i zobaczyć alerty. Ułatwia to pracę, ponieważ wszyscy widzimy to samo z większą ilością informacji. Używamy go do obsługi serwerów i sieci punktów końcowych. Używamy go do monitorowania naszej chmury Azure. W ramach naszych licencji posiadamy również licencje TrendAI™ Cloud App Security. Posiadamy zasady, które umożliwiają zaawansowane monitorowanie ochrony przed zagrożeniami i monitorowanie DLP w kanałach SaaS, takich jak witryny Exchange Online, Teams, OneDrive i SharePoint. Są to inne kanały, z których można udostępniać dane, które mogą dostać się do naszego środowiska lub które mogą wydostać się z naszego środowiska. Ma zasady monitorowania DLP. Posiada zasady monitorowania wszelkich złośliwych plików lub wskaźników ataku na ATP. Otrzymujemy również te alerty.

Dostępne są dwa pulpity nawigacyjne. Pulpity Executive zapewniają ogólny obraz całego systemu i tego, co dzieje się w naszym systemie w dowolnym momencie. Widzimy, ile luk mamy w zabezpieczeniach, co musimy zgłosić kierownictwu i jak będziemy postępować w takich sprawach. Następnie mamy pulpit operacyjny z alertami w czasie rzeczywistym lub alertami oczekującymi. Pokazuje nam, że mamy konto pasujące do jeziora danych .Net. Problemem jest na przykład to, że większość użytkowników ma to samo hasło, więc możesz mieć to samo hasło do konta służbowego i prywatnego. Mogą zostać zaatakowane w domu i w pracy. Dlatego używamy Executive Dashboards do raportowania i ogólnego zrozumienia tego, co dzieje się w środowisku oraz co musimy zgłaszać i ustalać priorytety. Pulpit operacyjny jest przeznaczony do codziennej pracy.

Bardzo ważne jest, abyśmy mogli przejść od Executive Dashboards do wykrywania XDR. Działamy w branży opieki zdrowotnej. Jesteśmy szpitalem. Rada nie tylko martwi się oprogramowaniem ransomware, ponieważ może się to zdarzyć każdemu. Nigdy nie możesz być wystarczająco bezpieczny. Martwią się również szkodą dla naszej reputacji i kosztami operacyjnymi odzysku, więc bardzo chętnie mają wgląd w sytuację. Pulpity Executive Dashboard dostarczają nam wystarczająco dobrych informacji, aby je filtrować. Na przykład nasz zespół wsparcia technicznego dla komputerów stacjonarnych ma ograniczoną liczbę osób. Jeśli chodzi o cyberbezpieczeństwo, chcemy ustalić priorytety poprawek pod kątem zagrożenia zero-day, ale czasami nie może się to zdarzyć, ponieważ zespoły mają inne priorytety. Nie chodzi o to, że nie chcą pomóc, ale nie mają zasobów. Dzięki pulpitom wykonawczym i raportom możemy eskalować sprawy do zarządu, mówiąc, że potrzebujemy pewnej uwagi. Możemy poprosić ich o sfinansowanie naszych zasobów, aby osiągnąć ten cel. Pomaga nam dyktować wpływ i ustalać priorytety krytycznych luk w zabezpieczeniach cybernetycznych, abyśmy mogli uzyskać zgodę kierownictwa na ich priorytetyzację i zająć się nim, zanim wyjdą one z użycia.

Korzystamy z funkcji Risk Index, aby mapować wyniki na tle innych organizacji w tym samym regionie geograficznym w porównaniu z innymi organizacjami. Czy jesteśmy lepsi czy gorsi od innych? Jeśli mamy obszary, w których jesteśmy gorsi od innych, pomagają nam zrozumieć powód i sposób poprawy.

Jeśli chcemy przejść przez każde zdarzenie, dzięki naszej aktualnej licencji XDR może przechowywać nawet sześć miesięcy danych, które mogą zawierać miliony lub tysiące alarmów. Inteligentne jest zapewnienie Workbench, który automatycznie ustala priorytety. Wykonuje to ciężką pracę, wyciągając ten wywiad i mówiąc, że są to kluczowe elementy, którymi należy się zająć tak szybko, jak to możliwe. Nie rezygnuję z faktu, że czasami atakujący nawet nie wybierają tych o wysokim znaczeniu. Postanawiają znaleźć medium, ale pomaga nam je usunąć. Nasz zespół jest mały i miałem dobre doświadczenie w szkoleniu kilku osób, przechodzeniu przez nie i pokazywaniu im, jak to zrobić. Kiedy ludzie zaczynają pracować, rozumieją przepływ pracy. To po prostu drugi nawyk. Jest bardzo intuicyjna. Możesz wejść do konsoli, dodawać nowe wskaźniki zagrożeń, dodawać nowe zapytania dotyczące zagrożeń, dodawać nowe kanały CTI i sprawdzać, czy nie występują nowe luki w zabezpieczeniach. Jest tak wiele rzeczy, że możesz się z tego wydobyć. Musisz po prostu nadać priorytet temu, co uważasz za ważne w tym dniu.

Używamy Managed XDR jako drugiej usługi. Przydaje się to, że mamy ludzi pod telefonem. Na pewno ciągle sprawdzam moje wiadomości e-mail, ale jeśli mamy krytyczne ostrzeżenie, że nikt nie wziął w nich udziału z naszej strony, selekcjonują go. Bardzo dobrze ją selekcjonują, a następnie oceniają. Mogą na przykład powiedzieć: „Wygląda na to, że jest to łagodne lub negatywne, ale pojawił się alert i nikt nie był dostępny. Jeśli chcesz dodać dodatkową warstwę zabezpieczeń lub środków ostrożności, oto środki łagodzące”. Są bardzo responsywni. Byłem w stanie dostrzec duży atak, jaki dwa lata temu mieliśmy w ciągu pierwszych czterech godzin, a do czasu, gdy dotarliśmy do XDR, wszystko było ze sobą skorelowane. W ciągu pół godziny ich zespół reagowania doszedł do tego samego wniosku. Skontaktowali się z nami, kiedy miałem się z nimi skontaktować, więc byliśmy na tej samej stronie. To z pewnością dobre lub drugie rozwiązanie dla nas. Ponadto niektóre alerty mogą pochodzić z procesów roboczych. Mogą wydawać się złośliwe, ale nie są. Pracownicy serwisu Managed XDR wracają do nas po to, aby to potwierdzić. Mówimy im, że to znany plik. Nie muszą się tym martwić. Czasami możemy czegoś przegapić lub nie mieć pojęcia o kolejnym kroku. Następnie wymyślili zalecenia dotyczące tego, co musimy zrobić. To bardzo dobra usługa.

Używamy Attack Surface Discovery do monitorowania posiadanych przez nas urządzeń oraz zasobów internetowych, kont i aplikacji. API jest czymś, co wciąż sprawdzamy, ale za pomocą kilku kliknięć otrzymujemy przegląd. Widzimy, ile z nich jest instalowanych poprawek, a ilu jest eksponowanych na zewnątrz lub w Internecie. Mamy wiele poddomen powiązanych z główną witryną szpitalną dla różnych projektów i procesów roboczych. Możemy zobaczyć, jak sobie radzą, które porty są otwarte i jakie znane są luki w zabezpieczeniach, ponieważ niektóre z nich nie są przez nas zarządzane. Są one zarządzane przez zewnętrznych dostawców, dzięki czemu możemy je kontrolować. To samo dotyczy naszych klientów. Jeśli mamy konta, które są w ciemności lub mamy konta z nadmiernymi uprawnieniami, które mogą być potencjalnie wykorzystane, możemy rozwiązać ten problem.

W przypadku aplikacji najbardziej podoba mi się lista aplikacji Cloud. Zasadniczo analizuje wszystkie aplikacje SaaS i porównuje je. Profiluje je na podstawie reszty i daje nam raport. Mówi nam, że niektóre aplikacje, z których korzystają ludzie, mogą nie zostać oficjalnie przez nas ukarane. W przypadku nieusankcjonowanej aplikacji wykonuje profilowanie ryzyka za pomocą TrendAI Vision One™, który pokazuje nam, jaki standard zgodności z przepisami bezpieczeństwa został przez niego wprowadzony od dostawcy. Pozwalają nam szybko zrozumieć, jak złe lub dobre jest dalsze korzystanie z aplikacji.

W czasie pandemii COVID zakładałem TrendAI Vision One™ i otrzymałem alert informacyjny. Mąż pielęgniarki dał jej USB i podłączyła je. Pracowała poza zakładem, ale klientka TrendAI™ wciąż działała. Klienci zostali połączeni z konsolą SaaS lub Internetem, więc cały czas podawany był dostęp do telemetrii. Musieli pomyśleć, że tak nie jest, ale wciąż pojawiają się wykrycia. Po podłączeniu do sieci pobrała platformę wykorzystywania Power Shell, którą była w stanie zmapować do grupy ATP z Chin, która często wykorzystuje tę technikę do eksfiltracji własności intelektualnej. Podoba mi się to, jak bardzo zapewnia to widoczność. W przypadku kilku aplikacji czasami pojawia się alert, a nawet może przejść do ostatniego wykonanego polecenia. Może utworzyć wykres ataku i wyświetlić pełny profil wykonania. Pomaga rozwiązywać problemy i odfiltrowywać, czy coś jest fałszywie pozytywne, czy problemem. To, co najbardziej podoba mi się najbardziej, jest połączeniem wszystkich różnych systemów z TrendAI Vision One™ i jego zdolnością do indywidualizacji ataku. To bardzo dobre rozwiązanie, ponieważ czytanie dzienników i wizualizacja ataku to dwie różne perspektywy dla myśliwych. To naprawdę pomaga zrozumieć, co się dzieje.

W przypadku każdej takiej technologii w środowisku przedsiębiorstwa, jak również w przypadku większości systemów produkcyjnych, skrócenie czasu poświęconego na badanie fałszywych alarmów zależy od tego, jak szybko system zostanie dopracowany. Musisz mu powiedzieć, które są wyjątkami i nie powiadamiać Cię o nich, a które powinny Cię powiadomić. To działanie równoważące cyberbezpieczeństwo. Na przykład loginy są używane przez atakujących, ale także przez personel administracyjny. Jeśli całkowicie je zwolnisz, możesz mieć złośliwe logowanie w swoim środowisku. Byłbyś tam całkowicie niewidomy, ponieważ nic nie zostałoby ostrzeżone. Jeśli chodzi o wyniki fałszywie dodatnie, system rejestruje wiele danych i nie jest to wina systemu, ponieważ widzi wiele danych. Czasami nie sklasyfikowaliśmy danych. W tej sytuacji stajemy się coraz lepsi. Oznaczamy i oznaczamy systemy. Dostosowujemy ją i zmniejszyła się ona trochę, ale nadal mamy wiele do zrobienia. Dzieje się tak, ale robimy to za kulisami. Jeśli chodzi o codzienne poszukiwanie zagrożeń i ich widoczność, klasyfikuje je w Workbench i to jest to, na co patrzymy rano. Dowiadujemy się, co się dzieje i na czym musimy się skupić. Gdy widzimy, że powtarza się schemat dla fałszywych alarmów, a alerty Workbench są wysokie, a nie prawdziwie pozytywne, dowiadujemy się, jak umieścić te systemy na białej liście. Wiemy teraz, że jest to znany proces realizacji. Wiemy, że jest to znany ruch lub znany dostawca, który uruchamia tę aplikację, a gdy się otworzy, łączy się ona na przykład z tymi portami. To trochę działanie równoważące. Zmienia się dynamicznie.