Szukaliśmy systemu z jednym panelem. Rozpoczęto proces wdrażania klienta EDR na serwerach o nazwie Trend Micro™ Deep Security i Trend Micro Apex One™ w punktach końcowych, takich jak komputery stacjonarne i laptopy. Następnie  połączyliśmy je z jednym panelem o nazwie XDR, znanym teraz pod nazwą Trend Vision One. Pomogło nam to prawidłowo znaleźć i naprawić sytuację. Widzieliśmy komunikację między punktami końcowymi i serwerami oraz wszystko, z czym rozmawiali. Moglibyśmy ją następnie jeszcze bardziej rozszerzyć i połączyć ze wszystkimi systemami za pomocą interfejsów API. Był to nasz początkowy wymóg i bardzo dobrze się sprawdził.

Gdy kupujesz rozległe lub drogie rozwiązania SIEM, takie jak Splunk lub coś innego, potrzebujesz analityki. Można napisać istotne zapytania w celu zapytania o dane. W ostatecznym rozrachunku wszystkie wprowadzane dane muszą być skorelowane. Trend Vision One zapewnia widoczność w tym sensie.

Połączyliśmy ją z chmurą, aby zobaczyć telemetrię z Azure i chmury. Następnie zainstalowaliśmy system wykrywania sieci. Może dostrzec i wykryć niewielki ruch z warstwy sieciowej. Następnie połączyliśmy je z usługą Active Directory, aby można było przypisać je do nich. Obecnie mamy wiele danych. W małym zespole pojawia się problem polegający na tym, jak radzić sobie z tak dużą ilością informacji i jak ustalać priorytety. Pomaga w ustalaniu priorytetów. System jest wystarczająco inteligentny, aby aktywnie skanować dzienniki i uruchamiać alerty przepływu pracy. Priorytetyzuje je w oparciu o krytyczność, taką jak wysoka, średnia, niska lub informacyjna. Gdy masz mały zespół, analitycy mogą zacząć przyglądać się nim i sprawdzać, co się dzieje, a co należy nadać priorytet.

Zbliżyliśmy się bardzo do rosyjskiego ataku, a Trend Vision One bardzo nam pomogła. Pomogło nam to kontrolować atak na początkowych etapach. Dostali się do środowiska i zdejmowali odwrotną powłokę. Widziałem ostrzeżenie. Trend Vision One Protection pokazał mi szczegółowo, co uruchomili, czego zapytali, jakie informacje zostały przechwycone i gdzie trafiły połączenia. Był to pośrednik pierwszego dostępu, który przeprowadził atak. Jeśli te informacje nie zostaną odebrane późnym piątkowym popołudniem, można sobie wyobrazić, co mogło się wydarzyć do poniedziałku. W ciągu kilku godzin informacje te trafiłyby do ciemnej sieci i zostałyby sprzedane do grupy ransomware. Średni czas reakcji został znacznie skrócony. Większość organizacji bardzo rzadko wykrywa takie ataki we własnym środowisku w ciągu pierwszych czterech godzin. Skróciło to średni czas reakcji o 70% do 80%.

Funkcje monitorowania w czasie rzeczywistym pomagają nam w ogólnej ochronie. Wszystko zostało skonfigurowane z naszym centralnym systemem poczty elektronicznej SOC, więc w momencie uruchomienia alertu i w zależności od jego krytyczności możemy nad nim pracować. Pracując w służbie zdrowia, często współpracujesz z dostawcami, którzy nadal nie są zbyt świadomi cyberbezpieczeństwa. Wciąż się uczą. Jeden z nich jest podłączony do pamięci USB i znaleźliśmy wczesny wskaźnik infekcji. Urządzenie zostało podłączone do jednego z systemów technicznych. Nie tylko to wykryło i zablokowało, ale także otrzymaliśmy alert wskazujący maszynę. Gdyby nie zostało wykryte i odebrane na tym samym etapie w ciągu kilku minut, mogłoby to ostatecznie mieć dość duży wpływ.

Piękno polega na tym, że nie muszę logować się do osobnej konsoli Apex One lub Deep Security. Konsola Trend Vision One zapewnia pełną widoczność i dane telemetryczne w czasie rzeczywistym. Konsola Trend Vision One natychmiast Cię powiadamia. Po prostu generuje alarm o krytycznym znaczeniu. Blokuje, ale następnie zapewnia zalecenia dotyczące łagodzenia skutków. Musimy odłączyć maszynę od sieci, zeskanować USB, edukować użytkownika i przekazać sprawę odpowiednim osobom. Posiadanie wszystkich tych informacji jest bardzo ważne. Możemy również wpływać na zachowanie użytkownika, aby nie robił tego ponownie.

Używamy go w punktach końcowych. Używamy go na naszych serwerach. Mamy system wykrywania sieci o nazwie NDR. Monitorujemy cały wewnętrzny ruch pochodzący z zapór sieciowych. Posiadamy Citrix NetScalers, więc monitorujemy również stronę sieci. Mamy również inny produkt o nazwie Conformity, który przeprowadza ocenę i kontrolę zgodności w chmurze dla wszystkich zewnętrznych zasobów chmury. Informuje, czy nie są zgodne z przepisami. Na przykład w przypadku projektu, który wszedł, coś może zostać przypadkowo ujawnione internetowi, na przykład konto pamięci masowej Azure. Wszystko to trafia do Trend Vision One, a my mamy jedną szybę.

Jest to pomocne dla wielu zespołów. Nie ogranicza się tylko do standardów SOC. Mamy zespoły od strony chmury, a czasami od punktu końcowego i serwera, które mogą wejść i zobaczyć alerty. Ułatwia to pracę, ponieważ wszyscy widzimy to samo z większą ilością informacji. Używamy go do obsługi serwerów i sieci punktów końcowych. Używamy go do monitorowania naszej chmury Azure. W ramach naszych licencji posiadamy również licencje Trend Micro™ Cloud App Security. Posiadamy zasady, które umożliwiają zaawansowane monitorowanie ochrony przed zagrożeniami i DLP w kanałach SaaS, takich jak witryny Exchange Online, Teams, OneDrive i SharePoint. Są to inne kanały, z których można udostępniać dane, które mogą dostać się do naszego środowiska lub które mogą wydostać się z naszego środowiska. Posiada zasady monitorowania DLP. Posiada zasady monitorowania wszelkich złośliwych plików lub wskaźników ataku ATP. Otrzymujemy również te alerty.

Dostępne są dwa pulpity nawigacyjne. Pulpity Executive zapewniają ogólny obraz całego systemu i tego, co dzieje się w naszym systemie w dowolnym momencie. Widzimy, ile luk mamy w zabezpieczeniach, co musimy zgłosić kierownictwu i jak będziemy postępować w takich sprawach. Następnie mamy pulpit operacyjny z alertami w czasie rzeczywistym lub alertami oczekującymi. Pokazuje nam, że mamy konto pasujące do jeziora danych .Net. Problemem jest na przykład to, że większość użytkowników ma to samo hasło, więc możesz mieć to samo hasło do konta służbowego i prywatnego. Mogą zostać zaatakowane w domu i w pracy. Dlatego używamy Executive Dashboards do raportowania i ogólnego zrozumienia tego, co dzieje się w środowisku oraz co musimy zgłaszać i ustalać priorytety. Pulpit operacyjny jest przeznaczony do codziennej pracy.

Bardzo ważne jest, abyśmy mogli przejść od Executive Dashboards do wykrywania XDR. Działamy w branży opieki zdrowotnej. Jesteśmy szpitalem. Zarząd nie tylko martwi się ransomware, ponieważ może się to zdarzyć każdemu. Nigdy nie możesz być wystarczająco bezpieczny. Niepokoi ich również utrata reputacji i koszty operacyjne odzysku, dlatego bardzo zależy im na widoczności. Pulpity Executive Dashboard dostarczają nam wystarczająco dobrych informacji, aby je filtrować. Na przykład nasz zespół wsparcia technicznego dla komputerów stacjonarnych ma ograniczoną liczbę osób. Jeśli chodzi o cyberbezpieczeństwo, chcemy ustalić priorytety poprawek pod kątem zagrożenia zero-day, ale czasami nie może się to zdarzyć, ponieważ zespoły mają inne priorytety. Nie chodzi o to, że nie chcą pomóc, ale nie mają zasobów. Dzięki pulpitom wykonawczym i raportom możemy eskalować sprawy do zarządu, mówiąc, że potrzebujemy pewnej uwagi. Możemy poprosić ich o sfinansowanie naszych zasobów, aby osiągnąć ten cel. Pomaga nam to dyktować wpływ i ustalać priorytety krytycznej luki w zabezpieczeniach cybernetycznych, abyśmy mogli uzyskać akceptację kierownictwa, aby nadać jej priorytet i rozwiązać problem, zanim wyjdzie on z użycia.

Korzystamy z funkcji Indeks ryzyka, aby mapować wyniki na tle innych organizacji w tym samym regionie geograficznym w porównaniu z innymi organizacjami. Czy jesteśmy lepsi czy gorsi od innych? Jeśli mamy obszary, w których jesteśmy gorzej niż inni, pomagają nam zrozumieć powód i sposób poprawy.

Jeśli chcemy przejść przez każde zdarzenie, dzięki naszej aktualnej licencji XDR może przechowywać dane nawet z sześciu miesięcy, czyli miliony lub tysiące alarmów. Inteligentne jest zapewnienie Workbench, który automatycznie ustala priorytety. Wykonuje to ciężką pracę, wyciągając ten wywiad i mówiąc, że są to najważniejsze elementy, którymi należy się zająć tak szybko, jak to możliwe. Nie lekceważę faktu, że czasami atakujący nawet nie wybierają tych o wysokim znaczeniu. Podejmują średnią, ale pomaga nam to pozbyć się ich. Nasz zespół jest mały i miałem dobre doświadczenie w szkoleniu kilku osób, przechodzeniu przez nie i pokazywaniu im, jak to zrobić. Kiedy ludzie zaczynają pracować, rozumieją przepływ pracy. To po prostu drugi nawyk. Jest bardzo intuicyjna. Możesz wejść do konsoli, dodawać nowe wskaźniki zagrożenia, dodawać nowe zapytania dotyczące zagrożeń, dodawać nowe kanały CTI i sprawdzać, czy nie występują nowe luki w zabezpieczeniach. Jest tak wiele rzeczy, że możesz się z tego wydostać. Musisz po prostu nadać priorytet temu, co Twoim zdaniem jest ważne w tym dniu.

Używamy Managed XDR jako drugiej usługi. Przydaje się to, że mamy ludzi pod telefonem. Na pewno ciągle sprawdzam moje wiadomości e-mail, ale jeśli mamy krytyczne ostrzeżenie, że nikt nie wziął w nich udziału z naszej strony, selekcjonują go. Bardzo dobrze go selekcjonują, a następnie oceniają. Mogą na przykład powiedzieć: „Wydaje się, że to łagodne lub negatywne, ale pojawił się alert i nikt nie był dostępny. Jeśli chcesz dodać dodatkową warstwę zabezpieczeń lub środków ostrożności, oto środki łagodzące”. Są bardzo responsywni. Byłem w stanie dostrzec duży atak, jaki dwa lata temu doświadczyliśmy w ciągu pierwszych czterech godzin, a do czasu, gdy dotarł do XDR, wszystko było ze sobą skorelowane. W ciągu pół godziny ich zespół reagowania doszedł do tego samego wniosku. Skontaktowali się z nami, kiedy miałem się z nimi skontaktować, więc byliśmy na tej samej stronie. To z pewnością dobre lub drugie rozwiązanie dla nas. Ponadto niektóre alerty mogą pochodzić z procesów roboczych. Mogą wydawać się złośliwe, ale nie są. Pracownicy serwisu Managed XDR wracają do nas po to, aby to potwierdzić. Mówimy im, że to znany plik. Nie muszą się tym martwić. Czasami możemy czegoś przegapić lub nie mieć pojęcia o kolejnym kroku. Następnie wymyślają zalecenia dotyczące tego, co musimy zrobić. To bardzo dobra usługa.

Używamy Attack Surface Discovery do monitorowania posiadanych przez nas urządzeń oraz zasobów internetowych, kont i aplikacji. API jest czymś, co wciąż sprawdzamy, ale za pomocą kilku kliknięć otrzymujemy przegląd. Widzimy, ile z nich jest instalowanych poprawek, a ilu jest eksponowanych na zewnątrz lub w Internecie. Mamy wiele poddomen powiązanych z główną witryną szpitalną dla różnych projektów i procesów roboczych. Widzimy, jak sobie radzą, które porty są otwarte i jakie znane są luki w zabezpieczeniach, ponieważ niektóre z nich nie są przez nas zarządzane. Są one zarządzane przez zewnętrznych dostawców, dzięki czemu możemy je kontrolować. To samo dotyczy naszych klientów. Jeśli mamy konta, które są w ciemnej sieci lub mamy konta z nadmiernymi uprawnieniami, które mogą być potencjalnie wykorzystane, możemy rozwiązać ten problem.

W przypadku aplikacji najbardziej podoba mi się lista aplikacji Cloud. Zasadniczo analizuje wszystkie aplikacje SaaS i porównuje je. Profiluje je w oparciu o resztę i daje nam raport. Mówi nam, że niektóre aplikacje, z których korzystają ludzie, mogą nie zostać oficjalnie przez nas ukarane. W przypadku nieusankcjonowanej aplikacji wykonuje profilowanie ryzyka za pomocą Trend Vision One, który pokazuje nam, jaki standard zgodności z przepisami zabezpieczeń został przez niego wprowadzony od dostawcy. Pozwalają nam szybko zrozumieć, jak złe lub dobre jest dalsze korzystanie z aplikacji.

W czasie pandemii COVID zakładałem Trend Vision One i otrzymałem alert informacyjny. Mąż pielęgniarki dał jej USB i podłączyła je. Pracowała poza zakładem, ale klientka Trend wciąż działała. Klienci zostali połączeni z konsolą SaaS lub Internetem, więc cały system telemetryczny był nadal zasilany. Musieli pomyśleć, że tak nie jest, ale wciąż pojawiają się wykrycia. Po podłączeniu do sieci pobrała platformę wykorzystywania Power Shell, którą udało jej się zmapować do grupy ATP z Chin, która często wykorzystuje tę technikę do eksfiltracji własności intelektualnej. Podoba mi się to, jak bardzo jest to widoczne. W przypadku kilku aplikacji czasami pojawia się alert, a nawet może przejść do ostatniego wykonanego polecenia. Może utworzyć wykres ataku i pokazać pełny profil wykonania. Pomaga rozwiązywać problemy i odfiltrowywać, czy coś jest fałszywie pozytywne, czy problemem. To, co najbardziej podoba mi się najbardziej, jest połączeniem wszystkich różnych systemów z Trend Vision One i jego zdolnością do indywidualizacji ataku. To bardzo dobre rozwiązanie, ponieważ czytanie dzienników i wizualizacja ataku to dwie różne perspektywy dla myśliwych zagrożeń. To naprawdę pomaga zrozumieć, co się dzieje.

W przypadku każdej takiej technologii w środowisku przedsiębiorstwa, jak również w przypadku większości systemów produkcyjnych, skrócenie czasu poświęconego na badanie fałszywych alarmów zależy od tego, jak szybko system zostanie dopracowany. Musisz o tym powiedzieć, które są wyjątkami i nie powiadamiać Cię o nich, a które powinny Cię powiadomić. To działanie równoważące bezpieczeństwo cybernetyczne. Na przykład loginy są używane przez atakujących, ale także przez personel administracyjny. Jeśli całkowicie je zwolnisz, możesz mieć złośliwe logowanie w swoim środowisku. Byłbyś tam całkowicie niewidomy, ponieważ nic nie zostałoby powiadomione. Jeśli chodzi o wyniki fałszywie dodatnie, system rejestruje wiele danych i nie jest to wina systemu, ponieważ widzi wiele danych. Czasami nie sklasyfikowaliśmy danych. W tej sytuacji stajemy się coraz lepsi. Oznaczamy i oznaczamy systemy. Dostosowujemy ją i zmniejszyła się ona trochę, ale wciąż mamy wiele do zrobienia. Dzieje się tak, ale to coś, co robimy za kulisami. Jeśli chodzi o codzienne poszukiwanie zagrożeń i ich widoczność, klasyfikuje je w Workbench i to właśnie sprawdzamy rano. Dowiadujemy się, co się dzieje i na czym musimy się skupić. Gdy widzimy, że powtarza się schemat dla fałszywych alarmów, a alerty Workbench są wysokie, a nie prawdziwie pozytywne, zastanawiamy się, jak wymienić te systemy na białe. Wiemy teraz, że jest to znany proces realizacji. Wiemy, że jest to znany ruch lub znany dostawca, który uruchamia tę aplikację, a gdy się otworzy, łączy się ona na przykład z tymi portami. To trochę działanie równoważące. Zmienia się dynamicznie.