合規與風險
威脅偵測及回應 (XDR) 改善指南
趨勢科技在一份全球調查中發現 50% 的資安團隊表示他們因零散不連貫的單一面向產品與 SIEM 系統所產生的大量警報通知而疲於奔命。看看 XDR 如何提升威脅偵測及回應來改善 SecOps 團隊的效率及成效。
資安團隊正面臨許多迫切的挑戰,警報通知氾濫就是其中之一:根據趨勢科技一項針對 IT 資安與資安營運中心 (SOC) 決策者的全球調查指出,超過 50% 的受訪者表示他們的團隊因大量的警報通知而疲於奔命。另有 55% 坦承自己沒有十足的把握能判斷警報通知的優先次序並採取回應。
此問題的核心來自於威脅偵測及回應解決方案零散不連貫且缺乏效率。許多資安人員會採用一套 SIEM 來將分散於各資安工具的記錄檔與警報通知蒐集在一起。
這會產生兩個問題:第一,網路攻擊很少只透過一、兩種途徑;第二,SIEM 很會蒐集資料,但並非所有 SIEM 都能有效地交叉關聯分析這些資料。不完整的可視性與情境資訊的缺乏,很容易因誤判而造成雜訊,進而拖慢調查工作的進度。Trend Micro Research 發現,資安分析師有 27% 的時間是浪費在調查一些低可信度的警報,結果這些警報大多是誤判。
此時,延伸式偵測及回應 (XDR) 就能派上用。
何謂 XDR?
XDR 是端點偵測及回應 (EDR) 的進一步延伸,它能超越單一防護層的侷限,從各個不同的防護層即時蒐集並交叉關聯資料,例如:電子郵件、伺服器、雲端工作負載、網路,以及端點。藉由交叉關聯相關的活動來產生高可信度的偵測事件,消除大量的誤判,加快威脅偵測及回應速度。導入及微調 XDR 功能可改善資安效率,簡化資安營運,並提升員工生產力。
探索更多資安營運中心 (SOC) 最佳實務原則:資安營運進化的三種方式
採用適當的 XDR 方法
您所採用的 XDR 方法將取決於您企業的需求,實現 XDR 功能的方法並非只有一種,而且並非所有 XDR 解決方案或方法都一樣。目前最常見的 XDR 方法有三種:
- 原生式 (完整):這種方法是以自家產品為資料來源的基礎,並在單一平台當中管理整個 XDR 流程。
- 開放式:經由與第三方整合來提供一定程度的 XDR 功能。
- 混合式:使用原生來源再搭配第三方及 API 整合來提供交叉關聯偵測、整合調查以及多層式回應。
三者當中最好的是混合式方法。原生式 XDR 的最大優勢在於能運用深度的活動資料來建立最佳化的分析模型以進行交叉關聯偵測。開放式 XDR 具備原生式 XDR 所沒有的優點,可從更廣泛的來源蒐集資料,但在很多情況下卻只會用到警報資料,因此能提供的情境以及可做的分析都有限。而混合式 XDR 則是以原生式 XDR 為基礎,再搭配各防護層上的額外整合,必要時可提供更充實的資料。這樣的方法可讓資安營運人員將各防護層的偵測及回應整合在一起,實現更廣泛的防護。
將調查整合在一起來提升偵測成效
重點就在於將第三方或 API 整合與電子郵件、伺服器、雲端工作負載及網路層的感測器結合。交叉關聯偵測的好處是能獲得回答以下關鍵問題的情境資訊:
- 使用者或主機如何遭到入侵?
- 攻擊的第一個入侵點在哪裡?
- 還有哪些其他裝置或使用者也遭到同一起攻擊?
- 威脅的源頭在哪?
- 威脅如何擴散?
- 其他還有多少使用者也可能會被同一威脅入侵?
並非所有的威脅都來自於端點。根據 Verizon 的「2022 年資料外洩調查報告」(Data Breach Investigations Report),網站應用程式與電子郵件是資料外洩發生的前兩大途徑。XDR 應該要能讓您偵測電子郵件威脅,包括已遭駭客入侵並在內部散發網路釣魚的帳號。當偵測到威脅時,XDR 應該也要掃描電子郵件信箱來發掘還有誰也收到同樣的電子郵件,如此一來才能將威脅隔離或刪除以防止擴散。
除此之外,網路層上的 XDR 可彌補 EDR 的盲點。有了關於網路流量與行為的即時活動資料,再加上邊界與內部橫向連線,就能協助分析師發掘威脅的通訊方式以及它們如何在網路內部擴散。有了這些知識,資安人員就能封鎖主機和網址,並且停用 Active Directory 帳號來抑制攻擊擴散。
雲端工作負載、伺服器以及容器對於企業的營運至關重要,所以,監控這些層面的活動對於減少重大資安事件非常重要。XDR 能蒐集並交叉關聯活動資料,例如:使用者帳號活動、電腦處理程序、已執行的指令、網路連線、已建立/已存取的檔案、系統登錄修改等等,如此就能掌握警報通知發生時的完整情境。資安團隊可深入追查雲端工作負載內部發生了什麼,以及當初攻擊是如何擴散。
將來自 XDR 的情報營運化
根據 ESG 的一份報告「SOC 現代化與 XDR 的角色 」(SOC Modernization and the Role of XDR),SOC 在 2022 年最重要的工作就是「加強威脅情報的營運化」。面對日益精密且成功的網路攻擊,將威脅情報融入營運當中是 SOC 一項不可或缺的功能。您對駭客的行動和目標了解越多,您企業的韌性和應變能力就越強。
MITRE ATT&CK 框架在分析攻擊行動、威脅團體以及個別活動時非常有用。儘管這套框架已經無所不在,但許多企業依然還在設法了解如何一致地運用這套框架。
從 XDR 解決方案的角度來看,您可以利用該框架中所列的攻擊手法、技巧與程序 (TTP) 來開發偵測規則和模型,確保威脅情報能直接融入到事件調查當中。如此就能辨識攻擊行動對應的 TTP,進而掌握攻擊的完整生命週期。
TTP 也可以用來建立威脅追蹤條件,或主動查看環境內找到的 TTP,並以它為起點開始實施針對性調查。
最後,MITRE ATT&CK 框架還可用來發掘資安上的漏洞,並安排該優先處理哪些活動以降低風險並提升韌性。
挑選 XDR 時的關鍵考量
儘管感測器的涵蓋範圍相當重要,但在挑選 XDR 廠商時還有許多其他的因素需要考量,以確保您能獲得最佳的威脅偵測及回應能力。您可詢問廠商以下幾個問題:
1.產品是否友善支援 API 整合?有些廠商並未將其 API 與 SIEM 和 SOAR 整合。XDR 的整合能力越強,就越能自動化作業並協調整個生態系的工作流程。此外,提供 XDR 解決方案的廠商若能與一套網路資安平台整合,就能讓資安人員從單一窗口管理整個受攻擊面。
2.產品是否提供視覺化端對端攻擊檢視?有些 XDR 解決方案或許只提供了攻擊在某個時間點的狀況。但若要遏止攻擊擴散、提升資安狀況,資安團隊要能查看攻擊的源頭以及擴散情形。
3.使用者體驗如何?尋找 (並留住) 好人才一直是一項挑戰。請避免挑選那些學習曲線太過陡峭或技術支援不佳的資安解決方案。廠商如果希望您能夠成功 (而非只想賣您產品) 那就會將教學內容、線上學習中心、甚至面對面溝通與意見回饋功能內建在產品中。
4.警報通知是否可用來採取行動?正如前面提到,SIEM 可產生大量的警報通知,但這些警報通常毫無用處。XDR 一樣能擷取 SIEM 所收到的記錄檔,但卻不會產生一堆誤判,因為記錄檔只是用來提供參考。好的 XDR 解決方案會根據風險評分與衝擊的嚴重性來判斷警報通知的優先次序。
5.定價結構如何?請尋找定價結構對企業營運有利的廠商。大多數廠商通常會依照套數或基座來計算訂閱數量,但假使您的員工離職或解雇,這會導致您支付了一些沒用到的感測器。請考慮採用一些更彈性的授權選項,讓您隨需求而調整數量,並且消除固定成本以及未用到的授權所帶來的損失。
6.是否提供託管式服務?人員短缺或預算不足,都會影響偵測及回應能力的建置。廠商若能提供託管式服務來彌補您既有團隊的不足,由專家來幫您執行威脅追蹤、7 天 24 小時監控和偵測,以及快速調查及防範威脅,那是將無價的優勢。您既可獲得資安專業與能力,又能減輕您團隊的沉重負擔,好讓他們有時間執行更重要的計畫。
7.產品是否榮獲產業分析機構好評?每家廠商都喜歡宣稱自己是第一,所以,記得查看一下信譽優良的產業分析機構 (如 Forrester、Gartner 和 IDC) 的報告來驗證廠商的話。
讓董事會認同 XDR
儘管統計數字顯示網路資安支出不斷增加,但這不保證您的預算就會跟著成長,網路資安想要獲得預算不是一件容易的事,所以很關鍵的一點就是要從財務與風險的角度來闡述 XDR 的效益。以下您在說服董事會採用 XDR 時可考慮的一些論點:
1.投資資安解決方案 = 投資業務。根據 IBM 的「2022 年資料外洩成本」(Cost of a Data Breach 2022) 報告指出,採用 XDR 的企業,其資料外洩成本平均低 10% 左右,而且整起資料外洩事件的時間也可縮短 29 天。更短的停機時間與更小的財務衝擊,這就是 CXX 管理階層最愛聽的。
2.符合法規遵循要求。XDR 能協助企業達成法規遵循要求,讓企業避免鉅額罰款。XDR 的連貫性還能讓您檢驗資安投資的成效,並確保您隨時符合法規。而且,當您符合法規要求,您的資安狀況自然也就更好。
3.降低資安險保費。挑選到適當的 XDR 廠商,您就更容易證明您企業已建置了有效的資安工具讓您監控及迅速管理威脅活動。而這兩點都有助於降低昂貴的資安險保費。