Łowcy zagrożeń (threat hunters) i nowy typ zespołu ds. bezpieczeństwa szansą na walkę z cyberprzestępcami. Raport McAfee

Specjaliści od zabezpieczeń codziennie walczą o to, aby wyśledzić przestępców, którzy zakłócają działanie organizacji. Atakujący prawie zawsze mają po swojej stronie element zaskoczenia, jednak threat hunting, czyli polowanie na zagrożenia, może zmienić wynik tej rywalizacji.

Najnowszy raport McAfee stwierdza, że inwestycja przedsiębiorstw w nową rolę, jaką są łowcy zagrożeń, pozwala skuteczniej zamykać sprawy związane z bezpieczeństwem w firmach i identyfikować zagrożenia.

- Branża cyberbezpieczeństwa dojrzewa i za pięć lat będzie wyglądała zupełnie inaczej niż dziś. Według nas przyszłością w walce z cyberprzestępcami jest tworzenie nowych modeli zespołów ds. bezpieczeństwa w firmach, tzw. operacyjnych centrów bezpieczeństwa (ang. Security Operation Center, SOC), które oparte będą na interakcji człowiek-maszyna – mówi Arkadiusz Krawczyk, Country Manager w McAfee Poland. – Dużą rolę w nich będą spełniać właśnie doświadczeni łowcy zagrożeń i zaawansowana technologia, która w naszym przypadku koncentruje się na całym cyklu życia procesu ochrony przed atakiem.

Specjaliści przygotowujący raport McAfee zbadali pracę operacyjnych centrów bezpieczeństwa (SOC) na czterech etapach rozwoju (minimalnym, proceduralnym, innowacyjnym i wiodącym) i doszli do wniosku, że zaawansowane centra poświęcają o 50% więcej czasu na wykrywanie zagrożeń w porównaniu z innymi zespołami.

Łowca zagrożeń

Polowanie na zagrożenia staje się kluczową strategią w cybernetycznej walce. Łowca zostaje częścią zespołu ds. bezpieczeństwa i bada zagrożenia, korzystając z różnych wskazówek, śladów, podpowiedzi, hipotez i przede wszystkim bazując na swoim doświadczeniu z wielu lat ścigania cyberprzestępców. Zdobytą podczas wewnętrznego śledztwa wiedzę przekształca na skrypty i reguły – automatyzuje infrastrukturę w obszarze zabezpieczeń i personalizuje technologię.

- Organizacje muszą opracować plan działania ze świadomością, że zostaną zaatakowane przez cyberprzestępców – tłumaczy Raja Patel, wiceprezes i dyrektor generalny Corporate Security Products w McAfee. – Łowcy zagrożeń pozwalają zdobyć przewagę nad hakerami i cyberprzestępcami, ale sukces osiągną tylko wtedy, gdy interakcja człowiek-maszyna, czyli połączenie wiedzy i doświadczenia łowcy zagrożeń z innowacyjną technologią, pozwoli efektywnie wykrywać i eliminować zagrożenia.

Badania pokazują, że tego modelu operacji w zakresie identyfikacji, reagowania i zapobiegania cybernetycznym zagrożeniom wiodące organizacje używają ponad dwa razy częściej w procesie dochodzenia niż organizacje na minimalnym etapie zaawansowania (75% / 31%).

Kluczowe wnioski z raportu

Wyniki

• 71% operacyjnych centrów bezpieczeństwa (SOC) zamyka dochodzenia w sprawie incydentów szybciej niż w tydzień. 37% potrzebuje na to mniej niż 24 godziny.
• Wiodący specjaliści w zakresie polowania na zagrożenia są w stanie określić przyczynę ataku w 90% przypadków (u mniej zaawansowanych łowców wykrycie przyczyny ma wskaźnik 20%).
• W zakresie wykorzystania sandboxingu, usprawnienia przepływu pracy, oszczędności czasu i pieniędzy oraz gromadzenia informacji niedostępnych z innych rozwiązań bardziej zaawansowane operacyjne centra bezpieczeństwa generują o 45% więcej wartości niż centra na minimalnym poziomie rozwoju.

Strategie

• 68% ankietowanych uważa, że lepsza automatyzacja i usprawnione procedury wykrywania zagrożeń mają kluczowe znaczenie w organizacji.
• Dojrzalsze operacyjne centra bezpieczeństwa dwa razy częściej automatyzują elementy śledztwa w sprawie przeprowadzonego ataku.
• Łowcy zagrożeń w rozwiniętych centrach poświęcają o 70% więcej czasu na personalizację narzędzi oraz technik.

Taktyka

• Łowcy zagrożeń w dojrzałych operacyjnych centrach bezpieczeństwa poświęcają o 50% więcej czasu na swoje kluczowe działanie, czyli polowanie na zagrożenia.
• Sandboxing jest narzędziem numer 1 dla analityków pierwszej i drugiej linii w operacyjnym centrum bezpieczeństwa, natomiast osoby wyżej w hierarchii w pierwszej kolejności używają zaawansowanego narzędzia do analizy złośliwego oprogramowania oraz rozwiązań typu open source. Inne standardowe narzędzia to SIEM, wykrywanie i reagowanie w punkcie końcowym (Endpoint Detection and Response) oraz analiza zachowania użytkowników.
• Centra na wyższym poziomie zaawansowania używają sandboxingu dwa razy częściej niż centra na etapie początkowym, namierzając nie tylko te zagrożenia, które trafiają do sieci ukryte w plikach.

Metodologia badania

Badanie zostało przeprowadzone wiosną 2017 roku. Ankietę wypełniło 700 pracowników z sektora IT i bezpieczeństwa z różnych krajów, branż i rozmiarów organizacji. Uczestnicy ankiety pracowali dla firm zatrudniających ponad 1000 osób. Respondenci to łowcy zagrożeń pochodzący z Australii, Kanady, Niemiec, Singapuru, Wielkiej Brytanii i Stanów Zjednoczonych.

Raport przygotowany przez McAfee pt. Disrupting the Disruptors, Art or Science?.