NDR i AI otkrivaju tok napada između bezbednosnih alarma
Corelight ukazuje da napadači mogu provesti dane ili nedelje u mreži pre nego što se pojavi alarm visokog prioriteta, a da pritom koriste LDAP, Kerberos, SMB, RDP, HTTPS i DNS. Njegova NDR platforma treba da sačuva mrežnu telemetriju koja povezuje pojedinačne signale u vremensku liniju i daje AI sistemima širi skup dokaza za istragu.
SOC tim najčešće počinje rad od izolovanog alarma: poznatog heša malvera, velikog broja neuspelih prijava ili sumnjive aktivnosti na krajnjoj tački. Takav signal pokazuje trenutak kada je nešto primećeno, ali ne mora označavati početak kompromitacije niti objašnjavati kako se aktivnost razvijala.
Napad se često razvija kroz legitimne protokole
Da bi izbegli detekciju, napadači ne moraju uvek da stvaraju upadljive obrasce. Kompromitovan nalog može sporijim LDAP upitima prema kontroleru domena mapirati korisnike, grupe i sisteme. Nekoliko zahteva za Kerberos servisne tikete može obezbediti podatke za naknadno razbijanje kredencijala van neposrednog pogleda SOC-a.
Sa važećim kredencijalima, akter može koristiti SMB ili RDP, iste servise na koje se administratori oslanjaju svakog dana. Datoteke se mogu prikupiti i komprimovati na internom sistemu, a zatim slati ka spoljnom odredištu kroz HTTPS ili DNS u pravilnim intervalima uz male promene ritma.
Svaka od ovih radnji može imati legitimno objašnjenje. Međutim, kada jedan host najpre ispituje više internih servisa, zatim se prijavljuje na drugi sistem, uspostavlja SMB sesiju i potom komunicira sa spoljnim odredištem, niz dobija drugačiji istražni značaj. Alati koji posmatraju samo izdvojene delove transakcije mogu propustiti tu vezu.
Mrežni dokazi proširuju istragu alarma
Corelight ne predlaže spuštanje pragova detekcije i stvaranje još više alarma. SOC ne može praktično istraživati svaki DNS upit, zahtev za autentifikaciju ili mrežnu vezu kao zaseban incident. Umesto toga, poenta je u zadržavanju osnovne telemetrije kako bi se analitičar mogao vratiti na relevantan period kada alarm, prekid rada ili drugi signal opravda istragu.
Podaci koji poznaju protokole mogu pokazati kakva se interakcija dogodila, koji su sistemi ili korisnici učestvovali, kada se to desilo i kako se odnos menjao tokom vremena. Ako krajnja tačka aktivira alarm u 14.14, mrežni podaci mogu pomoći da se proveri da li je ranije kontaktirala neuobičajen domen, autentifikovala se na drugi sistem, otvorila SMB veze ili kasnije uspostavila šifrovanu sesiju sa spoljnim odredištem.
AI ubrzava korelaciju, a analitičar donosi odluku
AI-podržani SOC može pretraživati aktivnosti kroz hostove, korisnike, protokole i vremenske intervale brže nego što čovek ručno može pregledati sve pojedinačne transakcije. Automatizovani tok rada u NDR platformi služi da pronađe odnose i prikupi kontekst, dok analitičar na osnovu dostupnih dokaza procenjuje rizik.
Isti podaci mogu pomoći i pri operativnim prekidima rada aplikacija, jer otkrivaju koji su servisi komunicirali, gde je komunikacija počela da otkazuje i koje su zavisnosti bile pogođene. Za poslovanje je praktičan zaključak da vrednost alarma raste kada se čuva i povezuje mrežni kontekst: tako se smanjuje ručni trijaž, a odluke se zasnivaju na celovitijem toku aktivnosti, ne samo na jednom signalu.