Indagare su un avviso di sicurezza ha sempre richiesto agli analisti di muoversi velocemente mentre trasportavano molto contesto nelle loro teste: capire cosa sta facendo un comando di PowerShell codificato, perché è stato attivato un avviso, cosa significa il processo circostante ascendenza e cosa fare dopo. Per gli analisti junior, questo contesto richiede anni per essere costruito. Per gli analisti senior, anche l'esperienza approfondita non copre tutti i casi limite. Il risultato, come riferiscono molti team di sicurezza, è un rallentamento delle indagini, una minore fiducia degli analisti e una capacità limitata del team. Le funzionalità di arricchimento e analisi basate sull'intelligenza artificiale all'interno di Tanium Threat Response sono progettate per colmare tale lacuna direttamente all'interno del flusso di lavoro in cui le indagini avvengono effettivamente.
Duncan illustra due nuove funzionalità della Threat Response: l'arricchimento della riga di comando e l'analisi degli avvisi. La funzione di arricchimento decodifica i comandi codificati e scompone ogni componente di una riga di comando, spiegando cosa fa ogni parametro e segnalando le implicazioni di sicurezza in un linguaggio semplice. La funzione Analizza va oltre, prendendo un intero avviso come contesto e restituendo un riepilogo strutturato che include il motivo per cui l'avviso è stato attivato, i risultati chiave, una valutazione dell'impatto e le azioni consigliate.
Se hai mai perso il tuo thread investigativo cambiando finestra per cercare cosa significa una riga di comando, o hai faticato a spiegare a un analista junior perché un avviso specifico dovrebbe riguardarli, questo episodio copre esattamente le capacità che affrontano questi problemi. Guarda la guida completa nel video qui sotto.
Punti chiave da ricordare
- Enrich decodifica e spiega: Il pulsante Enrich all'interno di un avviso non decodifica solo un comando PowerShell codificato. Scompone ogni componente della riga di comando, spiega cosa fa ogni parametro e fa emergere implicazioni per la sicurezza come "Frequentemente utilizzato in un contesto dannoso per eludere i controlli basati su policy".
- I cmdlet non standard vengono segnalati: quando l'arricchimento incontra qualcosa come
get-uac, identifica che non è un cmdlet built-in e probabilmente una funzione personalizzata, e raccomanda di indagare sulla fonte e sull'attività precedente per una potenziale messa in scena. - Alert Analyze fornisce un contesto completo: la funzione di analisi considera l'intero avviso come contesto, inclusi ascendenza del processo, linee di comando e dettagli Intel, e restituisce una panoramica iniziale dell'avviso che spiega esattamente il motivo per cui l'avviso è stato attivato, i risultati chiave che evidenziano elementi insoliti, una valutazione dell'impatto e le azioni consigliate.
“Perché se devo lasciare qui e andare a chiedere un LLM, guardare in Google per vedere cosa significa questa particolare riga di comando, sto lasciando qui e sto aumentando le mie possibilità di perdere il mio contesto per quando tornerò, giusto? Cosa stavo guardando? Qual era la cosa prima di questo? Quali erano le cose dopo questo che avevo intenzione di fare? Sto cercando di tenere tutto dritto mentre lascio la console per andare da qualche altra parte. Mantenere il contesto all'interno della console ti consente di mantenere la concentrazione e non dover ricordare ciò che stavi cercando di fare in anticipo, quindi lo trovo incredibilmente utile. "Tanium HuntIQ Hunter Duncan Miller
- Le azioni consigliate richiedono un contesto ambientale: Duncan osserva che mentre le azioni consigliate sono sensate, come isolare l' endpoint, terminare e mettere in quarantena l' SQL in Users splunkd e bloccare il traffico in uscita verso il dominio associato, devono essere contestualizzate all'interno dell'ambiente. Isolare un controller di dominio chiave o una macchina che genera entrate senza tale contesto potrebbe creare seri problemi.
- L’arricchimento si estende alle connessioni dirette e alle griglie di dati: la stessa capacità di arricchimento disponibile negli avvisi è presente anche nelle connessioni dirette e all’interno della griglia di dati. Ovunque appaiano le scintille, gli analisti possono arricchire una riga di comando per un contesto aggiuntivo, comprese le righe di comando del browser di Chrome o Edge che altrimenti sarebbero difficili da interpretare.
“Direi di cercare le scintille e se le vedi, puoi ottenere più contesto intorno ad esse.”Tanium HuntIQ Hunter Duncan Miller
- La disponibilità richiede funzionalità di Threat Response , cloud e IA abilitate: queste funzionalità sono attualmente disponibili senza costi aggiuntivi per i clienti che dispongono di licenza per la Threat Response , sono clienti cloud e dispongono di funzionalità IA abilitate nel loro ambiente.
Risorse aggiuntive
- In che modo Tanium HuntIQ offre una ricerca delle minacce guidata da esperti per i team di sicurezza: scopri come i cacciatori HuntIQ di Tanium lavorano in modo pratico all’interno degli ambienti dei clienti per cercare in modo proattivo minacce sofisticate e migliorare il livello di sicurezza.
- Tanium Panoramica della guida per l’utente del cloud Threat Response: la pagina di panoramica della guida per l’utente del cloud Tanium Threat Response , che copre il punto di ingresso della documentazione del prodotto per i clienti del cloud.
