I team addetti alle operazioni di sicurezza si trovano ad affrontare una sfida costante: gli strumenti sono disponibili, gli avvisi si susseguono, ma spesso mancano le competenze e le risorse necessarie per agire sulla base di quanto emerge dai dati.
HuntIQ rappresenta la risposta di Tanium'a tale lacuna: un’opzione di supporto avanzato articolata in tre parti che combina i dashboard di ricerca avanzata di Guardian, , le funzionalità di Security Operations di Tanium , e esperti cacciatori di minacce con esperienza sul campo, integrati direttamente negli ambienti dei clienti per 12 mesi.
Tanium Michael Bailey, direttore del reparto Threat Hunting, vanta oltre 20 anni di esperienza (tra cui attività di analisi di malware e pacchetti a livello nazionale per conto del Dipartimento della Difesa) e sarà incaricato di guidare questa iniziativa e, , di definire come si configura la ricerca proattiva delle minacce all’interno degli ambienti aziendali su larga scala.
In questa puntata, Michael illustra cos’è HuntIQ, come interagiscono le sue tre componenti e come si concretizza nella pratica il modello di coinvolgimento. Egli spiega in che modo i “threat hunter” elaborano ipotesi utilizzando approcci basati sui dati, sull’intelligence, sulle entità e sulle TTP, e perché il modello di collaborazione della durata di 12 mesi sia fondamentale per fornire quel valore aggiunto che molti progetti di sicurezza a breve termine potrebbero non garantire. Egli affronta inoltre una domanda che molti professionisti della sicurezza si pongono quando sentono parlare per la prima volta di HuntIQ: questo team sostituirà il mio personale attuale?
Michael illustra inoltre come le funzionalità di raccolta dati in tempo reale di Tanium'e gli strumenti di “hunter” basati su Jupyter Notebook supportino l’intero flusso di lavoro di threat hunting, dall’ipotesi all’analisi fino al rilevamento ripetibile e documentato.
Se il vostro team di sicurezza sta incontrando difficoltà nel trarre il massimo vantaggio dal vostro investimento in Tanium o nel colmare le lacune di visibilità presenti nel vostro ambiente, questo episodio è assolutamente da non perdere. Guardi qui sotto l'episodio completo.
Punti chiave
- I tre componenti di HuntIQ: HuntIQ è costituito dal team di ricerca avanzata Guardian (che produce i dashboard Guardian fornendo al personale dirigenziale e ai team di sicurezza informazioni rilevanti sul proprio patrimonio informatico), dal prodotto per le operazioni di sicurezza Tanium (Direct Response, il prodotto IR , che si sta evolvendo in Security Operations) e da esperti cacciatori di minacce con esperienza sul campo, integrati negli ambienti dei clienti da 12 mesi.
- Il modello di collaborazione della durata di 12 mesi: a differenza degli incarichi a breve termine basati su analisi e reportistica, i “hunters” di HuntIQ dedicano 12 mesi all’approfondimento dei casi d’uso aziendali, dei punti critici e delle capacità dei clienti; questi ultimi citano spesso il supporto alla crescita come fonte fondamentale di valore derivante dal servizio.
«. Una delle cose che non mi piacciono del settore della sicurezza è proprio questo atteggiamento del tipo: “Ehi, pagatemi.” "Entrerò, eseguirò semplicemente una serie di scansioni, Le consegnerò il prodotto e poi me ne andrò, giusto?"Si tratta di un impegno di brevissima durata; ciò che facciamo è completamente diverso.”Tanium Michael Bailey, responsabile del Threat Hunting
- Risultati concreti ottenuti dai clienti grazie alla versione “Private Preview” di “”: le prime implementazioni da parte dei clienti hanno dimostrato la capacità di HuntIQ di individuare attività dannose dei driver — compreso il mining di criptovalute — in ambienti in cui gli strumenti di sicurezza tradizionali presentavano punti ciechi.
“Abbiamo analizzato 46.000 driver relativi a questo singolo cliente e abbiamo individuato 16 driver potenzialmente dannosi. In parte si trattava proprio di attività di mining di criptovalute che veniva svolta all’interno del loro ambiente.”Tanium Michael Bailey, responsabile del Threat Hunting
- Potenziare i team, non sostituirli: i “hunter” di HuntIQ collaborano direttamente con il personale di sicurezza già in servizio, insegnando loro come utilizzare l’API e gli strumenti avanzati di Tanium'e fornendo ai clienti gli strumenti di “hunting” sviluppati dal team, in modo che il valore della collaborazione si estenda ben oltre le singole operazioni di “hunting”.
“Non siamo lì per rubare loro il lavoro. Siamo al loro fianco per sostenerli come parte integrante del loro team.”Tanium Michael Bailey, responsabile del Threat Hunting
- Categorie di ipotesi relative alla ricerca delle minacce: Le attività di ricerca si basano su osservazioni fondate sui dati, flussi di informazioni di intelligence, conoscenze incentrate sull’entità relative a ciò che è più importante per l’organizzazione, TTP (Tactics, Techniques and Procedures) derivanti da minacce persistenti avanzate (APT) o combinazioni ibride di tutti questi elementi; le attività di ricerca incentrate sull’entità sono evidenziate come un fattore chiave di differenziazione, poiché richiedono una profonda familiarità con l’ambiente del cliente.
- Tanium In quanto fonte centrale di visibilità: Tanium, può aiutare le organizzazioni a individuare le lacune nella visibilità endpoint all’interno del proprio stack di sicurezza, convalidando i dati, fornendo risposte alle domande sollevate da altri strumenti e, in alcuni casi, raccogliendo dati che potrebbero non essere stati individuati altrove, tra cui un esempio relativo a un cliente 2023 riguardante un collegamento maligno che non era stato identificato dai controlli esistenti.
- I Jupyter Notebook come strumenti di ricerca: Il team di HuntIQ utilizza i Jupyter Notebook e Python per l’analisi dei dati, creando ricerche ripetibili e documentate che possono essere consegnate direttamente ai clienti e reimmesse nel processo di ingegneri Tanium o per un’eventuale integrazione nel prodotto stesso.
Risorse aggiuntive
- Tanium Threat Response endpoint Funzionalità di rilevamento e risposta: Scoprite il prodotto “ Tanium ”, elemento centrale della componente HuntIQ dedicata alle operazioni di sicurezza, e in particolare come supporti il rilevamento, l’analisi e la risposta in tutto il vostro ambiente endpoint .
- In che modo Tanium HuntIQ offre servizi di ricerca delle minacce guidati da esperti per i team di sicurezza aziendali: Uno sguardo più approfondito a HuntIQ e al modo in cui i cacciatori di minacce esperti di Tanium'collaborano con i team di sicurezza per individuare in modo proattivo le minacce avanzate e rafforzare le operazioni di sicurezza.
- Tanium Threat Response Guida per l'utente 4,12 per il rilevamento, l'analisi e la risposta agli incidenti: Documentazione tecnica che illustra come configurare e utilizzare Tanium Threat Response per la gestione degli avvisi, il rilevamento e l'analisi endpoint .
