Una breve storia
Guardando indietro al 2015, è difficile negare che il settore della sicurezza sia stato invaso da prodotti di rilevamento e risposta agli endpoint (EDREndpoint Detection and Response, ). . Basta fare un giro nell’area dedicata agli sponsor di qualsiasi conferenza o dare un’occhiata ai white paper e alle presentazioni di marketing presenti sui siti web dei vari fornitori per notare che le stesse affermazioni vengono ripetute all’infinito: “Prevenire, rilevare e reagire” su “scala aziendale” e in “tempo reale”. Aggiungete, per buona misura, i riferimenti d’obbligo a “rilevamento delle anomalie”, “informazioni sulle minacce” e “APT”.
Non c’è da stupirsi che così tante organizzazioni abbiano difficoltà a restringere la rosa dei candidati e a valutare i fornitori. Le richieste di proposte generano risposte vaghe o esagerate. Le dimostrazioni e i piccoli laboratori di verifica del concetto, con scenari di intrusione simulati, possono far apparire efficace qualsiasi prodotto. Come qualsiasi soluzione aziendale, gli strumenti di “ EDR ” rivelano inevitabilmente i propri veri punti di forza e di debolezza nel corso del tempo, e solo una volta implementati appieno in reti reali, complesse e disordinate.
Il mio ruolo presso Tanium potrebbe impedirmi di rivendicare un punto di vista realmente indipendente dai fornitori; tuttavia, avendo trascorso oltre un decennio come consulente occupandomi di valutazioni di sicurezza, indagini sulla risposta agli incidenti e interventi correttivi, cerco costantemente di tenere presenti i criteri che avrebbero avuto maggiore importanza per me in qualità di professionista.
Vorrei soffermarmi in questa sede su tre caratteristiche fondamentali che influenzano l’efficacia di qualsiasi soluzione di EDR : l’ampiezza dei dati forniti, le prestazioni e la scalabilità, nonché la flessibilità.
Quale gamma di dati offre la soluzione?
La portata e l’attualità dei dati che un prodotto endpoint è in grado di ricercare, analizzare o raccogliere costituiscono il fulcro assoluto delle sue funzionalità. Ormai quasi tutti i prodotti di tipo “ EDR ” sostengono di offrire una “ricerca a livello aziendale”, ma la domanda fondamentale è: “Di quali informazioni?” Molte soluzioni comportano compromessi significativi in termini di volume dei dati disponibili, al fine di migliorare la scalabilità o le prestazioni. Immaginate se Google consentisse agli utenti di effettuare ricerche solo nei contenuti dei siti che ha indicizzato negli ultimi 30 giorni; oppure, al contrario, se offrisse un arco temporale di ricerca illimitato, ma solo all’interno del tag del titolo delle pagine web più popolari?
I dati relativi agli endpoint possono essere suddivisi, in linea di massima, in due categorie: dati storici e dati relativi allo stato attuale. Perché sono entrambi importanti? I prodotti che registrano in modo continuo dati di telemetria relativi all’ endpoint , quali operazioni di I/O sui file, connessioni di rete, esecuzione dei processi, eventi di accesso o modifiche al Registro di sistema, hanno acquisito sempre maggiore popolarità nell’ambito del rilevamento e della risposta agli incidenti. Come ho già scritto nel mio blog in occasione del lancio di Tanium Trace, questa funzionalità è in grado di accelerare e semplificare il lavoro necessario per valutare un lead, generare avvisi o effettuare indagini su un sistema. Conserva e arricchisce i dati che altrimenti potrebbero andare persi a causa di lacune nelle prove forensi e riduce la frequenza del recupero dei dati necessaria per identificare e conservare eventi di breve durata.
Tuttavia, affidarsi esclusivamente a una finestra mobile di dati storici comporta notevoli limitazioni — in particolare quando si effettuano ricerche su larga scala. Tali soluzioni limitano sia il periodo di conservazione dei dati sia l’ampiezza dei dati disponibili per la generazione di avvisi e l’analisi. Se non è registrato, non è possibile trovarlo.
A integrazione di questa visione più circoscritta delle informazioni, un’efficace individuazione e risposta agli incidenti richiede inoltre l’accesso su richiesta ai dati relativi allo stato attuale di tutti i sistemi. Ciò significa avere la capacità di individuare o raccogliere artefatti volatili che si stanno verificando in questo momento. Ci sono innumerevoli esempi che ho riscontrato nel corso delle indagini: su quale sistema è attualmente connesso un account amministratore locale compromesso? Quali sistemi presentano attualmente una DLL dannosa caricata in memoria?
I dati relativi allo stato attuale comprendono anche artefatti latenti che non hanno subito modifiche recenti o che non rientravano nell’ambito della conservazione storica, ma che potrebbero rivelarsi fondamentali per definire l’ambito di un incidente. Si consideri la necessità di effettuare ricerche in tutto l’ambiente alla ricerca di qualsiasi tipo di file “inattivi” in base al nome o all’hash; di un valore del Registro di sistema che non viene modificato da un anno; oppure di un artefatto forense più complesso, come i dati presenti nel repository WMI. E se dovesse essere necessario installare la soluzione dopo che i sistemi sono già stati compromessi? Lavorare con una base di dati limitata comporta inevitabilmente la presenza di punti ciechi e vicoli ciechi nelle indagini.
Quali sono le prestazioni e la scalabilità della soluzione?
Quasi tutti i fornitori di soluzioni di gestione delle risorse aziendali ( EDR ) promettono una qualche variante di velocità “in tempo reale” in grado di scalare fino a “decine di migliaia” di endpoint. Nella pratica, purtroppo, è facile che argomentazioni ingegnose servano a mascherare le reali limitazioni di un prodotto in termini di prestazioni e scalabilità, soprattutto se il processo di valutazione si limita a piccoli laboratori di prova. In che modo un’organizzazione può assicurarsi che un prodotto EDR sia in grado di funzionare in modo adeguato alle proprie esigenze? La chiave sta nell’adottare un approccio più olistico nella valutazione della velocità e della portata.
In primo luogo, si considerino le modalità di interazione offerte dalla soluzione. I flussi di lavoro passivi comprendono la ricerca ad hoc (“Dove si trova questo hash?”), il rilevamento e la segnalazione (“Si è verificato un evento ‘ IOC ’ o è stata attivata una regola?”) e la raccolta di dati per l’analisi delle anomalie (“Ottenere tutti i processi avviati automaticamente, raggruppati in base alla frequenza di occorrenza.”) I flussi di lavoro attivi comportano l’intervento sui sistemi, che si tratti di applicare una quarantena, terminare un processo, rimuovere malware o correggere una vulnerabilità di configurazione.
Successivamente, sovrapponga l’ambito dei dati messi a disposizione per ciascuna di queste modalità di interazione. Comprende i dati storici relativi all’attività? Attività attuale? File latenti o altri artefatti in stato di riposo? Infine, valutate le prestazioni e la scalabilità della soluzione in base a ciascuna di queste serie di criteri. Alcune soluzioni possono garantire l’accesso a livello aziendale a una serie di dati storici, ma non sono in grado di gestire facilmente i dati attuali o latenti su larga scala (e viceversa). Le query o le operazioni richiedono pochi secondi per alcune attività e ore per altre?
Le organizzazioni dovrebbero inoltre valutare l'impatto infrastrutturale e i costi sostenuti per gestire la soluzione al livello desiderato di prestazioni e scalabilità. Nel caso delle soluzioni on-premises che si espandono orizzontalmente, i costi di manutenzione aumentano e l’efficacia diminuisce nel tempo. Un numero maggiore di server comporta un maggior numero di punti di guasto, nonché la necessità di riprogettare l’architettura e bilanciare l’utilizzo delle risorse man mano che gli ambienti si espandono.
Al contrario, le soluzioni basate sul cloud devono gestire il volume dei dati trasmessi tramite Internet. Ciò comporta il ricorso a meccanismi di filtraggio e di attivazione lato client che possono limitare la portata dei dati dell’ endpoint i disponibili su richiesta o a posteriori. A seconda dei casi d’uso della vostra organizzazione, tali concessioni potrebbero risultare inaccettabili.
Quanto è flessibile la piattaforma?
Abbiamo già sottolineato che l’ IR e richiede un accesso rapido e scalabile a un’ampia gamma di dati endpoint . Ogni strumento di analisi delle informazioni ( EDR ) è in grado di operare con le prove forensi “fondamentali”: attività dei processi, metadati del file system, connessioni di rete, attività degli account, artefatti specifici del sistema operativo come il registro di Windows e così via. Tuttavia, proprio come le tecniche degli autori degli attacchi si evolvono rapidamente, così fanno anche le fonti di prove introdotte dai nuovi aggiornamenti dei sistemi operativi, dalle applicazioni o dalle scoperte dei ricercatori. La flessibilità di una soluzione “ EDR ” influisce direttamente sulla rapidità con cui è in grado di integrare queste nuove scoperte.
Quando si confrontano i prodotti, molte organizzazioni si limitano a richiedere un elenco delle caratteristiche e delle funzionalità. Le suggerirei di approfondire ulteriormente la questione per comprendere in che modo il prodotto sia stato aggiornato in passato e come sia destinato a continuare a evolversi. Ciò può comportare la valutazione dei seguenti aspetti:
- Chieda di consultare il registro delle modifiche del prodotto relativo all’ultimo anno per valutare il ritmo di sviluppo. Quali tipi di nuove funzionalità sono state aggiunte — e con quale rapidità?
- Si valuti come è stato progettato il software e se tale progettazione consenta di integrare facilmente nuove fonti di dati o di interagire con gli endpoint in modi innovativi. Quanto controllo hanno i clienti? In quali casi è necessario un aggiornamento dell’agente fornito dal produttore?
- Qual è lo stato dell’ Communitye utente? Esistono altri clienti che condividono funzionalità che vanno oltre quelle “predefinite”?
Infine, vi invitiamo a valutare in che misura il prodotto risponda pienamente alla componente “Risposta” del modello “EDR”. Le funzionalità di correzione tattica, quali l’interruzione di un processo o l’isolamento di un dispositivo in rete, sono comuni alla maggior parte degli strumenti in questo ambito (sebbene possano differire in termini di portata o capacità di coordinare tali azioni). Ma altrettanto importante — e spesso trascurato — è verificare se la soluzione sia effettivamente in grado di proteggere i sistemi, integrare altri controlli preventivi e ridurre la superficie di attacco dell’ endpoint . Le funzionalità chiave in questo ambito comprendono l’applicazione di controlli su ciò che è consentito eseguire o comunicare attraverso la rete, la valutazione e il rafforzamento delle impostazioni di configurazione di sicurezza, nonché il mantenimento dei livelli di patch per il sistema operativo e le applicazioni di terze parti. In parole povere, se una soluzione di “ EDR ” si limita a migliorare la vostra capacità di individuare e rispondere rapidamente agli attacchi, in realtà non rende la vostra organizzazione più resiliente — non vi aiuta a uscire dal circolo vizioso delle ricompromissioni.
Testare, acquistare e integrare qualsiasi software aziendale non è mai un compito facile. Inoltre, ogni iterazione del processo di sostituzione totale di un prodotto che non ha soddisfatto le aspettative comporta rischi operativi e spese significativi. Nel valutare una soluzione di EDR , mi auguro che alcuni dei punti illustrati in questo articolo del blog possano aiutare la vostra organizzazione a definire una serie adeguata di criteri di valutazione per individuare il prodotto più adatto alle vostre esigenze.
Ryan Kazanciyan, responsabile della progettazione della sicurezza
Le interessa vedere “ Tanium ” in azione? Fissate un appuntamento con per una dimostrazione individuale oppure partecipate al nostro webinar settimanale. Si rivolga ai nostri esperti di “ Tanium” in occasione dei nostri prossimi eventi “ ”.
