EDR Questi strumenti – al pari dei prodotti di analisi forense che li hanno preceduti – si adattano a numerosi casi d’uso in cui l’ EPP e risulta insufficiente. Tuttavia, una strategia di endpoint sicurezza efficace che integri soluzioni autonome EDR e EPP consente di far fronte all’ampia gamma di incidenti che si verificano comunemente in qualsiasi ambiente aziendale.
(Immagine: Macedo Media/Pixabay)
Il mercato odierno della sicurezza informatica ( endpoint ) è affollato di soluzioni di protezione degli endpoint (Endpoint Protection Platform, EPP) che offrono alcune funzionalità di rilevamento e risposta agli endpoint (Endpoint Detection and Response, EDR), soluzioni di protezione delle reti ( , EDR ) che offrono alcune funzionalità di protezione delle reti ( EPP ) e soluzioni antivirus “tradizionali” che lottano per mantenere la propria posizione e stare al passo con i nuovi concorrenti. Sebbene il 70% delle organizzazioni preveda di aumentare la spesa per la sicurezza informatica (si apre in una nuova scheda), con endpoint la sicurezza come area prioritaria, il flusso incessante di attacchi recentemente resi noti, unito alle promesse audaci e aggressive dei fornitori, genera incertezza e frustrazione. Questi stessi fattori hanno inoltre ispirato molti prodotti di sicurezza che, a detta di alcuni, compiono scelte di compromesso errate in termini di progettazione e funzionalità, al fine di suscitare un interesse iniziale presso il grande pubblico.
La corsa alla semplificazione della sicurezza dell’ endpoint e — e alla necessità di adattarsi ai limiti architetturali di molti strumenti — ha portato a un ricorso eccessivo alla telemetria forense. Quasi tutti i prodotti in questo settore (tra cui Tanium e Threat Response) offrono una “scatola nera” lato client che registra costantemente gli eventi a livello di sistema operativo: esecuzione dei processi, connessioni di rete, operazioni sui file e così via. Questo tipo di dati può rivelarsi di inestimabile valore sia per indagare a posteriori sugli attacchi, sia per individuare e bloccare attività indesiderate.
Tuttavia, gli endpoint contengono anche innumerevoli altri elementi, che esulano dall’ambito di tale telemetria ma rimangono fondamentali per molte tecniche comuni di rilevamento e risposta. Si consideri la necessità di esaminare i log delle applicazioni decentralizzate (ad esempio, quelli generati dai server web) alla ricerca di uno specifico modello di attacco, oppure di effettuare una ricerca estesa su grandi volumi di dati, quali i file archiviati su disco. Gli strumenti efficaci di “ EDR” combinano l’accesso a livello aziendale ai dati storici di telemetria con le informazioni relative agli stati attuali che sono distribuite tra i vari sistemi.
Nella pratica, ho riscontrato diverse limitazioni comuni nelle funzionalità di “ EDR ” offerte da strumenti sviluppati principalmente per l’ EPP. Il primo si manifesta quando uno strumento di EPP viene implementato in un nuovo ambiente o in un insieme di sistemi che sono già stati compromessi. La telemetria degli endpoint, gli avvisi e i flussi di lavoro basati sulla prevenzione Le sono di aiuto solo in caso di eventi ricorrenti o nuovi. Questi strumenti non sono di aiuto nel caso di fonti di prove esistenti che potrebbero essere conservate in modo nativo dal sistema operativo e dalle applicazioni. Potrebbe essere necessario effettuare ricerche nei registri degli eventi del sistema operativo, in elementi quali i record di Prefetch o in file inattivi creati molto tempo fa. In assenza di tale capacità, è probabile che si valuti in modo errato la portata di un incidente.
Il secondo esempio si verifica quando si analizza un’attività di “ endpoint ” che non ha attivato alcuna regola di prevenzione o di allerta. Molti strumenti di monitoraggio delle operazioni ( EPP ) si concentrano sulla raccolta della cronologia e del contesto relativi a un evento di rilevamento, con il compromesso di conservare dati di telemetria meno dettagliati (o addirittura nessuno) quando tutto sembra procedere normalmente. Ciò è particolarmente comune per i prodotti che si basano sulla centralizzazione di tutti i dati nel cloud, poiché ciò ha un impatto diretto sui loro costi operativi. Tuttavia, ciò può anche limitare la Sua capacità di ricercare o raccogliere in modo adeguato i dati relativi all' endpoint e da sistemi che non hanno generato alcun avviso, specialmente se ha bisogno di ottenere risposte su larga scala in pochi minuti.
EDR Questi strumenti offrono la flessibilità necessaria per adattarsi a numerosi casi d'uso
EDR Questi strumenti – proprio come i prodotti di analisi forense che li hanno preceduti – si adattano a numerosi casi d’uso. Uno strumento di sicurezza " endpoint " flessibile dovrebbe aiutarLa a gestire l'ampia gamma di incidenti che si verificano comunemente in qualsiasi ambiente aziendale. Si considerino i seguenti scenari:
- Casi di abuso o licenziamento di dipendenti - “Quali file ha copiato Jane su unità esterne nell’ultima settimana?”
- Fughe di dati involontarie - “Qualcuno è entrato in possesso di un foglio di calcolo contenente gli stipendi e lo sta diffondendo”. "Individuate tutti i sistemi in cui è presente questo file."
- Attacchi a livello di applicazione - «Questo exploit di Struts lascia traccia di un evento caratteristico nei log del server web. "Individuare tutti i sistemi che contengono quella voce."
- Attacchi alla catena di approvvigionamento del software - “Un editor di testo utilizzato dalla maggior parte dei nostri ingegneri è appena stato colpito da un aggiornamento dannoso che nessun prodotto anti-malware è in grado di Detect. “Chi ne è stato colpito e si sono verificate attività successive all’infezione?”
- Risoluzione dei problemi - “Il team IT sospetta che un’applicazione di terze parti stia causando i BSOD.” "Individuate tutti i sistemi che presentano file di crash-dump e accertate se vi sia una correlazione."
La maggior parte dei prodotti “ EPP ” non è stata progettata con la flessibilità necessaria per gestire questo tipo di incidenti. Sono progettati per bloccare specifiche categorie di exploit, file binari dannosi o attività post-compromissione a livello di sistema operativo.
Restringere il campo dei dati raccolti e analizzati può inoltre impedirLe di individuare le tecniche di attacco emergenti, che gli strumenti incentrati sulla prevenzione non sono ancora in grado di bloccare in modo affidabile. I vostri operatori di primo intervento potrebbero dover lavorare con eventi ad alta fedeltà, ma il vostro team di risposta agli incidenti informatici (CIRT) e il team di hunting devono essere in grado di cercare e analizzare i dati completi provenienti da un sistema di gestione degli eventi e delle informazioni ( endpoint ), non solo quelli contrassegnati come sospetti. Ciò consente loro di definire un quadro di riferimento delle attività tra gruppi di computer e utenti, individuare nuovi tipi di anomalie e mettere a punto nuovi meccanismi di rilevamento che potranno essere automatizzati in futuro.
Gli intrusi continuano a perfezionare le loro tecniche operative
L’evoluzione degli attacchi basati sull’ PowerShelle ne costituisce un ottimo esempio. Gli intrusi hanno affinato le proprie tecniche, passando dall’esecuzione di script dannosi a vari metodi, tra cui comandi “one-liner” che trasmettono il codice dello script tramite argomenti, tecniche occulte che utilizzano il framework di automazione PowerShell per evitare l’esecuzione della shell e l’offuscamento per eludere il rilevamento basato su parole chiave. Il bypass dei controlli delle applicazioni tramite l’utilizzo di .NET e di altri interpreti di codice nativo costituisce un altro esempio di un settore in rapida evoluzione nella ricerca sugli attacchi, in cui gli strumenti di “ EPP” faticano a tenere il passo in modo affidabile . Se la vostra strategia di sicurezza relativa all’ endpoint e si basa su regole di prevenzione di tipo “black-box” orientate al minimo comune denominatore, sarete costantemente un passo indietro rispetto alle nuove tecniche di attacco.
Infine, l’efficacia di qualsiasi soluzione di sicurezza incentrata sulla prevenzione dipende dal suo grado di copertura – e dalla sua capacità di mantenere uno stato operativo e una configurazione ottimali – in tutto l’ambiente. Molte organizzazioni hanno ancora difficoltà a garantire che la propria suite completa di strumenti di endpoint sia pienamente implementata su tutti i sistemi. Tanium Si riscontra comunemente che, in media, il 20% dei sistemi non sia gestito in modo adeguato a causa di problemi quali la mancanza di strumenti o il loro malfunzionamento.
Inoltre, molte organizzazioni scelgono di “ridimensionare” i propri prodotti anti-malware per gestire i falsi positivi. Le funzionalità di prevenzione si trasformano così in funzionalità di rilevamento che generano avvisi che vengono sistematicamente ignorati – e che, di conseguenza, determinano un aumento dei punti ciechi. Una soluzione di sicurezza efficace di tipo “ endpoint ” dovrebbe garantire la visibilità e il controllo fondamentali necessari per massimizzare la copertura e l’utilizzo dei prodotti anti-malware, nonché di altri controlli quali le patch e le impostazioni di sicurezza “rinforzate”.
L’evoluzione del settore dei prodotti “ EPP ” (gestione automatizzata delle minacce) nell’ambito più ampio dell’ EDR è una conseguenza naturale dei continui sforzi volti ad automatizzare e semplificare le funzioni di sicurezza che in precedenza richiedevano conoscenze avanzate e specialistiche. Tuttavia, la sua comparsa non elimina molte delle problematiche fondamentali relative alla sicurezza endpoint che continuano ad affliggere la maggior parte delle aziende, né sostituisce o rende obsoleti molti dei casi d’uso principali che hanno dato origine al mercato EDR in primo luogo. Man mano che le organizzazioni continuano a investire nelle tecnologie di tipo “ endpoint ”, dovrebbero cercare di bilanciare il proprio portafoglio con soluzioni in grado di coprire un’ampia gamma di sfide in materia di sicurezza e, in ultima analisi, di affrontare la causa alla radice degli incidenti che incidono sulla loro attività.
Avete domande? Abbiamo le risposte. Partecipi oggi stesso alla conversazione ed entri in contatto con i Suoi colleghi e con gli esperti tecnici di Tanium nella nostra comunità di utenti Tanium.
Le interessa vedere “ Tanium ” in azione? Fissate un appuntamento con per una dimostrazione individuale oppure partecipate al nostro webinar settimanale. Si rivolga ai nostri esperti di “ Tanium” in occasione dei nostri prossimi eventi “ ”.
Informazioni sull’autore: Nel suo ruolo di Chief Security Architect presso Tanium , Ryan Kazanciyan vanta oltre 14 anni di esperienza nei settori della risposta agli incidenti, dell’analisi forense e dei test di penetrazione. Ryan supervisiona la progettazione e la roadmap delle soluzioni " Threat Response " di Tanium e dirige il team "Endpoint Detection and Response" (EDR) di Tanium . Prima di entrare a far parte di Tanium, Ryan ha coordinato le attività di indagine e risoluzione dei problemi presso Mandiant , collaborando con decine di organizzazioni incluse nella classifica Fortune 500 che erano state oggetto di attacchi mirati. Ryan ha formato centinaia di esperti nella gestione degli incidenti in qualità di istruttore per Black Hat e per la squadra informatica dell’FBI. È uno degli autori del volume “Incident Response and Computer Forensics, 3ª edizione” (McGraw-Hill, 2014). Ryan lavora inoltre come consulente tecnico per la serie televisiva “Mr. Robot”, dove collabora con gli sceneggiatori e il team di produzione per ideare gli attacchi informatici rappresentati nella serie.
