Come utilizzare Tanium per rispondere alla direttiva PSPF australiana 002-2024 (Inventario tecnologico)

Il 8 luglio 2024, la segretaria agli Affari interni australiana Stephanie Foster ha emanato una serie di direttive formali ai sensi del Quadro di riferimento per la politica di sicurezza protettiva (PSPF) , con cui ha incaricato ciascun ente del governo federale di individuare e mitigare i potenziali rischi informatici, alla luce delle crescenti preoccupazioni relative alle interferenze straniere.

Le tre direttive obbligatorie impongono agli enti governativi australiani di:

1. Individuare gli indicatori i del rischio di proprietà, controllo o influenza straniera in relazione all’approvvigionamento e alla manutenzione delle risorse tecnologiche e gestire e segnalare adeguatamente tali rischi
2. Effettuare un’analisi dello stato delle risorse tecnologiche relative all’ e su tutti i sistemi o servizi esposti a Internet, al fine di identificare e gestire attivamente i rischi associati alle tecnologie vulnerabili da essi gestite, comprese quelle gestite per conto di altri soggetti
3. Partecipare al Programma di partenariato per la sicurezza informatica dell’Australian Signals Directorate e, per coloro che utilizzano piattaforme di condivisione delle informazioni sulle minacce, condividere informazioni relative alle minacce informatiche con l’Australian Signals Directorate

In che modo “ Tanium ” può esservi d’aiuto

Tanium è una potente piattaforma di gestione in tempo reale endpoint che garantisce visibilità e controllo in tempo reale degli ambienti IT. Tanium offre un’ampia gamma di competenze, tra cui le seguenti aree funzionali, che sono direttamente attinenti agli obiettivi della Direttiva 002-2024 della PSPF.

• Individuazione delle risorse: Si tratta di un’attività fondamentale, essenziale affinché qualsiasi approccio gestionale e di sicurezza risulti efficace. È inoltre fondamentale comprendere se e dove si trovino all’interno della vostra rete interna le risorse e i servizi ad alto rischio.
• Migliorare gli standard di cyberigiene di : La visibilità e il controllo in tempo reale fanno la differenza in questo ambito; è come accendere una luce nel proprio ambiente. Questa attività è estremamente importante in quanto riduce e, in ultima analisi, elimina la superficie di attacco che gli avversari cercano di sfruttare per accedere al vostro ambiente.
• per la ricerca e l’individuazione: Se un avversario è riuscito a infiltrarsi nel Suo ambiente, è importante individuarlo rapidamente prima che riesca a radicarsi più profondamente e a mettere in atto eventuali azioni malevole.
• per la risposta agli incidenti: Una volta individuata una violazione, la priorità passa quindi alle indagini volte a valutarne la portata, alla raccolta di tutte le prove rilevanti, alla messa in quarantena degli endpoint coinvolti ai fini del contenimento e, infine, alla bonifica per espellere l’intruso e annullare le sue attività compiute fino a quel momento.

Gli approcci innovativi di Tanium alla Direzione 002-2024 del PSPF

Discover tutti i beni (conoscere il proprio patrimonio)

• Sfruttate la scansione distribuita e centralizzata per individuare le risorse appena collegate in pochi minuti
• Identificare e classificare i produttori di dispositivi (compresi quelli stranieri o di altro tipo)
• Inserite nel portafoglio quei patrimoni che possono essere gestiti. Una volta che il processo è in fase di gestione, potrete:
  • Acquisisca una visione incentrata sull’ endpointe della rete di processi, porte e connessioni (origini e destinazioni)
  • Indicare tutte le applicazioni software (fornitori, nomi, versioni e modalità di utilizzo)
  • Utilizzi la soluzione “ ” per la distinta base del software (SBOM) per individuare i componenti software sottostanti e gestire i rischi della catena di approvvigionamento

Perché “ Tanium”? Tanium include una funzionalità di rilevamento integrata in grado di individuare in modo estremamente efficiente tutte le risorse connesse tramite IP presenti sulla rete. È quindi possibile effettuare ricerche in tempo reale sui beni gestiti nell’intero parco tecnologico, al fine di garantire una visione continua e aggiornata dello stato di tutti gli aspetti relativi all’hardware e al software. L'analisi delle connessioni di rete attuali (e storiche) degli endpoint gestiti offre una visione unica delle modalità con cui le risorse sospette o di interesse potrebbero interagire all'interno dell'ambiente e, in ultima analisi, contribuisce all'identificazione e alla valutazione della loro legittimità.

Igiene (ridurre la superficie di attacco per impedire agli aggressori di penetrare nel sistema)

• Visibilità e controllo in tempo reale dell'intero parco informatico
• Standardizzazione:
  
  • Non dovrebbero esserci molte versioni della stessa applicazione (ad esempio, 15 versioni di Chrome o di Firefox in tutto l’ambiente informatico)
  • Non dovrebbero esserci valori anomali isolati, quali scostamenti rispetto a un valore di riferimento noto (ad esempio, una versione specifica di Chrome o Firefox presente solo su un endpoint)
• Rimuovere i programmi che non vengono utilizzati
• Applicazione di patch al sistema operativo e alle applicazioni di terze parti (oltre all’individuazione e alla risoluzione delle vulnerabilità)
• Vulnerabilità “zero-day” (comprendere l’esposizione in tempo reale e agire immediatamente per attuare misure di mitigazione)
• Comprendere e individuare le vulnerabilità della catena di approvvigionamento dell’

Perché “ Tanium”? Tanium può fornire un quadro completo, aggiornato e accurato dello stato attuale dell'ambiente. Qualsiasi informazione reperibile da un singolo endpoint può essere interrogata in tempo reale nell'intero ambiente IT. Ciò consente di individuare chiaramente le deviazioni e i valori anomali rispetto a una linea di riferimento standard. Una volta individuate, le anomalie possono essere risolte tempestivamente all’interno di Tanium per garantire il rispetto degli standard. Anche le funzioni di applicazione delle patch e di gestione delle vulnerabilità traggono vantaggio dall’accesso in tempo reale agli endpoint, consentendo di massimizzare la conformità e di ridurre in modo significativo la superficie di attacco.

Hunting (ricerca di prove che indichino la presenza di aggressori all’interno del sistema)

• Visualizzazione in tempo reale di driver, DLL, processi, hash dei file, connessioni di rete, queryDNS e modifiche al Registro di sistema (come il rilevamento della presenza di eventuali set di caratteri internazionali)
• Approfondimento sulle fasi “ ” del modello MITRE ATT&CK: persistenza, movimento laterale e altro ancora (le domande di ricerca relative a questi argomenti sono fornite direttamente da Tanium)
• Analisi dei valori anomali (ad esempio, hash o DLL di scvhost.exe non ricorrenti)

Perché “ Tanium”? Tanium'L'accesso in tempo reale agli endpoint consente ai Threat Hunter di effettuare ricerche sia a livello generale nell'intero ambiente, alla ricerca di elementi e attività di interesse, sia in modo approfondito all'interno degli endpoint per ottenere dettagli altamente specifici. Il livello di visibilità è elevato e garantisce che un avversario non abbia alcun modo di nascondere la propria presenza.

Rilevamento (individuare gli autori di attacchi già all’opera)

• IntelRilevamento basato su: Tanium Segnali/IOCs/YARA regole
• Sfruttare i segnali di Tanium per monitorare in tempo reale l’attività di Detect (ad esempio, l’implementazione e l’utilizzo di web shell)

Perché “ Tanium”? Tanium I segnali costituiscono un potente meccanismo di intelligence che consente l’identificazione efficiente e in tempo reale delle attività che si verificano sugli endpoint. Sebbene molti segnali siano stati definiti da Tanium e vengano inseriti in modo nativo nell’ Tanium Platform, la possibilità per gli operatori di ottimizzare e creare facilmente nuovi segnali consente alle organizzazioni di essere agili e di adattarsi rapidamente alle nuove minacce.

Risposta agli incidenti (individuazione, contenimento e neutralizzazione)

• Analizzare gli avvisi (cronologia completa del processo, sequenza temporale e origine)
• Raccogliere prove (elementi di prova forense, dump di memoria e altro ancora)
• Punti finali di quarantena (mantenendo le funzionalità di gestione)
• Adottare misure correttive (orientarsi verso azioni basate su linee guida e ad hoc)

Perché “ Tanium”? Tanium offre funzionalità di risposta agli incidenti tra le migliori del settore. Una volta individuate le minacce, Tanium offre la possibilità di agire immediatamente e porre domande di approfondimento su tutto l’ambiente per verificare se altri endpoint siano stati compromessi. Le prove forensi possono essere facilmente recuperate e archiviate, il che consente di attuare misure di contenimento, quali la messa in quarantena, senza ostacolare le attività investigative. La capacità di eseguire azioni ad hoc o basate su criteri prestabiliti in tutto l’ambiente garantisce agli operatori la possibilità di intraprendere azioni difensive e di contrastare un’intrusione.