Da oltre un decennio mi occupo principalmente di progettare reti sicure, testare i controlli di sicurezza e indagare su violazioni complesse. In ciascuno di questi ruoli, ho avuto difficoltà a individuare strumenti in grado di garantire la visibilità e il controllo su tutti gli endpoint necessari per prevenire, Detect e risolvere in modo più efficace gli incidenti di sicurezza. Ecco perché ero entusiasta — e inizialmente scettico — quando un ex cliente mi ha presentato Tanium. Dopo aver visionato la demo, mi sono subito reso conto della potenza della piattaforma e delle potenziali nuove applicazioni, che risultavano impossibili da realizzare con le soluzioni esistenti. E da quando sono diventato Chief Security Officer presso Tanium, ho potuto constatare da vicino le capacità rivoluzionarie che Tanium offre ai propri clienti — e sono entusiasta di condividere con voi la nostra ultima evoluzione di questa tecnologia.
Tanium Trace (Trace) è il nostro modulo più recente, che potenzia ulteriormente la velocità e la portata della piattaforma Tanium . It enables the agility to conduct immediate and in-depth forensic investigations on a single endpoint, as well as perform accurate enterprise-wide searches based on captured artifacts across millions of endpoints in 15-seconds — what previously took days or weeks. Le organizzazioni che continuano ad affidarsi a tecnologie obsolete, incapaci di garantire tale livello di rapidità e visibilità, si ritroveranno in netto svantaggio rispetto agli autori degli attacchi e saranno maggiormente esposte al rischio di finire sulle prime pagine dei giornali.
Com'è possibile? Trace registra costantemente l'attività dell' endpoint , compresi gli artefatti di sistema che non vengono conservati dai normali meccanismi di registrazione, quali i dettagli delle connessioni di rete di breve durata, gli hash dei processi eseguiti e le operazioni di creazione, eliminazione o modifica di file e chiavi di registro. Trace Esegue inoltre un monitoraggio affidabile a livello di kernel ed è in grado di Detect i rootkit o altre tecniche anti-forensi avanzate impiegate dagli autori degli attacchi per nascondere la propria attività. Grazie a queste informazioni, i team di sicurezza dispongono di un quadro completo delle attività dannose, che in circostanze normali non sarebbe disponibile.
In che modo “ Tanium Trace ” apporta benefici alle organizzazioni
Tenendo conto delle mie esperienze passate nella gestione di gravi violazioni della sicurezza, è evidente che i miei team di risposta agli incidenti avrebbero tratto grande beneficio dalle funzionalità offerte d Trace , e ciò in tre modi distinti.
Trace offre ai clienti la possibilità di Detect attività dannose.
Nel mio precedente ruolo a capo delle operazioni di risposta agli incidenti, ricevevamo continuamente nuove informazioni, spesso denominate “Indicatori di compromissione” (IOC). Allo stesso modo, la maggior parte delle organizzazioni riceve gli IOC da una varietà di fonti e li ricerca utilizzando strumenti diversi. Nella maggior parte dei casi, gli IOC sono semplici (ad esempio MD5, IP, nome file) e le ricerche possono richiedere ore o giorni, qualora tali informazioni siano effettivamente disponibili. Trace modifica questo modello, consentendo alle organizzazioni di effettuare ricerche nei dati registrati su tutti gli endpoint in pochi secondi. Il modulo è inoltre in grado di monitorare costantemente qualsiasi combinazione di indicatori registrati d Trace Utilizzando la piattaforma Tanium , gli avvisi generati da Tanium Trace possono essere impiegati per automatizzare eventi specifici, quali il caricamento di un file su VirusTotal, l’inoltro di informazioni a un SIEM o l’acquisizione di un’istantanea del database Trace ai fini di un’analisi successiva.
Trace può aiutare le organizzazioni a definire l'ambito degli incidenti in modo più accurato e rapido.
Le organizzazioni sono spesso sommerse da avvisi di sicurezza. Di conseguenza, le organizzazioni devono dedicare una notevole quantità di risorse all’analisi degli avvisi oppure scegliere semplicemente di ricostruire tutti i sistemi potenzialmente compromessi. Entrambe sono opzioni indesiderabili. L’analisi di tutti gli incidenti tramite metodi forensi tradizionali può sovraccaricare i team di sicurezza, già molto impegnati, e non consente di ottenere lo stesso livello di dettaglio registrato dall’ Trace. La ricostruzione dei sistemi senza un'analisi approfondita comporta spesso costi superflui, qualora l'allerta iniziale si riveli un falso positivo, oppure impedisce agli analisti di individuare una violazione di portata ben più ampia. Trace fornisce agli analisti l'accesso a una vasta gamma di eventi rilevanti dal punto di vista forense, in modo che le organizzazioni possano valutare correttamente ogni incidente in modo rapido ed esaustivo.
Trace può inoltre aiutare le organizzazioni a risolvere gli incidenti con maggiore precisione ed efficienza.
Una volta definito correttamente l’ambito di un incidente, gli analisti possono avvalersi della piattaforma principale Tanium per avviare azioni correttive volte a ripristinare i sistemi compromessi ed eliminare le tracce dell’attività degli autori dell’attacco. Ciò consente di integrare il processo di analisi e risoluzione, limitando l’impatto sugli utenti finali e il tempo necessario per risolvere un incidente.
Trace rispetta gli stessi principi fondamentali del resto della piattaforma Tanium , compresa la capacità di ottenere una visibilità immediata su centinaia di migliaia di sistemi su larga scala. Di conseguenza, non è necessario implementare hardware o spazio di archiviazione aggiuntivi, indipendentemente dal numero di endpoint. Allo stesso modo, gli utenti di Trace possono continuare a sfruttare tutte le potenzialità della piattaforma Tanium per accedere e effettuare ricerche nei dati registrati dal modulo, in pochi secondi.
Avere accesso a dati così dettagliati, gestiti dalla piattaforma, e la possibilità di effettuare ricerche rapide e su larga scala nelle informazioni contenute avrebbe potuto far risparmiare a me — e ai team che ho guidato — migliaia di ore di indagine. Nelle prossime settimane forniremo ulteriori aggiornamenti su questo modulo, man mano che i nostri clienti continueranno a implementare e utilizzare “ Trace ” in modi nuovi e entusiasmanti.
Se desidera saperne di più su Trace o assistere a una demo della piattaforma Endpoint di Tanium, clicchi qui.
David Damato, Responsabile della sicurezza
Le interessa vedere “ Tanium ” in azione? Fissate un appuntamento con per una dimostrazione individuale oppure partecipate al nostro webinar settimanale. Si rivolga ai nostri esperti di “ Tanium” in occasione dei nostri prossimi eventi “ ”.
