Con quasi cinque anni di evoluzione alle spalle, Tanium Impact è diventato un potente strumento per visualizzare e interrompere il movimento laterale prima che si verifichi. In questo episodio, Josh illustra come Impact crea un grafico dell'ambiente utilizzando i dati dei sensori, le relazioni di Active Directory e l'analisi delle sessioni per esporre il rischio basato sulle credenziali. Vedrai come le appartenenze a gruppi nidificati, le sessioni esposte e i privilegi configurati in modo errato possono creare percorsi invisibili per gli aggressori e come Impact ti aiuta a trovarli e risolverli.
Sia che tu stia rispondendo a un incidente o che stia rafforzando in modo proattivo il tuo ambiente, questo episodio mostra come utilizzare Impact per dare priorità alla correzione, al raggio di azione e ridurre rapidamente i rischi. Con i nuovi miglioramenti dell’interfaccia utente, l’integrazione di Tanium Threat Response e un’anteprima delle prossime funzionalità di terminazione della sessione, questa guida è ricca di informazioni utili.
Punti chiave da ricordare
- Il movimento laterale è una componente di ogni violazione. Tanium Impact ti aiuta a identificare in modo proattivo dove gli aggressori potrebbero andare dopo prima di arrivarci.
Ogni singola violazione o compromissione che si verifica include una componente di movimento laterale nella catena di attacco. Quindi, una volta che un avversario atterra all'interno dell'ambiente, inizia immediatamente a cercare dove altro possono diffondersi. "Tanium Direttore della gestione prodotti Josh Bryant
- Impact crea un grafico dell'ambiente utilizzando i dati del sensore Tanium, la sincronizzazione di Active Directory e l'analisi della sessione per mappare l'esposizione e le relazioni di controllo.
- Identificare gli account nidificati e i gruppi di rischio nei domini Active Directory. Impact rivela relazioni di controllo dirette e indirette, comprese appartenenze a gruppi nidificati che possono involontariamente concedere privilegi di amministratore tra gli endpoint.
[Leggi anche: Cos'è la sicurezza di Active Directory? Rischi e best practice]
- Tanium Directory Query e servizi condivisi di criticità sono componenti essenziali per abilitare Impact. Query di directory estrae i dati di utenti, gruppi e oggetti del computer da AD, mentre la criticità assegna livelli di importanza, chiamati livelli di criticità, a risorse come endpoint, utenti e gruppi.
- Utilizzare i livelli di criticità per assegnare priorità al triage. Le risorse possono essere contrassegnate come bassa, media, alta o critica. I valori predefiniti vengono applicati ai controller di dominio e ai gruppi privilegiati che utilizzano SID noti.
- I nuovi miglioramenti dell'interfaccia utente includono una vista Findings a schede, filtri basati su colonne e un grafico Percorso più breve che visualizza come le credenziali possono essere utilizzate per spostarsi lateralmente.
“Se un attaccante atterra, diciamo, su questo endpoint superiore, vediamo che l’uscita è zero. Ciò significa che non c’è potenziale di movimento laterale da questo punto di partenza, e possiamo facilmente rimediare. “Tanium Direttore della gestione prodotti Josh Bryant
- Inquadra rapidamente gli endpoint durante la risposta agli incidenti. Utilizza l’analisi degli hop in uscita e i grafici visivi per determinare dove un utente o un endpoint compromesso potrebbe spostarsi lateralmente e dove concentrare l’indagine.
- L'analisi della sessione mostra quali utenti hanno sessioni attive o inattive sugli endpoint , quali tipi di accesso sono stati utilizzati e se le credenziali sono esposte.
- Guarda l’impatto del movimento laterale sugli avvisi in Tanium Threat Response. Impact si integra con la Threat Response per mostrare la distanza che un aggressore potrebbe raggiungere dal punto di origine di un avviso, aiutando a stabilire le priorità di triage e risposta.
- Le prossime funzionalità includono la chiusura della sessione tramite Tanium Automate, che consente ai team di sicurezza di interrompere immediatamente l’accesso agli account compromessi.
