Con quasi cinque anni di evoluzione alle spalle, Tanium Impact si è affermato come un potente strumento per la visualizzazione e l’interruzione dei movimenti laterali prima che questi si verifichino. In questa puntata, Josh illustra in che modo Impact costruisce un grafico del Suo ambiente utilizzando i dati dei sensori, le relazioni di Active Directory e l’analisi delle sessioni per individuare i rischi legati alle credenziali. Scoprirete come le appartenenze a gruppi annidati, le sessioni esposte e i privilegi configurati in modo errato possano creare vie di accesso invisibili per gli aggressori, e come Impact vi aiuti a individuarle e a risolverle.
Sia che stiate intervenendo in seguito a un incidente o che stiate rafforzando in modo proattivo la sicurezza del vostro ambiente, questa puntata illustra come utilizzare l’ Impact per stabilire le priorità di risoluzione, definire l’estensione dell’impatto e ridurre rapidamente i rischi. Con i nuovi miglioramenti all’interfaccia utente, l’integrazione di , Tanium , Threat Response e , nonché un’anteprima delle prossime funzionalità relative alla chiusura delle sessioni, questa guida pratica è ricca di spunti pratici.
Punti chiave
- Il movimento laterale è una componente di ogni violazione. Tanium Impact Le consente di individuare in modo proattivo quali potrebbero essere le prossime mosse degli aggressori prima ancora che le mettano in atto.
«Ogni singola violazione o compromissione che si verifica comprende una componente di movimento laterale nella catena di attacco. Pertanto, una volta che un avversario si insedia all’interno dell’ambiente, inizia immediatamente a cercare altri punti in cui espandersi.”Tanium Josh Bryant, Direttore della gestione dei prodotti
- Impact crea un grafico del Suo ambiente utilizzando i dati dei sensori di Tanium, la sincronizzazione con Active Directory e l’analisi delle sessioni per mappare l’esposizione e le relazioni di controllo.
- Identificare i rischi legati agli account e ai gruppi annidati nei domini di Active Directory. Impact mette in luce rapporti di controllo diretti e indiretti, comprese appartenenze a gruppi profondamente annidati che possono involontariamente conferire privilegi di amministratore su diversi endpoint.
[Legga anche: Che cos’è la sicurezza di Active Directory? Rischi e buone pratiche]
- Tanium I servizi condivisi “Directory Query” e “Criticality” sono componenti essenziali per l’attuazione dell’ Impact. La funzione “Directory Query” estrae i dati relativi agli oggetti utente, gruppo e computer da AD, mentre la funzione “Criticality” assegna livelli di importanza, denominati “livelli di criticità”, a risorse quali endpoint, utenti e gruppi.
- Utilizzi i livelli di criticità per stabilire le priorità nel triage. Le risorse possono essere classificate come a rischio basso, medio, elevato o critico. Le impostazioni predefinite vengono applicate ai controller di dominio e ai gruppi con privilegi tramite SID ben noti.
- Tra i nuovi miglioramenti dell’interfaccia utente di figurano una visualizzazione a schede denominata “ Findings ”, filtri basati su colonne e un grafico “Shortest Path” che illustra come le credenziali possano essere utilizzate per spostarsi lateralmente.
”Se un malintenzionato dovesse arrivare, ad esempio, a questa pagina principale endpoint , si nota che il traffico in uscita è pari a zero. Ciò significa che da questo punto di partenza non vi è alcun potenziale di spostamento laterale e che possiamo porvi facilmente rimedio.”Tanium Josh Bryant, Direttore della gestione dei prodotti
- Identificare rapidamente gli endpoint durante la risposta agli incidenti di tipo “ ”. Utilizzi l’analisi degli hop in uscita e i grafici visivi per determinare in quali aree un utente compromesso o un’ endpoint e potrebbe spostarsi lateralmente e su quali aspetti concentrare la Sua indagine.
- L'analisi delle sessioni mostra quali utenti dispongono di sessioni attive o inattive sugli endpoint, quali tipi di accesso sono stati utilizzati e se le credenziali sono state esposte.
- Si veda l'impatto dei movimenti laterali sugli avvisi all'indirizzo Tanium Threat Response. Impact Si integra con Threat Response per mostrare fino a che punto un aggressore potrebbe spostarsi dal punto di origine di un allarme, contribuendo a stabilire le priorità nella valutazione e nella risposta.
- Tra le funzionalità di prossima introduzione figurano la chiusura delle sessioni tramite Tanium e l’automazione, che consentono ai team di sicurezza di bloccare immediatamente l’accesso agli account compromessi.
