La ricerca delle minacce è una delle attività che richiede il maggior impiego di risorse nel flusso di lavoro delle operazioni di sicurezza. Richiede analisti competenti in grado di formulare un’ipotesi, individuare elementi rilevanti in un contesto di ampie dimensioni, filtrare le informazioni irrilevanti e documentare i risultati in modo che altri possano agire di conseguenza. Tanium 'Il team HuntIQ opera direttamente negli ambienti dei clienti, e Threat Navigator è stato sviluppato proprio sulla base di tali flussi di lavoro reali, trasferendoli nella console Tanium in modo da rendere il processo più rapido, più collaborativo e più ripetibile.
Duncan illustra in dettaglio ciascuna delle tre componenti principali di Threat Navigator: ricerche, ipotesi e tecniche MITRE. Egli illustra come le ricerche utilizzino la sintassi “ IOC ” o “Signal” per interrogare l’ambiente in tempo reale, senza dover distribuire preventivamente le informazioni né attendere l’aggregazione dei log. Egli illustra inoltre come le iterazioni consentano ai cacciatori di filtrare progressivamente i risultati per far emergere ciò che conta davvero, e come le ricerche completate possano essere convertite direttamente in segnali per il rilevamento continuo.
Se gestite le operazioni di threat hunting di o desiderate comprendere in che modo Tanium stia rendendo la sicurezza proattiva più accessibile su scala aziendale, questa puntata illustra i meccanismi specifici di funzionamento di Threat Navigator, dall’identificazione dei singoli risultati all’esportazione di ipotesi da utilizzare in altri strumenti di monitoraggio. Guardi qui sotto l'episodio completo.
Punti chiave
- Progettato sulla base dei flussi di lavoro reali di HuntIQ: Threat Navigator è stato sviluppato in collaborazione con Tanium's HuntIQ hunters, riprendendo i flussi di lavoro che questi utilizzano negli ambienti dei clienti, spesso al di fuori della console, e integrandoli nella console Tanium .
“Si tratta di trasferire i flussi di lavoro che utilizziamo negli ambienti dei clienti, spesso al di fuori della console, e di cercare di integrarli nella console di Tanium.”Tanium Duncan Miller, Senior Threat Hunter
- Le ricerche vengono eseguite nell’intero ambiente senza distribuire preventivamente le informazioni: Utilizzando la sintassi di IOC o Signal, le ricerche vengono eseguite nell’intero ambiente senza distribuire preventivamente le informazioni, senza raccogliere log e senza generare avvisi, rendendole particolarmente adatte alla ricerca proattiva piuttosto che alla generazione di avvisi.
“È possibile utilizzare la sintassi IOC oppure quella di Signal per creare effettivamente una ricerca che copra l’intero ambiente senza dover distribuire preventivamente le informazioni, senza raccogliere i log e senza attendere che questi vengano aggregati.”Tanium Duncan Miller, Senior Threat Hunter
- Le iterazioni restringono progressivamente i risultati: Ogni ricerca attiva salva fino a cinque iterazioni di dati, consentendo agli utenti di escludere i risultati già noti come validi e di rieseguire la ricerca per individuare ciò che conta davvero, con un limite massimo di 10.000 risultati complessivi e fino a 100 risultati per host.
- La funzione “Pinning” consente di conservare i risultati relativi a un determinato momento: Gli utenti possono contrassegnare elementi specifici dai risultati della ricerca per salvarli anche quando tali dati vengono cancellati, conservando così un riferimento relativo a un determinato momento per i risultati significativi che richiedono ulteriori indagini o che sono stati confermati come dannosi. Aggiungendo un elemento ai preferiti, si salva automaticamente anche quella versione.
- Ricerche raggruppate in ipotesi e possibilità di esportazione: Le ipotesi fungono da contenitori per più ricerche correlate e possono essere esportate come file Markdown, fornendo ai ricercatori un riepilogo che possono incollare direttamente in altri strumenti di monitoraggio. È prevista anche l'esportazione in formato PDF.
- La ricerca collaborativa contribuisce allo sviluppo del know-how istituzionale: Poiché la console Tanium memorizza la cronologia delle ricerche e le iterazioni, i membri del team possono riprendere il lavoro da dove altri lo hanno interrotto, creando un ambiente di ricerca collaborativa più in cui tutti i membri del team possono vedere ciò che è stato fatto, individuare elementi interessanti o affinare le ricerche in modo molto più rapido.
- Le ricerche si trasformano rapidamente in processi di rilevamento: . Non appena una ricerca individua un elemento dannoso, è possibile convertire il risultato in un segnale utilizzando il pulsante “Crea segnale”, trasformando così una ricerca una tantum in un processo di rilevamento ripetibile e automatizzato, senza che sia necessario che un operatore esamini i dati ogni volta.
«La caccia è, per sua natura, un’attività costosa.» È necessario che ci sia una persona incaricata di verificare i dati. Dovete capire cosa state osservando. Una volta completata una scansione e individuato un elemento dannoso nel corso di tale scansione, potrei eseguire nuovamente la scansione, ma non dovrebbe essere lo stesso modo in cui ho individuato l’elemento in questione in precedenza, giusto?”Tanium Duncan Miller, Senior Threat Hunter
Risorse aggiuntive
- Tanium Threat Response Per il rilevamento, l’analisi e la risoluzione delle minacce di tipo “ endpoint”: Scoprite come Tanium Threat Response consenta ai team di sicurezza di Detect, analizzare e rispondere alle minacce su ogni endpoint dell’ambiente.
- In che modo HuntIQ offre un servizio di “threat hunting” guidato da esperti: Uno sguardo a come il servizio HuntIQ di Tanium'rafforzi le operazioni di sicurezza grazie a un servizio di “threat hunting” guidato da esperti, progettato per individuare le minacce avanzate prima che possano causare danni.
- Casi d’uso reali relativi al rilevamento con Tanium Threat Response: Il primo di una serie in tre parti dedicata alle modalità con cui i clienti utilizzano Tanium per Detect incidenti, violazioni e infrazioni alla sicurezza, dalla ricerca comportamentale delle minacce e dalla scansione IOC fino all’utilizzo di molteplici fonti di intelligence sulle minacce a livello aziendale.
Tanium'Le dichiarazioni e i contenuti relativi ai propri piani, orientamenti e intenzioni sono soggetti a modifiche senza preavviso, a esclusiva discrezione di Tanium'. Le informazioni riguardanti potenziali prodotti o funzionalità future hanno lo scopo di delineare la direzione generale dei prodotti di Tanium e non dovrebbero essere utilizzate come base per decisioni di acquisto, né sono incorporate in alcun contratto. Non costituisce un impegno, una promessa o un obbligo legale. Lo sviluppo, il rilascio e i tempi di eventuali prodotti o funzionalità future rimangono a esclusiva discrezione di Tanium.
