La caccia alle minacce è una delle attività più ricche di risorse in un flusso di lavoro delle operazioni di sicurezza. Richiede analisti esperti in grado di formulare un'ipotesi, cercare artefatti in un ambiente di grandi dimensioni, filtrare il rumore e documentare i risultati in un modo su cui altri possono agire. Tanium Il team HuntIQ di lavora in modo pratico negli ambienti dei clienti e Threat Navigator è stato creato direttamente da questi flussi di lavoro reali, spostandoli nella console Tanium in modo che il processo diventi più veloce, più collaborativo e più ripetibile.
Duncan illustra ciascuno dei tre componenti principali di Threat Navigator: ricerche, ipotesi e tecniche MITRE. Dimostra come le ricerche utilizzano la sintassi IOC o Signal per interrogare l'ambiente in tempo reale senza pre-distribuzione delle informazioni o in attesa di aggregazione dei registri. Mostra anche come le iterazioni consentono ai cacciatori di filtrare progressivamente i risultati per far emergere ciò che conta davvero e come le battute di caccia completate possono essere convertite direttamente in segnali per il rilevamento continuo.
Se gestisci le operazioni di ricerca delle minacce o vuoi capire come Tanium sta rendendo la sicurezza proattiva più accessibile su scala aziendale, questo episodio copre le meccaniche specifiche di funzionamento di Threat Navigator, dall'appuntamento di singoli risultati all'esportazione di ipotesi da utilizzare in altri strumenti di monitoraggio. Guarda l'episodio completo qui sotto.
Punti chiave da ricordare
- Progettato da veri flussi di lavoro HuntIQ : Threat Navigator è stato creato in collaborazione con i cacciatori HuntIQ di Tanium, portando i flussi di lavoro che utilizzano negli ambienti dei clienti, spesso al di fuori della console, e spostandoli nella console Tanium .
“Questo sta portando i nostri flussi di lavoro che usiamo negli ambienti dei clienti, spesso al di fuori della console, e stiamo cercando di spostarli nella console Tanium”.Tanium Cacciatore di minacce senior Duncan Miller
- Le ricerche vengono eseguite in tutto l'ambiente senza pre-distribuzione delle informazioni: utilizzando la sintassi IOC o segnale, le ricerche vengono eseguite in tutto l'ambiente senza pre-distribuzione delle informazioni, senza raccogliere registri e senza generare avvisi, rendendole adatte per la caccia piuttosto che per l'avviso.
Puoi usare la sintassi IOC, puoi usare la sintassi del segnale per costruire effettivamente una ricerca che attraverserà l'intero ambiente senza pre-distribuzione delle informazioni, senza raccogliere registri, in attesa che quelli si aggreghino.Tanium Cacciatore di minacce senior Duncan Miller
- Iterazioni progressivamente ristrette : ogni ricerca attiva salva fino a cinque iterazioni di dati, consentendo ai cacciatori di escludere risultati noti e di rieseguire la ricerca per far emergere ciò che conta davvero, con risultati limitati a 10.000 totali e fino a 100 risultati per host.
- Pinning conserva i risultati point -in-time: i cacciatori possono individuare elementi specifici dai risultati di ricerca per salvarli anche quando quei dati vengono cancellati, preservando un riferimento point-in-time di risultati significativi che necessitano di ulteriori indagini o che sono stati confermati come dannosi. L'apposizione di un elemento salva automaticamente anche l'iterazione.
- Ipotesi ricerche di gruppo e abilita l'esportazione : le ipotesi fungono da contenitori per più ricerche correlate e possono essere esportate come file di markdown, dando ai cacciatori un riepilogo che possono incollare direttamente in altri strumenti di tracciamento. È prevista anche l'esportazione di PDF.
- Poiché la console Tanium memorizza la cronologia delle ricerche e le iterazioni, i membri del team possono riprendere da dove gli altri hanno interrotto, creando un ambiente di caccia più collaborativo in cui tutti i membri del team possono vedere cosa è stato fatto e trovare artefatti interessanti o perfezionare le ricerche molto più velocemente.
- Una volta che una caccia trova qualcosa di dannoso, la ricerca può essere convertita in un segnale utilizzando il pulsante di creazione del segnale, trasformando una caccia una tantum in un rilevamento ripetibile e automatizzato senza richiedere a una persona di rivedere i dati ogni volta.
"La caccia è un'attività costosa fondamentalmente. Devi avere una persona che riveda i dati. Devi capire cosa stai guardando. Una volta che ho completato una caccia, e ho trovato qualcosa di malevolo in quella caccia, potrei eseguire di nuovo la caccia, ma non dovrebbe essere come sto trovando la cosa che ho trovato in precedenza, giusto?Tanium Cacciatore di minacce senior Duncan Miller
Risorse aggiuntive
- Tanium Threat Response per il rilevamento endpoint l’indagine e la correzione degli endpoint: scopri come Tanium Threat Response consente ai team di sicurezza di Detect, indagare e rispondere alle minacce in ogni endpoint dell’ambiente.
- Come HuntIQ offre la caccia alle minacce guidata da esperti: uno sguardo a come il servizio HuntIQ di Tanium rafforza le operazioni di sicurezza con la caccia alle minacce guidata da esperti progettata per scoprire minacce avanzate prima che causino danni.
- Casi d’uso di rilevamento nel mondo reale con Tanium Threat Response: il primo di una serie in tre parti che illustra come i clienti utilizzano Tanium per Detect incidenti, violazioni e violazioni della sicurezza, dalla caccia alle minacce comportamentali e dalla scansione IOC allo sfruttamento di più fonti di intelligence sulle minacce in tutta l’azienda.
Tanium Le dichiarazioni e i contenuti di riguardanti i suoi piani, indicazioni e intenzioni sono soggetti a modifiche senza preavviso a esclusiva discrezione di Tanium. Le informazioni relative a potenziali prodotti o funzionalità futuri hanno lo scopo di delineare la direzione generale del prodotto di Tanium e non devono essere utilizzate per prendere una decisione di acquisto, né sono incorporate in alcun contratto. Non è un impegno, una promessa o un obbligo legale. Lo sviluppo, il rilascio e la tempistica di eventuali prodotti o funzionalità futuri rimangono a esclusiva discrezione di Tanium.
