Екип за сигурност от петима души в неназован германски производител съкрати близо 15 минути от разследването на всяко предупреждение, след като замени изолиран от мрежата лаптоп за криминалистичен анализ с базираната в облака интерактивна изолирана среда (Interactive Sandbox) на ANY.RUN.

Екипът защитава приблизително 10 000 крайни устройства и 10 000 потребители в офисни системи и сървъри, демонстрирайки как по-малки центрове за операции по сигурността могат да разширят мащаба на триажа на зловреден софтуер и фишинг в предприятията, без незабавно да увеличават броя на специалистите.

Внедряването идва в момент, когато екипите по сигурността в производствения сектор се справят с необичайно голям оперативен натиск. Според казуса, публикуван от ANY.RUN, работното натоварване в сектора е с около 22% по-високо, отколкото в други основни отрасли, въпреки че доставчикът не е разкрил методологията зад това сравнение.

Данните и резултатите в този случай са предоставени от доставчика и са атрибутирани на Филип З., ръководител на отдела по сигурност на производителя; самоличността на клиента е запазена в тайна.

Преди промяната предупрежденията от системи за разширено откриване и реакция (XDR) можеха да идентифицират подозрителна активност, но не винаги осигуряваха достатъчно контекст за поведението, за да се определи дали даден файл или URL адрес е наистина зловреден.

Предупреждения за сигурност при германския производител

Поради това аналитиците разчитаха на офлайн лаптоп с Ubuntu, виртуализирана FLARE VM и инструментариума за криминалистичен анализ SANS. Вземането на устройството, стартирането му, въвеждането на ключовете за криптиране и подготовката на виртуалната машина отнемаха от пет до 10 минути, преди разследването изобщо да започне.

Физическата изолация от мрежата (air gap) също така затрудняваше трансфера на доказателства. Аналитиците прехвърляха проби чрез USB, докато сложните URL адреси понякога трябваше да се въвеждат ръчно. Само един аналитик можеше да използва лаптопа в централата във всеки един момент, а работата от разстояние, която заемаше около 25% от графика му, напълно премахваше достъпа.

Това триене налагаше селективен триаж: несигурните откривания често се третираха как истински положителни резултати, което водеше до изолиране на крайни устройства, изтриване и преинсталиране от облака, дори когато по-дълбок анализ можеше да отхвърли предупреждението.

Производителят премести анализа на файлове и URL адреси в частната, управлявана в облака изолирана среда на ANY.RUN, осигурявайки на аналитиците в офиса и на тези, работещи от разстояние, достъп до едно и също изолирано работно пространство.

Вместо да подготвя физически хардтуер, аналитикът може да изпрати подозрителен файл или да постави връзка, да взаимодейства с виртуалната машина на живо и да проверява процеси, мрежови връзки, системни промени, индикатори и задействани правила за откриване.

ANY.RUN описва платформата като поддържаща взаимодействие в реално време, включително писане, превъртане, достъп до клипборда и трансфер на файлове, като същевременно запазва анализите поверителни при подходящите тарифни планове.

За ежедневния триаж екипът използва визуалната присъда и дървото на процесите на платформата, за да взема решения за ограничаване, и изтегля доклади за одит и преглед на съответствието. Тези записи запазват мотивите зад действията месеци след даден инцидент.

Производителят също така е лицензирал двама администратори на Exchange да тестват карантинирани съобщения директно, което им позволява да освобождават безопасни имейли, без да пренасочват аналитиците по сигурността от по-приоритетна работа.

Филип заяви, че премахването на вземането на лаптопа и подготовката на виртуалната машина спестява медиана от 15 минути на предупреждение, отделно от допълнителното намаляване на времето за анализ. Сега екипът обработва от 20 до 40 задачи дневно и се стреми към 2,5 минути от опасно предупреждение до изолирането на засегнатото устройство.

Той също така следи съответствието между решенията на аналитиците и класификацията на изолираната среда за истински положителни или фалшиво положителни резултати, отчитайки 95% процент на съвпадение. Едно разследване демонстрира защо контекстът на поведението е от значение. XDR откри подозрителен файл с пряк път за Windows, изпълняващ се на крайно устройство, което екипът незабавно изолира.

Историческата активност свърза файла с изтегляне от мрежата и след това с имейл, носещ наглед безвреден PDF файл. Вътре в документа връзка водеше към защитен с парола ZIP архив; паролата се появяваше само като текст в PDF файла, което пречеше на имейл филтрите и статичните антивирусни инструменти да проверят криптирания зловреден код.

Задействането на веригата в ANY.RUN възпроизведе последователността от Outlook до Microsoft Edge и накрая изпълнението на зловредния софтуер. Съпоставянето на това дърво на процесите с телеметрията на крайните устройства даде на разследващите необходимия контекст за идентифициране на първоначалното съобщение, търсене в други пощенски кутии и премахването му в цялата организация. Запазеният анализ по-късно бе запазен като вътрешен обучителен пример за многостепенна фишинг инфекция.

Оперативната полза надхвърля по-бързите присъди. Премахването на повтарящата се работа по настройка позволява на аналитиците да изследват повече подозрителни артефакти, вместо да избират само малка подгрупа, докато интерактивното изпълнение превръща триажа в изследователска задача вместо в рутина по управление на хардуер.

Филип определи превенцията на бърнаут (пренатоварване) като приоритет и нарече прехода от ръчно управляван лаптоп към разпределен, повторим анализ голямо подобрение в зрелостта на сигурността.

За ръководството най-ясната възвръщаемост е спестеното време на аналитиците за всеки инцидент и способността на петима специалисти да поддържат инфраструктура с корпоративен мащаб.

ANY.RUN заявява, че нейните услуги се използват от над 16 000 организации и 74% от компаниите в Fortune 100; нейните корпоративни контроли включват SSO, MFA, достъп на базата на роли (RBAC), аттестация по SOC 2 Type II и криптирана обработка на клиентски данни.

Екипите по сигурността могат да се регистрират в ANY.RUN, за да оценят платформата. Организациите, търсещи функции за частно внедряване, интеграции и търговски условия, могат да се свържат с отдела за продажби на ANY.RUN.