Когато Законодателният акт за дигитална оперативна устойчивост (DORA) влезе в сила в Европейския съюз през януари 2025 г., той задейства административен спринт. Финансовите институции прекараха първата година в изграждане на управление на риска, оценка на външни доставчици на услуги, актуализиране на клаузи в договорите и документиране на работните процеси за ескалация на инциденти.

Сега, през втората си година, по-трудната част от DORA е да се демонстрира колко добре функционират рамките на практика. Регулаторите в ЕС увеличават фокуса си върху прилагането на DORA, анализа на инциденти в областта на информационните и комуникационните технологии (ИКТ) и ефективността на надзора върху ИКТ риска. За екипите по сигурност това повдига важен въпрос: притежава ли SOC достатъчна видимост, за да открие, разследва и определи обхвата на активна интрузия в критичните системи?

Въпреки че DORA не предписва конкретен стек от технологии за сигурност, няколко от нейните изисквания разчитат на непрекъсната видимост в ИКТ средата за идентифициране на поведение, което може да показва възникващ риск.

Непрекъснатият мониторинг изисква повече от инвентаризация

За DORA непрекъснатият мониторинг не се състои само в това да се знае какво трябва да се случва в една мрежа; той се състои в притежаването на достатъчна видимост, за да се разпознае кога оперативните модели започват да се отклоняват от нормата.

Член 9, деветата номерирана разпоредба на DORA, изисква от финансовите институции непрекъснато да наблюдават и управляват сигурността и функционирането на своята ИКТ екосистема и да прилагат процеси за минимизиране на въздействието на ИКТ риска.

Инвентаризацията на активите показва системите, които дадена финансова институция притежава или управлява. Записите за конфигурацията показват как се очаква тези системи да взаимодействат. Дневниците за сигурност (logs) и телеметрията от крайните точки осигуряват подробна видимост за активността на наблюдаваните системи.

Все пак, нито един от тези източници не предоставя задължително цялостен поглед върху комуникацията между системите, особено в наследена инфраструктура, специализирани устройства, неуправлявани устройства или системи, при които телеметрията от крайните точки е ограничена. При противопоставяне на адаптивни заплахи, действащи със скоростта на AI, е необходим цялостен поглед за идентифициране на слепите петна, които извършителите на атаки целенасочено атакуват. Ненаблюдаваните връзки между системите могат да съдържат доказателства за компрометиране, а компаниите, които имат видимост върху случващото се в тези пролуки, имат по-голяма вероятност да прекъснат веригата на атаката.

Системите за откриване и реагиране на мрежово ниво (Network Detection and Response - NDR) са катализатор за обединяването на такова ниво на детайлност, като по този начин позволяват на организациите да работят за изпълнение на изискванията на DORA. С непрекъснат мониторинг в цялата среда, NDR помага за установяване на базови линии на нормално поведение и оценява времевите параметри, обема и посоката на трафика, за да идентифицира кога комуникациите се отклоняват от очакваните модели.

Например, ако приложение за маршрутизиране на плащания, което обикновено комуникира с външна услуга за кредитна оценка, внезапно започне да комуникира значително повече с непознати вътрешни хостове извън работно време, мрежовата телеметрия може да разкрие аномалията, дори когато собствените дневници на приложението не я показват.

Откриването на аномалии изисква контекст

Член 10, следващото правило в DORA, изисква финансовите институции бързо да откриват аномални дейности, включително проблеми с производителността на мрежата и свързани с тях инциденти. Освен това трябва да бъдат определени прагови стойности за това кога трябва да се задейства реагиране при инциденти.

Сигналите за сигурност са многобройни, но обемът от шум често претоварва екипите и скрива истинските сигнали за аномално поведение. Определянето дали даден сигнал е част от по-голям инцидент е същинското предизвикателство. Например, EDR може да идентифицира подозрителен процес, докато системата за управление на идентичността маркира подозрителен вход. Мрежовите данни могат да свържат двете събития, като покажат кои системи са комуникирали, използваните протоколи и какво се е случило след това. Трафикът за командване и контрол (command-and-control), разузнаването, страничното придвижване (lateral movement) и трансферът на данни оставят следи в мрежовия трафик, дори когато другата телеметрия е непълна или липсва.

NDR прави мрежовите доказателства използваеми в голям мащаб чрез извличане на структурирани данни на ниво протокол, които помагат на аналитиците да разследват сигнали в контекст и в корелиран изглед, вместо да реконструират инциденти от изолирани източници. Контекстът позволява на екипите по реагиране да определят обхвата и въздействието на инцидента, особено в светлината на днешните атаки със скоростта на AI, като и двете захранват изискванията за докладване съгласно Член 19.

При приложимите правила първоначалното уведомяване трябва да бъде подадено възможно най-рано, но не по-късно от четири часа след класифицирането като сериозен инцидент, свързан с ИКТ, и не по-късно от 24 часа след като организацията научи за инцидента. Бързият достъп до мрежови доказателства осигурява на екипите яснотата, необходима да действат бързо в сложни IT среди, да проследяват засегнатите системи, да изолират нелегитимни връзки и да събират необходимите записи за инциденти в изисквания от регламента срок.

Рискът от трети страни надхвърля рамките на договора

Управлението на ИКТ риска от трети страни и договорните споразумения са фокусът на Членове 28 до 30.

Договорите и оценките на доставчиците определят оторизирания достъп и оперативните граници на даден доставчик на хартия. Мрежовите данни показват как софтуерните пакети, тунелите и API интеграциите на този доставчик всъщност функционират в IT средата, предоставяйки подробности дали връзките се придържат към одобрените пътища за данни или активно се отклоняват от очакванията.

Ако например идентификационните данни на доверен доставчик бъдат компрометирани, достъпът с тях остава легитимен, но поведението най-вероятно се променя. Мрежовите доказателства от NDR позволяват на финансовата организация да наблюдава тази активност от собствената си среда и да задава въпроси, на които документацията от доставчика не може да отговори:

  • С кои вътрешни системи комуникира връзката?
  • Съответства ли трафикът на документирания обхват?
  • Променили ли са се времето на свързване, използването на протоколи или обемът на данните?

Година втора: тествайте дали контролите работят

Тъй като финансовите институции навлизат във втората година от прилагането на DORA, става ясно, че мрежовата видимост е пряко свързана с изискванията в Членове 9 и 10: непрекъснат мониторинг, откриване и бързо реагиране. Мрежовите данни също така помагат на организациите да разследват щателно инциденти, включващи трети страни — доставчици на ИКТ услуги, както е наредено в Членове 28 до 30.

NDR може да осигури тази видимост, като покаже как комуникират системите, къде възниква аномална активност и как инцидентите се придвижват в средата. Когато DORA изисква от финансовите субекти да откриват, разследват и реагират на инциденти, свързани с ИКТ, по-полезният въпрос може да бъде прост: разполага ли вашият SOC с доказателствата, за да реагира на атака и да я ограничи?

Corelight Network Defense

Решението за мрежово откриване и реагиране (NDR) на Corelight предоставя данни, които са отворени, прозрачни и обясними — помагайки за откриване на трудноуловими заплахи, намаляване на времето за триаж и подпомагане на агентния изкуствен интелект (agentic AI) в целия SOC. Структурираните мрежови доказателства на Corelight запазват контекста на ниво протокол, за да генерират по-пълен набор от данни за разследване и AI. Когато аналитиците и изкуственият интелект могат да разсъждават въз основа на доказателства, вместо на изолирани сигнали или метаданни, те могат да потвърждават констатации, да реконструират активност и да стигат до по-надеждни изводи. Научете повече за Corelight.