Всеки SOC (Център за операции по сигурността) се бори с купчина от предупреждения. Много малко от тези сигнали обясняват как е започнала дадена атака или как се е развила. Мрежовите данни, като тези от платформа за откриване и реагиране при мрежови заплахи (NDR), свързват отделните предупреждения в единна времева линия и захранват защитните системи, които могат да обединят всички събития в един координиран изглед.

Екипите на SOC често за първи път виждат очертанията на пробив чрез поредица от по-малки задействани сигнали (напр. когато дадена сигнатура съвпадне с хеш на известен зловреден софтуер, прагова стойност маркира необичаен скок в неуспешните вписвания или агент на крайна точка засече подозрителна активност). Когато се разглежда през таблото за управление на SIEM, атаката често започва като поредица от отделни събития със свързани или припокриващи се времеви отпечатъци.

Изкуственият интелект ускори съвременните атаки, давайки възможност на атакуващите да автоматизират разузнаването, да създават насочен зловреден код и да изпълняват скриптове за секунди. И все пак скоростта не премахва нуждата от незабележимост. За да избегнат засичане, противниците умишлено удължават операциите си, крият се зад стандартни администраторски инструменти и работят в тихите интервали между алармите.

Злонамерените субекти могат да прекарат дни или седмици в корпоративна среда, преди дадено действие да генерира сигнал за сигурност с висок приоритет. Когато предупреждението най-накрая се появи, то не бележи непременно началото на компрометирането. Всъщност то може да бъде едно събитие в много по-дълга последователност. Анализаторите, които разследват само събитието, задействало алармата, могат да пропуснат верижната активност, която обяснява как се е развил пробивът.

Анатомия на тихото прогресиране

Между първоначалния достъп и предупреждението с висока степен на опасност, дейността на противника може да се слее с обичайните бизнес операции. Атакуващите разбират оперативните ограничения на екипите по сигурност и се възползват от тях; ако всяка DNS заявка, LDAP заявка, SMB връзка или опит за автентикация генерираше разследване, опашките на SOC бързо биха станали (още по-) невъзможни за управление.

Похватите на атакуващите целенасочено се възползват от тази реалност.

Противниците могат да разпределят разузнаването в рамките на часове или между разпределени източници. Вместо да стартират явно сканиране, те могат да използват компрометиран акаунт, за да подават заявки към домейн контролер през LDAP с умерено темпо, за да картографират потребители, групи и системи. Шепа заявки за Kerberos билети за услуги могат да осигурят идентификационни данни за разбиване офлайн, далеч извън полезрението на SOC. Валидните идентификационни данни след това отварят вратата към SMB или RDP – същите услуги, на които администраторите разчитат всеки ден – и атакуващият се придвижва от хост на хост. Файловете могат да бъдат събрани на една вътрешна система и компресирани. По-късно тази система може да се свързва с външна дестинация през HTTPS или DNS на редовни интервали, с точно толкова вариация във времето, че да наподобява нормален трафик, докато извлича данни.

Всяка стъпка заема нещо, от което бизнесът вече зависи.

Въпреки че отделните действия може да не изглеждат непременно подозрителни, тяхната значимост често се проявява от връзките и последователностите. Например хост, който комуникира с нова система еднократно, може да не буди подозрение. Хост, който отправя заявки към няколко вътрешни услуги, автентикира се пред друга работна станция, установява SMB сесия и след това се свързва с външна дестинация, представя различна картина за разследване. Активността става по-показателна, когато се разглежда във времето.

Когато изолираните инструменти виждат само части от този тип трансакция, те могат да пропуснат цялостната картина. Контекстът става напълно ясен едва когато дейностите и сигналите се комбинират и корелират чрез наблюдение на мрежата.

Нещо повече, атакуващите все по-често използват изкуствен интелект за автоматизиране на разузнаването и по-бързо придвижване. Защитниците трябва да приложат изкуствен интелект към същия проблем, но той се нуждае от подробни мрежови доказателства от NDR за извършване на търсенето.

Доказателствата между предупрежденията

Не е необходимо екипите по операции по сигурността (SecOps) да намаляват праговете на засичане и да затрупват анализаторите с още повече предупреждения, само за да забележат дейността на атакуващия. Това така или иначе би било неприложимо. Един SOC не може да разследва всяка DNS заявка, заявка за автентикация или връзка, сякаш е инцидент. Освен това много екипи работят с инструменти, които показват, че даден сигнал се е задействал, но предоставят оскъдни подробности за това как се е развила активността зад него.

За да предотвратят слепи петна, екипите на SOC могат да запазват базовата мрежова телеметрия, така че анализаторът да може да се върне назад и да прегледа какво се е случило, когато предупреждение, прекъсване или друг сигнал им даде повод за проверка.

Това обаче изисква повече от това просто да се знае кога две системи са обменили трафик. Мрежовите данни с разпознаване на протоколи от платформа NDR могат да покажат какъв вид взаимодействие се е състояло, кой или какво е участвало, кога се е случило и как тези взаимоотношения са се развили във времето.

Например, ако работна станция задейства предупреждение на крайна точка в 14:14 ч., предупреждението може да покаже на анализатора какво се е случило на крайната точка в този момент. Мрежовите доказателства от NDR могат да разширят времевата линия и да отговорят на няколко критични въпроса:

  • Изпращала ли е работната станция заявки към необичаен домейн по-рано същия ден?
  • Автентикирала ли се е пред друга система или установила ли е SMB връзки с вътрешни сродни устройства?
  • Комуникирали ли са тези системи с допълнителни хостове?
  • Установила ли е работната станция по-късно криптирана сесия с външна дестинация?

Всяко отделно събитие може да има напълно легитимни обяснения. Едва в комбинация обаче последователността осигурява различно ниво на контекст.

За разследващия този контекст помага да се установи дали събитието на крайната точка е изолиран проблем, или е отделен етап от по-широко развитие. За разследване, подпомагано от изкуствен интелект, контекстът, извлечен от NDR, осигурява необходимите доказателства за търсене на свързана дейност между хостове, потребители, протоколи и време, вместо всяко предупреждение да се третира като отделно събитие.

Защо това има значение за управлявания от изкуствен интелект SOC

Изкуственият интелект в SOC променя икономиката на разследването. Докато човешкият анализатор трябва да реши кои системи, потребители, сесии и времеви периоди заслужават внимание, подпомаганият от изкуствен интелект SOC може да извърши търсене в същия този обхват от доказателства много по-бързо, обединявайки релевантните данни в един изглед за минути, вместо за часове. Корелацията и анализът могат да се извършват асинхронно, което позволява на анализаторите да преглеждат и правят заявки към по-широк набор от данни много по-скоро. Когато изкуственият интелект поеме синтеза, процесът на идентифициране на модели става още по-бърз.

Когато атакуващият е търпелив и методично разпределя действията си във времето през по-дълги периоди, доказателствата могат да бъдат разпръснати сред стотици наглед обикновени трансакции. Тъй като за човешки анализатор не е реалистично да разследва ръчно всяко отделно доказателство, по-практичният подход е да се изгради автоматизиран работен процес в платформа за NDR, който да идентифицира контекста и да търси взаимовръзки, а след това да предостави доказателствата на анализатора, за да може той да вземе информирано решение.

Резултатът е повече анализирана активност в повече системи за по-дълъг период от време. Ползите са:

  • Спестяване на време: ръчната работа е значително намалена
  • По-ясна представа: по-задълбочен контекст може да бъде изведен чрез усъвършенствани алгоритми, търсещи сред хиляди точки от данни
  • По-добри решения: анализаторите могат да се съсредоточат върху вземането на стратегически решения за риска, вместо да анализират поотделно фрагменти от сигнали за тревога

Същият процес може да помогне и при оперативни проблеми. Ако например дадено приложение спре да работи, мрежовата телеметрия ще покаже кои услуги са комуникирали, къде комуникацията е започнала да прекъсва, кои зависимости са били засегнати и какво се е променило около събитието. Ако се окаже, че причината е злонамерена, разследването вече разполага със запис на активността.

Отвъд отделните сигнали за тревога

Сигналите за тревога дават на анализаторите отправна точка за започване на разследване. Те не обясняват непременно какво се е случило преди това, какво се е случило след него, какво се случва едновременно или дали друга дейност в средата е свързана с тях. Проблеми, които изолирано изглеждат рутинни, могат да изглеждат съвсем различно, когато данните се корелират и се добави контекст.

Мрежовата телеметрия предоставя съпътстващите доказателства, необходими за изграждането на критично важен контекст. Данните с познаване на протоколите от NDR запазват детайлите за мрежовите взаимодействия, включително двата края на комуникацията, участващите протоколи и услуги, времевите клейма за тези взаимодействия и начина, по който те се променят с времето. Именно телеметрията дава на автоматизираните работни процеси за разследване по-широк набор от доказателства, от които да изхождат при триаж на сигнал с висок приоритет.

При наличие на доказателства за автоматизиран анализ AI агентите могат да корелират дейността във времето, да свързват комуникациите между системите и да извеждат последователности, които в противен случай биха останали отделни наглед безобидни събития. Способността за прилагане на контекст върху несвързани комуникации и последователности е това, което позволява на екипите на SOC да откриват най-рисковата дейност. Без тези доказателства отделните сигнали и последователности могат да продължат да изглеждат безвредни. Атакуващите вече са идентифицирали тази възможност; сега е време защитниците да приложат същите принципи и да не изостават.

Вашият AI SOC е толкова ефективен, колкото са данните зад него. Мрежовото откриване и реагиране (NDR) на Corelight предоставя данни, които са отворени, прозрачни и обясними — помагайки за откриване на прикрити заплахи, съкращаване на времето за триаж и активиране на агентски AI в целия SOC. Структурираните мрежови доказателства на Corelight запазват контекста на ниво протокол, за да създадат по-пълен набор от данни за разследване и AI. Когато анализаторите и изкуственият интелект могат да разсъждават въз основа на доказателства, вместо на изолирани сигнали или метаданни, те могат да валидират констатациите, да реконструират активността и да достигнат до по-надеждни заключения. Научете повече за Corelight на https://corelight.com/cp/elitedefense