Jaring Kusut Strategi IR

Mungkin tidak adil untuk mengatakan bahwa respons insiden (IR) adalah inti dari strategi keamanan dunia maya perusahaan, tetapi itulah yang menjadi tujuan pembangunan semua hal lainnya. Namun, lawan terbesar IR bukanlah penyerang sebanyak waktu.

Orang jahat, sering dibantu oleh Mesin belajar (terutama dalam serangan aktor negara), sangat fokus. Penyerang dunia maya saat ini memiliki rencana serangan yang tepat. Biasanya, mereka akan bersiap untuk mencuri apa yang mereka cari — atau merusak sistem — dalam beberapa menit dan kemudian segera keluar dari sistem.

Meskipun beberapa penyerang lebih memilih cara diam-diam yang menginstal malware dan mengawasi aktivitas jaringan selama berbulan-bulan, banyak penjahat paling jahat saat ini menggunakan pendekatan tabrak lari. Itu berarti rencana IR harus mengidentifikasi apa yang sedang terjadi, mengunci sistem ultrasensitif, dan menjebak penyerang di saat-saat tertentu. Kecepatan mungkin bukan segalanya, tapi mendekati.

Yang memperumit lingkungan IR saat ini adalah kenyataan bahwa lanskap ancaman perusahaan menjadi lebih kompleks secara eksponensial dalam beberapa tahun terakhir, terutama dalam hal menjadi keropos serta memberi orang jahat lebih banyak tempat untuk bersembunyi. Di luar WAN dan sistem perusahaan, ada sistem on-premise yang menyusut — tetapi masih relevan —, sejumlah besar lingkungan cloud (keduanya dikenal dan tidak dikenal), IoT/IIoT, mitra dengan akses yang jauh lebih besar, kantor pusat dengan LAN yang tidak aman, armada kendaraan dengan penyimpanan data dan alamat IP mereka sendiri, perangkat seluler dengan kredensial penuh (seringkali dimiliki oleh karyawan, menimbulkan lebih banyak masalah keamanan) , dan aplikasi SaaS yang dihosting di sistem dengan lubangnya sendiri yang tidak diketahui.

Dengan semua itu terjadi, pusat operasi keamanan (SOC) mungkin hanya memiliki beberapa menit untuk mengidentifikasi dan menangani pelanggaran.

Masalah CISO terbesar dengan IR adalah kurangnya persiapan, dan kelemahan perusahaan IR terbesar saat ini adalah mendasar. Proses terbaik untuk IR dimulai dengan kesiapan melalui membangun model ancaman organisasi yang solid dan merekonsiliasi pustaka ancaman dari hal-hal yang dapat berdampak buruk bagi perusahaan dengan penyelarasan dengan kontrol preventif, detektif, dan reaktif yang ada terhadap permukaan serangan model ancaman tersebut . Mempekerjakan otomatisasi melalui teknologi orkestrasi, otomatisasi, dan respons keamanan (SOAR) telah menjadi sangat berguna dalam mengurangi waktu respons dan mampu memanfaatkan playbook yang dipicu pada kondisi tertentu yang ditentukan terpenuhi di lingkungan teknis.

Periksa Peta

Salah satu elemen dasar yang paling penting adalah bekerja dari peta data terkini, akurat, dan komprehensif. Masalahnya adalah lingkungan saat ini membuat peta data yang benar-benar lengkap menjadi tidak mungkin.

Pertimbangkan faktor seluler sendiri. Karyawan dan kontraktor terus-menerus membuat kekayaan intelektual baru (serangkaian email atau teks, misalnya, antara perwakilan penjualan dan pelanggan atau calon pelanggan) melalui perangkat seluler dan kemudian tidak menyinkronkan informasi tersebut dengan sistem terpusat yang dikendalikan oleh TI.

Karena tidak mungkin melindungi sesuatu yang tidak Anda ketahui keberadaannya, membuat peta data seakurat mungkin sangatlah penting. Tidak ada ruginya juga untuk meningkatkan visibilitas semua alat, platform, perangkat keras/perangkat (terutama IoT), dan hal lain yang dapat ditumbangkan oleh penyerang.

Continuous attack surface management (CASM) telah menjadi area aktivitas keamanan yang terus berkembang yang perlu dimatangkan oleh perusahaan untuk memastikan bahwa perangkat edge, terutama yang merupakan perangkat IoT yang mungkin memiliki akses langsung ke edge gateway, dilindungi secara memadai dengan kontrol detektif.

Anda harus mulai dengan strategi manajemen aset tradisional, mengidentifikasi semua komponen dan melacak semua aset, terlepas dari apakah mereka berada di rak di suatu tempat atau di colocation. Untuk terlalu banyak perusahaan, tidak ada kelengkapan, tidak ada tata kelola yang tepat. Mereka harus mencocokkan aset dan data dengan setiap lini bisnis untuk merencanakan keberlanjutan LOB tersebut. Mereka perlu memikirkan semuanya mulai dari perangkat IoT hingga perangkat lunak vendor pihak ketiga. Ada begitu banyak hal yang seringkali berada di bawah radar. Apa ekosistem untuk setiap lini produk?

Dimensi Vertikal

Di luar satu perusahaan itu, permukaan serangan dan lanskap ancaman harus diidentifikasi untuk vertikal mana pun di mana mesin beroperasi dan sering kali harus menggali ke dalam setiap dan semua subindustri. Itu memaksa evaluasi ketat tentang intelijen ancaman apa yang digunakan.

Untuk data industri/vertikal, itu berarti mengintegrasikan pusat pembagian dan analisis informasi (ISAC) bersama dengan peringatan sumber terbuka, pemberitahuan vendor, Cybersecurity and Infrastructure Security Agency (CISA) dan (National Vulnerability Database (NVD) dan banyak lainnya, lagu dengan data SIEM internal.

Tapi semua intel ancaman itu kuat sebelum insiden. Begitu serangan dimulai dan staf SOC secara aktif membela diri, intel ancaman terkadang terbukti lebih sebagai pengalih perhatian daripada bantuan. Ini bagus sebelum dan sesudah serangan, tetapi tidak selama.

Perusahaan sering melemahkan kecepatan dan keefektifan IR mereka dengan tidak memberi tim SOC akses serta informasi yang memadai. Misalnya, log audit sering menyertakan alamat IP perangkat yang terpengaruh, tetapi beberapa log hanya menampilkan alamat NAT internal dan staf SOC tidak dapat dengan mudah dan cepat memetakan alamat IP publik ke alamat IP NAT. Itu memaksa tim SOC — selama keadaan darurat — untuk menghubungi tim infrastruktur jaringan.

Apakah tim SOC memiliki akses ke semua lingkungan cloud? Apakah mereka terdaftar sebagai kontak untuk semua staf colocation dan dukungan cloud?

Adalah umum bagi petugas keamanan untuk menggunakan analogi militer — terutama referensi perang — saat menjelaskan strategi respons insiden. Sedihnya, analogi itu lebih tepat daripada yang saya harapkan. Penyerang saat ini menggunakan sistem pembelajaran mesin kelas atas dan terkadang didukung secara finansial oleh negara-bangsa. Sistem mereka seringkali lebih kuat dan modern daripada yang digunakan perusahaan untuk pertahanan. Artinya, strategi IR saat ini harus menggunakan alat ML untuk mengimbanginya. Penyerang memiliki metode yang diatur waktunya untuk yang kedua, dan mereka tahu bahwa mereka harus masuk, melakukan kerusakan, mengekstraksi file mereka, dan keluar dengan cepat. CISO saat ini harus mendeteksi dan memblokir dalam waktu yang lebih singkat.

• Konten Bertenaga SEO & Distribusi PR. Dapatkan Amplifikasi Hari Ini.
• Platoblockchain. Intelijen Metaverse Web3. Pengetahuan Diperkuat. Akses Di Sini.
• Mencetak Masa Depan bersama Adryenn Ashley. Akses Di Sini.
• Sumber: https://www.darkreading.com/vulnerabilities-threats/the-tangled-web-of-ir-strategies