EventTracker Enterprise y Cyber Kill Chain
El modelo Cyber Kill Chain de Lockheed Martin describe cómo los atacantes utilizan el ciclo de compromiso, persistencia y filtración contra una organización. Las estrategias de defensa que se centran exclusivamente en el perímetro y en la prevención no tienen en cuenta el enfoque del ciclo de vida de la cadena de destrucción; Ésta es una de las razones por las que los atacantes siguen teniendo tanto éxito. Para defenderse de amenazas persistentes y avanzadas se necesitan métodos que detecten y rechacen las amenazas en cada etapa de la cadena de eliminación.
Centrarse en las defensas perimetrales da la apariencia de concentrar recursos en los activos y vectores de ataque más expuestos. Esta forma de pensar significa que el atacante sólo debe tener éxito una vez entre un número ilimitado de intentos. Los defensores, por el contrario, deben tener razón en todo momento. Esto no sólo es incorrecto sino también insostenible. Sólo porque haya habido una infección de malware exitosa o un ataque de inyección SQL contra su red, no significa que el atacante haya ganado y usted haya perdido. La cadena de muerte destaca que este claramente no es el caso, porque el atacante solo gana cuando todas las fases de la cadena de muerte cibernética se han ejecutado con éxito. Un ataque exitoso es un proceso de un extremo a otro y se describe como una "cadena" porque una interrupción en cualquier etapa puede interrumpir todo el ataque. Esto hace que la carga recaiga sobre el atacante, que ahora debe tener éxito en todos y cada uno de los pasos, mientras que un defensor solo debe tener éxito en un paso.
La solución EventTracker Enterprise es una combinación de tecnología, expertos capacitados y disciplina de procesos diseñada para abordar la defensa en toda la cadena de ciberataque. Así es como EventTracker Enterprise se asigna a Cyber Kill Chain.
Recon — Se define como identificación, selección de objetivos, detalles de la organización e información sobre opciones tecnológicas. EventTracker Enterprise detecta intentos al recibir y analizar registros del servidor web, realizar análisis de vulnerabilidades y pruebas de penetración externa, todo ello integrado con inteligencia de amenazas local, global y comunitaria. Nuestra oferta EventTracker Honeynet está diseñada para engañar a los atacantes y exponerlos por sus acciones en lugar de por su reputación (que con demasiada frecuencia es neutral).
Entregar La transmisión del malware la inicia el objetivo (los usuarios navegan hasta una presencia web maliciosa, lo que provoca la caída del malware, o abren un archivo PDF malicioso). o por el atacante (inyección SQL o explotación de servicios de red). EventTracker Enterprise proporciona análisis de seguridad y análisis del comportamiento de la red integrados con inteligencia sobre amenazas para detectar dichos intentos.
Explotación : Después de la entrega al usuario o al punto final, el malware se afianzará al explotar una vulnerabilidad conocida. Lamentablemente, lo más probable es que haya un parche disponible durante meses o años pero no se haya implementado. El servicio de gestión de vulnerabilidades de EventTracker Enterprise proporciona un servicio gestionado para descubrir vulnerabilidades de forma sistemática y facilitar su reparación, reduciendo así la superficie de ataque.
Instalar : Por lo general, se trata de un troyano de acceso remoto (RAT), de funcionamiento sigiloso, lo que permite lograr persistencia o "tiempo de permanencia". El atacante busca controlar esto sin alertar a los defensores. La tecnología EventTracker Enterprise incluye funciones de detección de amenazas de endpoints que detectan amenazas que evaden el antivirus basado en firmas. La función Change Audit (también conocida como FIM) rastrea los cambios de archivos en los puntos finales y es una técnica sólida para detectar instalaciones no deseadas.
C&C : ahora que el atacante tiene control de los activos dentro de la red, utilizando métodos como DNS, Protocolo de mensajes de control de Internet (ICMP) y sitios web. le dice al “activo” controlado qué hacer a continuación y qué información recopilar. Se identifica un host de prueba en el que se copian todos los datos internos y luego se comprimen y/o cifran y se preparan para la filtración. EventTracker Enterprise puede detectar dichas actividades mediante el análisis de la actividad de DNS, el monitoreo de la integridad de los archivos y el análisis del tráfico de la red, todo ello integrado con inteligencia de reputación de IP.
Exfiltrar : en esta fase final, el atacante extrae datos y mantiene el tiempo de permanencia en la red y luego toma medidas para identificar más objetivos y ampliar su huella. Después del compromiso, la actividad de ataque posterior se realiza como usuario interno. La función de monitoreo de actividad de EventTracker Enterprise realiza un monitoreo continuo para identificar el acceso anormal de los usuarios a los datos, incluida la frecuencia, las horas del día y desde ubicaciones nunca antes vistas. El análisis del comportamiento de la red resalta los dispositivos que mueven datos que no son parte de su función (tráfico a hosts que se destacan), un volumen extremadamente alto de tráfico DNS a un servidor DNS externo que no está definido para la resolución de nombres de host externos, protocolos de tráfico que se utilizan activamente y que van en contra de la política o que un usuario de confianza intenta realizar una actividad claramente maliciosa, como una sesión FTP a un destino inesperado.
Defender una red en el panorama de amenazas actual requiere una combinación de tecnología, experiencia y disciplina de procesos. EventTracker Enterprise puede ayudar a un precio atractivo.