כשמוצרי המדף נכשלים: זיהוי איומים אמיתיים באמצעות חוקי קורלציה מותאמים

תוקפים מודרניים מתמזגים יותר ויותר בתוך פעילות לגיטימית, וזה הופך את הזיהוי לקשה בהרבה מבעבר. מוצרים שנבנו סביב אינדיקטורים סטטיים או לוגיקת זיהוי ארוזה מראש מפספסים ברגע שהתוקף משתמש בכלים מהימנים, בחשבונות מורשים וברצף פעולות שנראה שגרתי לחלוטין. זו נקודת העיוורון של פתרונות המדף: אין להם שום הקשר לגבי הסביבה שלכם. חוקי קורלציה מותאמים סוגרים את הפער הזה. מתוך הבנה אמיתית של האופן שבו הארגון מתנהג, הקורלציה חושפת את האיומים שכלים גנריים חולפים על פניהם, עוד לפני שהם מסלימים.

מה חוקי קורלציה באמת עושים

חוקי קורלציה מזהים דפוסי תקיפה על ידי ניתוח היחסים בין אירועים ממקורות שונים. במקום להסתכל על לוגים מבודדים או על חריגה בודדת, הם שוקללים הקשר, תזמון ורצף כדי לזהות פעילות מתואמת.

זה חשוב במיוחד כשכל אירוע כשלעצמו נראה תמים. חשבון משתמש חדש, טעינת DLL סטנדרטית, התחברות RDP: אף אחד מהם אינו חשוד לבדו. כשרואים אותם יחד, בסדר הנכון ובחלון הזמן הנכון, הם יכולים להצביע על ניצול לרעה של הרשאות, על תנועה רוחבית או על השתרשות שקטה.

למה הלוגיקה חייבת להיות שלכם

קורלציה אפקטיבית אינה יכולה להיות גנרית. היא חייבת לשקף את האופן שבו הארגון שלכם באמת פועל: תפקידי משתמשים, גבולות גישה, תהליכי עבודה פנימיים, תלויות בין אפליקציות ומה נחשב "נורמלי". בלי זה, לוגיקת הזיהוי או מטביעה אתכם ברעש, או מפספסת לגמרי את התקיפה הממוקדת.

חוקים מותאמים משלבים לתוך הזיהוי לוגיקה עסקית ומודל איומים. במקום להתריע על hash ידוע לרעה או על אירוע נדיר, חוק יכול לומר: אם מנהל דומיין מתחבר מחוץ לשעות העבודה ונוגע במערכות שלא ניגש אליהן בשלושים הימים האחרונים, סמן את הסשן. ההתראות ששורדות הן אלה שבאמת שווה לפעול לפיהן.

מקרה אמיתי: MuddyWater וההקשר ההתנהגותי

באחת מתגובות האירוע, שחקן מדינתי בשם MuddyWater השתלט על חשבון בעל הרשאות שהשתייך למהנדס רשת בכיר. התוקף התחבר בשעות שאינן שעות העבודה והגיע למקטעים ולנכסים שהמשתמש הלגיטימי מעולם לא נגע בהם.

שום חתימת נוזקה לא נורתה. עבור רוב מנועי הזיהוי מהמדף הפעילות נראתה לגיטימית. מה שחשף אותה היה חקירה פורנזית, לא התראה. הלקח הוא שהזיהוי חייב לחרוג מאינדיקטורים אטומיים: רצף התנהגותי, קו בסיס היסטורי והקשר של הרשאות הם אלה שחושפים תוקף מתקדם.

בניית מארג זיהוי

חוקי קורלציה חזקים ביותר כשהם עובדים יחד, לא כהתראות מבודדות אלא כשכבות של לוגיקה שקוראות פעילות לרוחב הסביבה. ניתן לבנות אותם על הכלים שאתם כבר מריצים:

• פלטפורמות SIEM כגון Splunk, QRadar, Chronicle ו-Logz.io
• פלטפורמות EDR ו-XDR כגון Cortex XDR, SentinelOne ו-CrowdStrike
• מחסניות ניתוח ענן-נייטיב כגון Elastic ו-OpenSearch

מטא-קורלציה מעלה עוד יותר את התקרה. אם חוק אחד נורה על חשבון משתמש חדש וחוק אחר על הפעלת PowerShell חשודה, חוק שלישי יכול לשרשר ביניהם ולהעלות את חומרת האירוע, ולהפריד בין רעש אקראי לבין איום אמיתי. שרשור חוקים וניקוד קורלציה הופכים את זה למעשי במחסנית מודרנית.

חוקי קורלציה כמודיעין ארגוני

מוצרי אבטחה מביאים עוצמה וסקייל, אבל הם אינם יכולים להכיר את ההקשר שלכם. שום ספק אינו יודע מהן השעות הלגיטימיות של מוקד התמיכה שלכם, באיזו תוכנה משתמש צוות הכספים או מהם נתיבי הנכסים הרגילים של מהנדסי הרשת שלכם. אתם יודעים. חוקי קורלציה מזריקים את הידע הזה לתוך הזיהוי עצמו, והופכים את מה שהצוות שלכם כבר יודע לחוקים שהמערכת מריצה. הצוות מפסיק להמתין להתראות ומתחיל לצוד, והתראה מתחילה לסמן שמשהו כאן חשוב, ולא רק שאירוע כלשהו התרחש.

את מה שהם לא יכולים לעקוף

לכלי המדף יש מקום, אבל הם אינם מספיקים. תוקפים מתוחכמים יודעים איך לחמוק מהם עם אישורי גישה לגיטימיים, קבצי הרצה מהימנים ותשתית מוכרת. את מה שהם לא יכולים לעקוף היא ההבנה שלכם את האופן שבו הסביבה שלכם מתנהגת. חוקים שנבנו סביב הרשאה, תזמון, היסטוריה התנהגותית והקשר של נכסים חושפים את מה שהזיהוי הגנרי מפספס. זיהוי טוב יותר אינו מתחיל בעוד נתונים. הוא מתחיל בקריאה חדה יותר של מה שהנתונים אומרים בסביבה שלכם.