EDR प्रौद्योगिकी SOC परमाणु त्रय के एक तत्व के रूप में

शुरुआत करने के लिए, याद रखें कि परमाणु त्रय क्या है। यह शब्द परमाणु हथियारों से लैस एक राज्य के रणनीतिक सशस्त्र बलों को संदर्भित करता है। तीनों में तीन घटक शामिल हैं: वायु - रणनीतिक विमानन, भूमि - अंतरमहाद्वीपीय बैलिस्टिक मिसाइल, समुद्र - परमाणु पनडुब्बी मिसाइल वाहक।

प्रिय गार्टनर, ने घटनाओं (एसओसी) की निगरानी और परिचालन प्रतिक्रिया के लिए केंद्र के साथ राज्य के रणनीतिक सशस्त्र बलों का एक सादृश्य बनाया, एसओसी त्रय के निम्नलिखित तत्वों पर प्रकाश डाला: सुरक्षा सूचना और इवेंट मैनेजमेंट (कोलम्बिया), नेटवर्क ट्रैफ़िक एनालिसिस (एनटीए), एंडपॉइंट डिटेक्शन एंड रिस्पॉन्स (ईडीआर)। इस समानता को देखते हुए, यह स्पष्ट हो जाता है कि एसओसी अधिकतम रूप से तभी प्रभावी हो सकती है जब यह सभी सुरक्षा घटकों से सुसज्जित हो: "वायु" में, "भूमि" पर और "समुद्र" में।

दुर्भाग्य से, आज ज्यादातर संगठन केवल "रणनीतिक विमानन" का उपयोग करते हैं - सिएम सिस्टम। शायद ही कभी, "अंतरमहाद्वीपीय बैलिस्टिक मिसाइल" - एनटीए, केवल मानक नेटवर्क सुरक्षा उपकरणों से लॉग एकत्र करके नेटवर्क ट्रैफ़िक के पूर्ण विश्लेषण की जगह लेती है। और बहुत कम ही "परमाणु पनडुब्बी मिसाइल वाहक" है - ईडीआर।

गार्टनर की विरासत के अनुसार, मेरे आज के लेख में, मैं ईडीआर प्रौद्योगिकी को शामिल करने के महत्व के मुख्य कारणों को उजागर करना चाहता हूं, जो निगरानी के लिए एक आधुनिक केंद्र के तत्वों में से एक है और घटनाओं पर तेजी से प्रतिक्रिया दे रहा है।

सूचना सुरक्षा की दुनिया में, EDR तकनीक जटिल खतरों से कार्यस्थानों और सर्वरों के उन्नत संरक्षण से बहुत अधिक है। साल-दर-साल, नौकरियां हमलावरों का प्रमुख लक्ष्य बनी हुई हैं और संगठनों के बुनियादी ढांचे में सबसे आम प्रवेश बिंदु हैं, जिनके लिए उचित ध्यान और उचित सुरक्षा की आवश्यकता है। और टेलीमेट्री एक उच्च-गुणवत्ता की घटना की जांच के लिए आवश्यक मूल्यवान जानकारी है, जिसके उपयोग का महत्व नए टीएलएस 1.3 एन्क्रिप्शन प्रोटोकॉल के आगमन और इसके सक्रिय वितरण के साथ और भी अधिक बढ़ जाता है।

आधुनिक एसओसी की परिपक्वता और प्रभावशीलता बढ़ाने के पीछे ईडीआर तेजी से प्रेरक शक्ति बन रहा है।

आइए देखते हैं क्यों?

अतिरिक्त दृश्यता

सबसे पहले, ईडीआर तकनीक एसओसी टीम को दृश्यता देने में सक्षम है जहां अधिकांश संगठन आज अंधे बने हुए हैं, क्योंकि उनमें से अधिकांश नेटवर्क पर निगरानी गतिविधियों पर केंद्रित हैं। ऐसी कंपनियों, मॉनिटरिंग सेंटर के कामकाज के ढांचे के भीतर और घटनाओं के लिए परिचालन की प्रतिक्रिया, शायद ही कभी या आंशिक रूप से अंतः बिंदुओं को सिएम प्रणाली के इवेंट स्रोतों के रूप में जोड़ते हैं। यह सभी समापन बिंदुओं से लॉग एकत्र करने और प्रसंस्करण की उच्च लागत के कारण है, और यह भी कि पर्याप्त सकारात्मक स्तर के झूठे सकारात्मक के साथ विश्लेषण के लिए घटनाओं की एक बड़ी संख्या की पीढ़ी के कारण, जो अक्सर विशेषज्ञों के अतिभार और सामान्य में महंगे संसाधनों के अक्षम उपयोग की ओर जाता है।

मेजबानों पर जटिल खतरों का पता लगाने के लिए एक विशेष उपकरण

अज्ञात दुर्भावनापूर्ण कोड, समझौता किए गए खातों, फ़र्ज़ी तरीकों, वैध अनुप्रयोगों और कार्यों का उपयोग करने वाले जटिल खतरों और लक्षित हमलों में कुछ भी संदिग्ध नहीं है, जिन्हें उन्नत तकनीकों का उपयोग करते हुए एक बहु-स्तरीय पहचान दृष्टिकोण की आवश्यकता होती है। एक विक्रेता या किसी अन्य पर निर्भर करते हुए, ईडीआर आमतौर पर स्वचालित, अर्ध-स्वचालित मोड में काम करने वाली विभिन्न पहचान तकनीकों को शामिल कर सकता है, और अंतर्निहित उपकरण जिन्हें मैन्युअल रूप से कार्य करने की आवश्यकता होती है, अत्यधिक योग्य कर्मियों को शामिल करना। उदाहरण के लिए, यह हो सकता है: एंटीवायरस, व्यवहार विश्लेषण इंजन, सैंडबॉक्स, समझौता संकेतक (IoC) के लिए खोज, IoA हमले संकेतकों के साथ काम, MITER ATT और CK तकनीकों के साथ तुलना, साथ ही थ्रेट इंटेलिजेंस के साथ स्वचालित बातचीत और वैश्विक खतरे डेटाबेस के लिए मैन्युअल क्वेरी, पूर्वव्यापी विश्लेषण, खतरों के लिए लगातार खोज करने की क्षमता (खतरा शिकार)। EDR वास्तविक समय में खतरों का शिकार करने की क्षमता के लिए एक सहज ज्ञान युक्त अंतरफलक के साथ एसओसी विश्लेषिकी का एक अतिरिक्त उपकरण है, जो आपको संरक्षित बुनियादी सुविधाओं की सुविधाओं को ध्यान में रखते हुए संदिग्ध गतिविधियों, दुर्भावनापूर्ण कार्यों की खोज करने के लिए जटिल अनुरोध करने की अनुमति देता है।

उपरोक्त सभी संगठन पारंपरिक मेजबान संरक्षण उपकरण, जैसे पारंपरिक एंटीवायरस, एनजीएवी या ईपीपी (एंडपॉइंट सुरक्षा मंच) वर्ग समाधानों को दरकिनार करने के उद्देश्य से जटिल खतरों का पता लगाने की अनुमति देते हैं। बाद वाले आज EDR समाधानों के साथ बहुत निकटता से काम करते हैं और उत्पादों के इस वर्ग के अधिकांश निर्माता मशीन को ओवरलोड किए बिना और एक ही समय में जटिल खतरों से समापन बिंदुओं की सुरक्षा के लिए एक एकीकृत दृष्टिकोण प्रदान करते हुए, एक ही एजेंट के भीतर ईपीपी और ईडीआर कार्यक्षमता प्रदान करते हैं। खतरों का पता लगाने और अधिक जटिल घटनाओं की प्रतिक्रिया के साथ समाप्त होता है। EDR में उपयोग किए जाने वाले उन्नत डिटेक्शन मैकेनिज्म टीमों को खतरों की पहचान करने और जल्दी से प्रतिक्रिया देने की अनुमति देते हैं, जिससे व्यवसाय को संभावित नुकसान से बचाया जा सके।

अतिरिक्त संदर्भ

EDR से मेजबान घटनाओं का डेटा अन्य सुरक्षा तत्वों और संरक्षित बुनियादी ढांचे के व्यावसायिक अनुप्रयोगों द्वारा उत्पन्न जानकारी के लिए एक महत्वपूर्ण अतिरिक्त है, जो कि घटना की निगरानी और प्रतिक्रिया केंद्र में डिएगो प्रणाली द्वारा तुलना की जाती है। ईडीआर अतिरिक्त संदर्भ में पहले से ही संपन्न इंफ्रास्ट्रक्चर डेटा को त्वरित पहुंच प्रदान करता है, जो एक तरफ, झूठी सकारात्मक को जल्दी से पहचानने की अनुमति देता है, दूसरी ओर, इस डेटा को जटिल हमलों की जांच में एक कीमती पूर्व-संसाधित सामग्री के रूप में उपयोग करने के लिए, यानी ईडीआर प्रासंगिक लॉग प्रदान करता है। अन्य स्रोतों से घटनाओं के साथ सहसंबंध बनाना, जिससे एसओसी में वैश्विक जांच की गुणवत्ता में सुधार होगा।

अतिरिक्त स्वचालन

उन संगठनों के लिए, जिनके पास EDR नहीं है, एंडपॉइंट्स के बुनियादी ढांचे पर जटिल खतरों का पता लगाना, जिसमें शामिल हैं: डेटा एकत्र करना, भंडारण करना और विश्लेषण करना, साथ ही साथ विभिन्न घटनाओं की जांच और जटिल घटनाओं की प्रतिक्रिया के लिए स्वचालन उपकरणों के उपयोग के बिना एक श्रमसाध्य कार्य लगता है।

आज, कई विश्लेषक नियमित संचालन पर बहुत समय बिताते हैं जो आवश्यक और महत्वपूर्ण हैं, लेकिन स्वचालित हो सकते हैं। इन नियमित मैनुअल कार्यों को स्वचालित करने से संगठनों को न केवल विश्लेषक के महंगे कार्य समय को बचाने की अनुमति मिलेगी, बल्कि उनके कार्यभार को कम करने और उन्हें वास्तव में जटिल घटनाओं के विश्लेषण और जवाब देने पर ध्यान केंद्रित करने की अनुमति मिलेगी। EDRs खतरे का पता लगाने से लेकर विश्लेषण और प्रतिक्रिया तक पूरी तरह से स्वचालित घटना प्रबंधन वर्कफ़्लो प्रदान करते हैं। यह एसओसी टीम को मैन्युअल कार्य पर समय बर्बाद किए बिना दैनिक कार्यों को अधिक कुशलता से करने की अनुमति देता है, जिससे अनावश्यक लॉग का विश्लेषण करने की लागत कम हो जाती है।

डेटा तक त्वरित पहुंच और सूचना के उनके दृश्य प्रतिनिधित्व

एक जांच के लिए आवश्यक डेटा प्राप्त करने के लिए संगठनों को कुछ कठिनाइयों का सामना करना पड़ सकता है, जैसे कि वितरित बुनियादी ढांचे के साथ वर्कस्टेशन और सर्वरों तक जल्दी पहुंचने में असमर्थता या घुसपैठियों द्वारा डेटा के उनके विनाश या एन्क्रिप्शन के कारण विशिष्ट मशीनों से प्रासंगिक जानकारी प्राप्त करने में असमर्थता। यह, निश्चित रूप से, एक प्रभावी जांच प्रक्रिया और घटनाओं की आगे की प्रतिक्रिया के लिए आवश्यक डेटा प्राप्त करना असंभव बनाता है। जब घटना पहले ही हो चुकी है, तो ईडीआर तकनीक का उपयोग, जिसमें निरंतर और केंद्रीकृत रिकॉर्डिंग शामिल है, अनुमान को समाप्त करती है और विश्लेषक समय की बचत करती है।

एक हमलावर अक्सर अपनी पटरियों को नष्ट कर देता है, लेकिन EDR, जैसा कि पहले ही उल्लेख किया गया है, हर हमलावर कार्रवाई को रिकॉर्ड करता है। घटनाओं की पूरी श्रृंखला दर्ज की जाती है और भविष्य में उपयोग के लिए सुरक्षित रूप से संग्रहीत की जाती है। जब किसी भी प्रकार की चेतावनी शुरू हो जाती है, तो ईडीआर एक सुविधाजनक उपकरण प्रदान करता है जिसके साथ एसओसी विश्लेषकों को खतरों की जांच करने, झूठी सकारात्मकता को समाप्त करने और जांच और प्रतिक्रिया की प्रभावशीलता बढ़ाने के लिए पूर्वव्यापी डेटा को फिर से स्कैन करने के लिए अनुरोध कर सकते हैं।

मेजबानों पर सभी कार्यों को एक घटना के पेड़ के रूप में इंटरफ़ेस में प्रस्तुत किया जाता है, जिससे विश्लेषकों को हमले की पूरी तस्वीर देखने में मदद मिलती है, साथ ही साथ उन सूचनाओं की भी तलाश होती है, जिन्हें खतरे की रोकथाम के लिए उन्हें जांचने और संचालन के उपाय करने की आवश्यकता होती है।

टेलीमेट्री, ऑब्जेक्ट्स और पहले से तैयार किए गए फैसले के केंद्रीकृत भंडारण विश्लेषकों को समय के साथ विस्तारित होने वाले हमलों सहित खतरों की जांच के हिस्से के रूप में पूर्वव्यापी डेटा के साथ काम करने की अनुमति देता है। EDR आज के SOC के लिए मूल्यवान डेटा का एक स्रोत है।

केंद्रीकृत प्रतिक्रिया

जब एक घटना का पता लगाया जाता है, तो ईडीआर अपनी जांच के विभिन्न चरणों में कार्रवाई करने के लिए उन्नत विकल्प प्रदान करता है: उदाहरण के लिए, एक फ़ाइल को क्वारंटाइन करना, एक मेजबान पर मनमाना आदेशों को निष्पादित करना, एक वस्तु को हटाना, मेजबानों के नेटवर्क अलगाव और अन्य कार्यों को हटाना। ईडीआर आपको सूचनाओं की दृश्य प्रस्तुति और केंद्रीकृत कार्य सेटिंग के माध्यम से घटनाओं का तुरंत जवाब देने की अनुमति देता है, जिससे सबूत खोजने और प्रतिक्रिया के उपाय करने के लिए अपराध स्थल की यात्राओं की आवश्यकता नहीं होती है। ईडीआर एसओसी विशेषज्ञों की श्रम लागत के अनुकूलन के लिए एक उपकरण है। संगठन नियमित रूप से मैनुअल संचालन की संख्या को कम करते हैं, एसओसी विश्लेषकों के समय को बचाते हैं और प्रतिक्रिया समय को मिनटों से घटाते हैं।

निष्कर्ष

ईडीआर एसओसी के लिए डेटा का एक अमूल्य स्रोत हैं, जो शक्तिशाली खतरों को खोज क्षमताओं और केंद्रीकृत घटना की प्रतिक्रिया प्रदान करते हैं, जबकि एकत्रित खतरों का संग्रह, विश्लेषण और जवाब देने के लिए प्रक्रियाओं के स्वचालन को अधिकतम करते हैं।

SOC के भीतर EDR का उपयोग संगठनों को अनुमति देगा:

• समापन बिंदु स्तर की अतिरिक्त दृश्यता के कारण जटिल घटनाओं के प्रसंस्करण की दक्षता बढ़ाने के लिए, खतरों के लिए सक्रिय खोज की संभावना और मेजबानों पर पता चला घटनाओं के बारे में जानकारी की दृश्य प्रस्तुति;
• प्रभावी जांच के लिए अन्य स्रोतों द्वारा प्रदान किए गए लॉग के साथ तुलना के लिए, वर्कस्टेशन और सर्वर से पूर्व-संसाधित प्रासंगिक डेटा के साथ एसओसी को समृद्ध करना;
• विश्लेषकों द्वारा कार्यस्थल और सर्वर से डेटा का विश्लेषण करने के साथ-साथ घटनाओं पर प्रतिक्रिया देने के साथ-साथ थकाऊ लेकिन आवश्यक कार्यों पर खर्च किए गए घंटों की संख्या को काफी कम करना।