A hálózat belsejében rejtőző láthatatlan fenyegetések
Bármelyik napon is nézzük, az egyetem hálózata több ezer hallgató előadások streameléséhez szükséges adatforgalmát, a kutatók laboratóriumok közötti adatátvitelét, a oktatók felhőalapú értékelési platformokhoz való hozzáférését, valamint az adminisztratív személyzet beiratkozási és bérszámfejtési adatainak feldolgozását bonyolította le. A több campuson átívelő, a kutatólaboratóriumokat, a tanszékeket és az adminisztratív rendszereket összekötő hálózatot úgy alakították ki, hogy mindez zökkenőmentesen működhessen.
Ugyanez a hálózati összeköttetés miatt szinte lehetetlen volt a hálózatot belülről megvédeni. Azoknak a támadóknak, akik adathalász kampány, ellopott hitelesítő adatok vagy egy diákok számára elérhető, sebezhető rendszer révén szereztek kezdeti hozzáférést, ez a legitim tevékenység ideális álcát nyújtott. A biztonsági operációs központ (SOC) a hálózat peremén szigorú ellenőrzési mechanizmusokkal rendelkezett, de miután a támadó bejutott a rendszerbe, csak korlátozottan tudták nyomon követni a történéseket. A belső adatforgalom szabadon áramlott a rendszerek között, és csak korlátozott rálátás volt arra, hogy mi hol mozog.
A hagyományos felügyeleti eszközök elsősorban a hálózati határon belépő és onnan kilépő forgalomra összpontosítottak. A campus infrastruktúráján belüli rendszerek közötti kommunikáció – ideértve a kutatólaboratóriumokat, az oktatási alkalmazásokat és az adminisztratív adatbázisokat is – nem tartozott a figyelmük körébe. Az oldalirányú mozgások, a parancs- és vezérlési tevékenységek, valamint a támadók korai szakaszban megnyilvánuló viselkedése ezeken a szegmensekben riasztások kiváltása nélkül zajlhatott le. A biztonsági operációs központnak (SOC) nem állt rendelkezésére olyan mechanizmus, amellyel ezt figyelemmel kísérhette volna.
Hálózati szintű áttekinthetőség hiányában az elemzők a végpontokról érkező riasztásokra és a rendszerben fellépő rendellenességekre támaszkodtak a gyanús tevékenységek felismeréséhez. Ezek a jelek általában csak akkor jelentek meg, amikor a támadó már kiterjesztette hozzáférését, átjutott a rendszerek között, vagy érzékeny adatok közelébe jutott. Mire a biztonsági operációs központot (SOC) riasztották, a korai elszigetelés lehetősége gyakran már elszaladt.
A campus hálózati forgalom nagyságrendje és sokszínűsége miatt a hagyományos eszközökkel nehéz volt alapértékeket meghatározni vagy rendellenességeket azonosítani. A kutatási környezetekből, a hallgatói rendszerekből, a felhőszolgáltatásokból és az adminisztratív infrastruktúrából származó forgalmi minták jelentősen eltértek egymástól. A támadói viselkedés és a legitim tevékenységek megkülönböztetéséhez olyan szintű elemzési képességre volt szükség, amelyet a meglévő eszközök nem tudtak biztosítani.
Mire volt szüksége a SOC-nak a campus biztonságának védelméhez
Az egyetem biztonsági csapatának szüksége volt arra, hogy betekintést nyerjen a saját hálózatába, a feltárt problémákra megfelelően reagáljon, valamint bizonyítani tudja, hogy az érzékeny kutatási adatok és a hallgatói információk megfelelő védelmet élveznek. A döntéshozatal során a következő szempontok voltak meghatározóak:
A SOC-nak még azelőtt kellett felismernie a belső rendszerek között terjedő fenyegetéseket, hogy azok eljutnának az érzékeny kutatási vagy adminisztratív infrastruktúrához, és nem akkor, amikor a végpontok már riasztást adtak ki.
Mivel több ezer felhasználó és eszköz folyamatos forgalmat generált, a csapatnak olyan riasztásokra volt szüksége, amelyekben megbízhatott, ahelyett, hogy még több riasztást kellett volna kézzel átnéznie.
Az elemzőknek a fenyegetés észlelésekor elegendő háttérinformációra volt szükségük ahhoz, hogy gyorsan felmérjék a fenyegetés mértékét, anélkül, hogy több, egymástól független eszközből származó bizonyítékokat kellett volna összerakniuk.
Az egyetemnek olyan folyamatos felügyeleti rendszerre volt szüksége, amely elősegítette az ellenőrzésekre való felkészülést, és segített igazolni a hallgatói és kutatási adatokra vonatkozó biztonsági előírások betartását.
Bármely megoldásnak az egyetem modern és régebbi rendszereinek összetett környezetében is működnie kellett, anélkül, hogy jelentős architektúraváltozásokat igényelt volna, vagy a bevezetés során megzavarta volna az oktatási tevékenységet.
A vakfoltoktól az egységes hálózati átláthatóságig
Az egyetem a MetaDefender bevezetésével megszüntette a belső láthatósági hiányosságokat MetaDefender NDR bevezetésével a campus egész területén található stratégiai hálózati szegmensekben. A főbb hálózati csomópontokra elhelyezett érzékelők révén a SOC folyamatos hozzáférést kapott az oktatási rendszerek, kutatási hálózatok, felhőszolgáltatások és adminisztratív infrastruktúra közötti forgalomhoz. Az elemzők először kaptak egységes képet az egyetem elosztott környezetében zajló kelet-nyugati hálózati tevékenységről.
MetaDefender NDR gépi tanulás és viselkedéselemzés segítségévelNDR elemzi a hálózati tevékenység adatait, hogy azonosítsa a rendellenes forgalmi mintákat, felismerje a rendszerek közötti oldalirányú mozgásokat, és feltárja a parancs- és vezérlő kommunikációt. A mesterséges intelligencián alapuló rendellenesség-felismerő modellek feltárják a támadói viselkedés finom jeleit, amelyek beleolvadnak a normál hálózati forgalomba, még mielőtt a támadók tovább hatolhatnának a rendszerbe.
Az integrált fenyegetési információk automatikusan kiegészítették az észleléseket, így az elemzők nem puszta mutatókat, hanem kontextusba ágyazott riasztásokat kaptak. Ahelyett, hogy több rendszerből származó, széttagolt adatokat kellett volna összefüggésbe hozniuk, a biztonsági operációs központ (SOC) egyetlen platformról, a támadói tevékenységekre vonatkozó teljes hálózati szintű áttekintéssel tudta kivizsgálni az incidenseket.
Mérhető hatása a SOC átláthatóságára és az egyetemi biztonságra
MetaDefender NDR bevezetését követően az egyetem biztonsági operációs központja (SOC) átállt a végpontok riasztásaira és a rendszer rendellenességeire való passzív várakozásról egy proaktív működési módra, amelynek köszönhetően már a fenyegetések kialakulásának korai szakaszában képesek felismerni és kivizsgálni azokat.
Hatásterületek | Működési előnyök |
Hálózati átláthatóság | A campus-hálózatokon belüli kelet-nyugati forgalom folyamatos, részletes áttekintése |
A fenyegetések észlelésének sebessége | Az oldalirányú mozgás és a gyanús kommunikációs minták korábbi felismerése |
A nyomozás hatékonysága | Gyorsabb hibaok-elemzés egységesített hálózati szintű telemetria segítségével |
Kutatási adatvédelem | Fokozott felderítési képesség az érzékeny tudományos kutatások és a szellemi tulajdon védelme érdekében |
Incidenskezelés | A hálózati kontextus teljes körű figyelembevételével jobban összehangolt SOC-reagálás |
A szabályozási előírásoknak való megfelelésre való felkészültség | Az oktatási szektor biztonsági előírásainak megfelelő, megerősített folyamatos felügyelet |
A védelmi intézkedések kiterjesztése a campuson jelentkező fenyegetések változásával
A hálózat folyamatos átláthatóságának köszönhetően az egyetem most már képes kiterjeszteni felderítési és reagálási képességeit a campus rendszereinek és biztonsági munkafolyamataik szélesebb körére.
NDR MetaDefender NDR iterjesztése további hálózati szegmensekre, például a kutatási együttműködési környezetekre és a perifériás infrastruktúrára, hogy a campus hálózat bővülése és fejlődése során is biztosítva legyen a rendszer átláthatósága.
A hálózati telemetriai adatok összekapcsolása a meglévő SIEM- és SOAR-platformokkal az incidensek idővonalának kiegészítése, a reagálási munkafolyamatok felgyorsítása, valamint az elemzők munkaterhelésének csökkentése érdekében a biztonsági üzemeltetési csapat egészében.
A platform retrohunting funkciójának felhasználásával újraelemzik a korábbi hálózati adatokat, feltárják a korábban észrevétlen támadói tevékenységeket, és meghatározzák, hogy a felderítetlen fenyegetések mennyi ideig voltak jelen a környezetben.
A területbiztonságtól a hálózati valóságig
A campus hálózatokat nem lehet kizárólag kívülről védeni. Azok a támadók, akik kezdeti hozzáférést szereznek, hosszú ideig képesek oldalirányban mozogni a kutatási rendszerek, az oktatási alkalmazások és az adminisztratív infrastruktúra között, ha a biztonsági operációs központnak (SOC) nincs lehetősége a belső hálózati tevékenység figyelemmel kísérésére.
MetaDefender NDR bevezetésével az egyetem biztonsági operációs központjának (SOC) elemzői megszerezték azt a rálátást, felderítési képességet és nyomozási kontextust, amelyre szükségük van a fenyegetések korai felismeréséhez és a magabiztos reagáláshoz. Az eredmény egy proaktív, hálózati alapú védelmi modell, amely a modern felsőoktatási környezetek összetettségéhez igazodva skálázható.
Összefoglalás
- A hálózati perem- és végpont-eszközök önmagukban nem képesek felismerni azokat a fenyegetéseket, amelyek már oldalirányban terjednek a vállalati hálózaton belül
- A belső hálózat folyamatos átláthatósága elengedhetetlen ahhoz, hogy a támadók tevékenységét még azelőtt felismerjük, hogy az érzékeny rendszerekhez eljutna
- A mesterséges intelligencián alapuló viselkedéselemzés a szabályalapú eszközöknél hamarabb felismeri azokat a gyanús tevékenységeket, amelyek beleolvadnak a campus nagy forgalmú hálózati forgalmába
- Az integrált fenyegetési információk az észlelés pillanatában biztosítják a kontextust, ezzel csökkentve az elemzők terhelését
- A kifejezetten erre a célra kifejlesztett hálózati felügyelet mérhető javulást eredményez a biztonsági operációs központ (SOC) működésében, anélkül, hogy megzavarná az egyetemi campus működését
Ha az Ön SOC-ja egy összetett egyetemi környezetet véd, és nagyobb áttekinthetőségre van szüksége a belső hálózati tevékenységek terén, vegye fel a kapcsolatot az OPSWAT , hogy megtudja, hogyanNDR MetaDefender NDR az érzékeny adatok védelmében.
