A hálózat belsejében rejtőző láthatatlan fenyegetések
Bármelyik napon is nézzük, az egyetem hálózata több ezer hallgató előadások streameléséhez szükséges adatforgalmát, a kutatók laboratóriumok közötti adatátvitelét, a oktatók felhőalapú értékelési platformokhoz való hozzáférését, valamint az adminisztratív személyzet beiratkozási és bérszámfejtési adatainak feldolgozását bonyolította le. A több campuson átívelő, a kutatólaboratóriumokat, a tanszékeket és az adminisztratív rendszereket összekötő hálózatot úgy alakították ki, hogy mindez zökkenőmentesen működhessen.
Ugyanez a hálózati összeköttetés miatt szinte lehetetlen volt a hálózatot belülről megvédeni. Azoknak a támadóknak, akik adathalász kampány, ellopott hitelesítő adatok vagy egy diákok számára elérhető, sebezhető rendszer révén szereztek kezdeti hozzáférést, ez a legitim tevékenység ideális álcát nyújtott. A biztonsági operációs központ (SOC) a hálózat peremén szigorú ellenőrzési mechanizmusokkal rendelkezett, de miután a támadó bejutott a rendszerbe, csak korlátozottan tudták nyomon követni a történéseket. A belső adatforgalom szabadon áramlott a rendszerek között, és csak korlátozott rálátás volt arra, hogy mi hol mozog.
A belső hálózati forgalom gyakorlatilag láthatatlan volt
A hagyományos felügyeleti eszközök elsősorban a hálózati határon belépő és onnan kilépő forgalomra összpontosítottak. A campus infrastruktúráján belüli rendszerek közötti kommunikáció – ideértve a kutatólaboratóriumokat, az oktatási alkalmazásokat és az adminisztratív adatbázisokat is – nem tartozott a figyelmük körébe. Az oldalirányú mozgások, a parancs- és vezérlési tevékenységek, valamint a támadók korai szakaszban megnyilvánuló viselkedése ezeken a szegmensekben riasztások kiváltása nélkül zajlhatott le. A biztonsági operációs központnak (SOC) nem állt rendelkezésére olyan mechanizmus, amellyel ezt figyelemmel kísérhette volna.
Az észlelés a későbbi mutatóktól függött
Hálózati szintű áttekinthetőség hiányában az elemzők a végpontokról érkező riasztásokra és a rendszerben fellépő rendellenességekre támaszkodtak a gyanús tevékenységek felismeréséhez. Ezek a jelek általában csak akkor jelentek meg, amikor a támadó már kiterjesztette hozzáférését, átjutott a rendszerek között, vagy érzékeny adatok közelébe jutott. Mire a biztonsági operációs központot (SOC) riasztották, a korai elszigetelés lehetősége gyakran már elszaladt.
A campus összetettsége miatt a viselkedéselemzés kivitelezhetetlen volt
A campus hálózati forgalom nagyságrendje és sokszínűsége miatt a hagyományos eszközökkel nehéz volt alapértékeket meghatározni vagy rendellenességeket azonosítani. A kutatási környezetekből, a hallgatói rendszerekből, a felhőszolgáltatásokból és az adminisztratív infrastruktúrából származó forgalmi minták jelentősen eltértek egymástól. A támadói viselkedés és a legitim tevékenységek megkülönböztetéséhez olyan szintű elemzési képességre volt szükség, amelyet a meglévő eszközök nem tudtak biztosítani.
Mire volt szüksége a SOC-nak a campus biztonságának védelméhez
Az egyetem biztonsági csapatának szüksége volt arra, hogy betekintést nyerjen a saját hálózatába, a feltárt problémákra megfelelően reagáljon, valamint bizonyítani tudja, hogy az érzékeny kutatási adatok és a hallgatói információk megfelelő védelmet élveznek. A döntéshozatal során a következő szempontok voltak meghatározóak:
A belső rendszerekben történő korai felismerés
A SOC-nak még azelőtt kellett felismernie a belső rendszerek között terjedő fenyegetéseket, hogy azok eljutnának az érzékeny kutatási vagy adminisztratív infrastruktúrához, és nem akkor, amikor a végpontok már riasztást adtak ki.
A nagy volumenű környezetben elért eredmények megbízhatósága
Mivel több ezer felhasználó és eszköz folyamatos forgalmat generált, a csapatnak olyan riasztásokra volt szüksége, amelyekben megbízhatott, ahelyett, hogy még több riasztást kellett volna kézzel átnéznie.
Gyorsabb és alaposabb vizsgálatok
Az elemzőknek a fenyegetés észlelésekor elegendő háttérinformációra volt szükségük ahhoz, hogy gyorsan felmérjék a fenyegetés mértékét, anélkül, hogy több, egymástól független eszközből származó bizonyítékokat kellett volna összerakniuk.
Az oktatási szektor előírásainak való megfelelés
Az egyetemnek olyan folyamatos felügyeleti rendszerre volt szüksége, amely elősegítette az ellenőrzésekre való felkészülést, és segített igazolni a hallgatói és kutatási adatokra vonatkozó biztonsági előírások betartását.
A campus működésének minimális zavarása
Bármely megoldásnak az egyetem modern és régebbi rendszereinek összetett környezetében is működnie kellett, anélkül, hogy jelentős architektúraváltozásokat igényelt volna, vagy a bevezetés során megzavarta volna az oktatási tevékenységet.
A vakfoltoktól az egységes hálózati átláthatóságig
Az egyetem a MetaDefender bevezetésével megszüntette a belső láthatósági hiányosságokat MetaDefender NDR bevezetésével a campus egész területén található stratégiai hálózati szegmensekben. A főbb hálózati csomópontokra elhelyezett érzékelők révén a SOC folyamatos hozzáférést kapott az oktatási rendszerek, kutatási hálózatok, felhőszolgáltatások és adminisztratív infrastruktúra közötti forgalomhoz. Az elemzők először kaptak egységes képet az egyetem elosztott környezetében zajló kelet-nyugati hálózati tevékenységről.
MetaDefender NDR gépi tanulás és viselkedéselemzés segítségévelNDR elemzi a hálózati tevékenység adatait, hogy azonosítsa a rendellenes forgalmi mintákat, felismerje a rendszerek közötti oldalirányú mozgásokat, és feltárja a parancs- és vezérlő kommunikációt. A mesterséges intelligencián alapuló rendellenesség-felismerő modellek feltárják a támadói viselkedés finom jeleit, amelyek beleolvadnak a normál hálózati forgalomba, még mielőtt a támadók tovább hatolhatnának a rendszerbe.
Az integrált fenyegetési információk automatikusan kiegészítették az észleléseket, így az elemzők nem puszta mutatókat, hanem kontextusba ágyazott riasztásokat kaptak. Ahelyett, hogy több rendszerből származó, széttagolt adatokat kellett volna összefüggésbe hozniuk, a biztonsági operációs központ (SOC) egyetlen platformról, a támadói tevékenységekre vonatkozó teljes hálózati szintű áttekintéssel tudta kivizsgálni az incidenseket.
Mérhető hatása a SOC átláthatóságára és az egyetemi biztonságra
MetaDefender NDR bevezetését követően az egyetem biztonsági operációs központja (SOC) átállt a végpontok riasztásaira és a rendszer rendellenességeire való passzív várakozásról egy proaktív működési módra, amelynek köszönhetően már a fenyegetések kialakulásának korai szakaszában képesek felismerni és kivizsgálni azokat.
Hatásterületek | Működési előnyök |
Hálózati átláthatóság | A campus-hálózatokon belüli kelet-nyugati forgalom folyamatos, részletes áttekintése |
A fenyegetések észlelésének sebessége | Az oldalirányú mozgás és a gyanús kommunikációs minták korábbi felismerése |
A nyomozás hatékonysága | Gyorsabb hibaok-elemzés egységesített hálózati szintű telemetria segítségével |
Kutatási adatvédelem | Fokozott felderítési képesség az érzékeny tudományos kutatások és a szellemi tulajdon védelme érdekében |
Incidenskezelés | A hálózati kontextus teljes körű figyelembevételével jobban összehangolt SOC-reagálás |
A szabályozási előírásoknak való megfelelésre való felkészültség | Az oktatási szektor biztonsági előírásainak megfelelő, megerősített folyamatos felügyelet |
A védelmi intézkedések kiterjesztése a campuson jelentkező fenyegetések változásával
A hálózat folyamatos átláthatóságának köszönhetően az egyetem most már képes kiterjeszteni felderítési és reagálási képességeit a campus rendszereinek és biztonsági munkafolyamataik szélesebb körére.
Az érzékelők szélesebb körű lefedettsége a campus különböző területein
NDR MetaDefender NDR iterjesztése további hálózati szegmensekre, például a kutatási együttműködési környezetekre és a perifériás infrastruktúrára, hogy a campus hálózat bővülése és fejlődése során is biztosítva legyen a rendszer átláthatósága.
A SOC-műveletekkel való szorosabb integráció
A hálózati telemetriai adatok összekapcsolása a meglévő SIEM- és SOAR-platformokkal az incidensek idővonalának kiegészítése, a reagálási munkafolyamatok felgyorsítása, valamint az elemzők munkaterhelésének csökkentése érdekében a biztonsági üzemeltetési csapat egészében.
Visszamenőleges fenyegetéskeresés a korábbi forgalomban
A platform retrohunting funkciójának felhasználásával újraelemzik a korábbi hálózati adatokat, feltárják a korábban észrevétlen támadói tevékenységeket, és meghatározzák, hogy a felderítetlen fenyegetések mennyi ideig voltak jelen a környezetben.
A területbiztonságtól a hálózati valóságig
A campus hálózatokat nem lehet kizárólag kívülről védeni. Azok a támadók, akik kezdeti hozzáférést szereznek, hosszú ideig képesek oldalirányban mozogni a kutatási rendszerek, az oktatási alkalmazások és az adminisztratív infrastruktúra között, ha a biztonsági operációs központnak (SOC) nincs lehetősége a belső hálózati tevékenység figyelemmel kísérésére.
MetaDefender NDR bevezetésével az egyetem biztonsági operációs központjának (SOC) elemzői megszerezték azt a rálátást, felderítési képességet és nyomozási kontextust, amelyre szükségük van a fenyegetések korai felismeréséhez és a magabiztos reagáláshoz. Az eredmény egy proaktív, hálózati alapú védelmi modell, amely a modern felsőoktatási környezetek összetettségéhez igazodva skálázható.
Összefoglalás
- A hálózati perem- és végpont-eszközök önmagukban nem képesek felismerni azokat a fenyegetéseket, amelyek már oldalirányban terjednek a vállalati hálózaton belül
- A belső hálózat folyamatos átláthatósága elengedhetetlen ahhoz, hogy a támadók tevékenységét még azelőtt felismerjük, hogy az érzékeny rendszerekhez eljutna
- A mesterséges intelligencián alapuló viselkedéselemzés a szabályalapú eszközöknél hamarabb felismeri azokat a gyanús tevékenységeket, amelyek beleolvadnak a campus nagy forgalmú hálózati forgalmába
- Az integrált fenyegetési információk az észlelés pillanatában biztosítják a kontextust, ezzel csökkentve az elemzők terhelését
- A kifejezetten erre a célra kifejlesztett hálózati felügyelet mérhető javulást eredményez a biztonsági operációs központ (SOC) működésében, anélkül, hogy megzavarná az egyetemi campus működését
Ha az Ön SOC-ja egy összetett egyetemi környezetet véd, és nagyobb áttekinthetőségre van szüksége a belső hálózati tevékenységek terén, vegye fel a kapcsolatot az OPSWAT , hogy megtudja, hogyanNDR MetaDefender NDR az érzékeny adatok védelmében.
