A kiberbiztonsági folyamatos felügyelet egy állandó működési modell, amely ötvözi az eszközök valós idejű láthatóságát, a telemetriai adatok gyűjtését, a konfigurációk nyomon követését és az automatizált bizonyítékok előállítását. Ezáltal a biztonsági vezetők folyamatosan képben vannak a biztonsági helyzetükről és a fenyegetési körülményekről, ahelyett, hogy időszakos vizsgálatokra vagy egy adott időpontban végzett értékelésekre támaszkodnának, amelyek a vizsgálatok között kihasználható réseket hagynak.
- Mit jelent valójában a folyamatos felügyelet a kiberbiztonságban?
- Miért fontosabb a folyamatos figyelemmel kísérés, mint az időszakos értékelések?
- Mit kell tartalmaznia egy folyamatos megfigyelési programnak?
- Miben különbözik a folyamatos felügyelet a SIEM-től, az EDR-től, az XDR-től és a folyamatos ellenőrzések felügyeletétől
- Hogyan támogatja az „ OPSWAT” központosított biztonsági kezelése az elosztott környezetekben történő folyamatos felügyeletet?
- Gyakran ismételt kérdések
A legfontosabb tudnivalók
- A folyamatos nyomon követés egy működési modell, nem pedig egy termék. A programot több eszköz támasztja alá; a referenciaértékek, a felelősségi körök, a vezérlőpanelek és a korrekciós munkafolyamatok határozzák meg, hogy a program megfelelően működik-e.
- Az időszakos ellenőrzések olyan biztonsági réseket hagynak, amelyeket a támadók kihasználnak. Az IBM 2025-ös „Cost of Data Breach Report” című jelentése szerint az adatvédelmi incidensek felismeréséhez átlagosan 207 napra van szükség. Pontosan ezt a rést hivatott megszüntetni a folyamatos telemetria.
- A lefedettségnek a felhő- és vállalati hálózatokon túlra is ki kell terjednie. Az OT- , ICS- és „ air-gapped ” környezetekben olyan felügyeleti korlátok vannak, amelyekkel a felhőalapú eszközök kifejezetten erre a célra kifejlesztett támogatás nélkül nem tudnak megbirkózni.
- A SIEM, az EDR és az XDR egy folyamatos felügyeleti program részei, nem pedig annak helyettesítői. Az üzemeltetési modell határozza meg, hogy ezeket az eszközöket hogyan kell konfigurálni, integrálni és hogyan kell azok alapján intézkedni a teljes környezetben.
- My Az OPSWAT™ Central Management támogatja a folyamatos felügyeletet az MetaDefender telepítésekben, beleértve az internetkapcsolattal nem rendelkező és az air-gapped webhelyeket is. A láthatóság , a szabályok érvényesítése és a megfelelőségi jelentések ugyanúgy működnek, függetlenül attól, hogy egy webhely csatlakozik-e az internethez vagy el van-e szigetelve.
Mit jelent valójában a folyamatos felügyelet a kiberbiztonságban?
A kiberbiztonság terén a folyamatos felügyelet nem csupán egy termékkategória vagy egy gyártó szolgáltatásainak felsorolása. Hanem egy olyan biztonsági működési modell, amely az eszközleltárt, a fenyegetések felismerését, a szabályok betartatását és az automatizált javító intézkedéseket egy folyamatos programba egyesíti, nem pedig egymást követő, előre ütemezett események sorozatává.
Az Egyesült Államok szövetségi keretében ennek a modellnek a hivatalos elnevezése az „Information Security Continuous Monitoring” (ISCM). A NIST SP 800-137 az ISCM-et úgy határozza meg, mint az információbiztonsággal, a sebezhetőségekkel és a fenyegetésekkel kapcsolatos folyamatos tájékozottság fenntartását a szervezeti kockázatkezelési döntések alátámasztása érdekében. A keretrendszer hatálya túlmutat a szövetségi ügynökségeken, és minden biztonsági vezető számára strukturált módszert kínál arra, hogy átgondolja, mit kell eredményeznie egy felügyeleti programnak, és hogyan kell azt irányítani.
Mit mond a NIST SP 800-137 az információbiztonság folyamatos felügyeletéről
A NIST SP 800-137 az ISCM-et hat összetevőre bontja: stratégia meghatározása, ellenőrzési intézkedések kiválasztása, végrehajtás, adatgyűjtés, elemzés és jelentéstétel, valamint a megállapításokra való reagálás. Minden összetevő az előzőre épül, így zárt hurkot alkotva a politikai döntések és az operatív bizonyítékok között.
A CISO-k számára az SP 800-137 gyakorlati értéke az irányítási folyamatok egyértelműsége. A szabvány elkülöníti a program felépítését (ki határozza meg a stratégiát, ki intézkedik a megállapítások alapján, milyen gyakorisággal értékelik a különböző eszközöket) az adatgyűjtéshez használt eszközöktől. Ez az elkülönítés megakadályozza azt a gyakori hibaforrást, amikor a felügyeletet csupán egy eszköz bevezetésének tekintik, ahelyett, hogy felelősségi körökkel és elszámoltathatósággal rendelkező működési modellként kezelnék.
Miért tekinthető a folyamatos monitorozás inkább működési modellnek, mint egyedi eszköznek?
A folyamatos felügyeleti programot számos eszköz táplálja: a naplókorrelációhoz szükséges SIEM, a végpontok telemetriájához szükséges EDR, a sebezhetőség-ellenőrző programok, a konfigurációs értékelő eszközök, valamint az OT-specifikus adatgyűjtők. A programot nem egyetlen eszköz alkotja. A működési modellt az határozza meg, hogy mi szabályozza ezeket az eszközöket: az alapértékek, a szabályzatok, a műszerfalak, az eskalációs útvonalak és a korrekciós intézkedésekre vonatkozó munkafolyamatok.
Azok a szervezetek, amelyek olyan eszközt vásárolnak, amelytől folyamatos felügyeletet várnak, általában azt tapasztalják, hogy ugyan rendelkeznek telemetriai adatokkal, de nincs megfelelő programjuk. Ahhoz, hogy egy eszköz teljes értékét ki tudja aknázni, a programnak meghatározott felelősségi körökkel, jóváhagyott biztonsági alapértékekkel, reagálási munkafolyamatokkal és a vezetőség számára készülő jelentésekkel kell rendelkeznie.
Hogyan néz ki egy testület számára elfogadható definíció?
A vezetői és igazgatósági szintű közönség számára a folyamatos figyelemmel kísérés három eredményre vezethető vissza: annak felismerése, hogy mikor történik változás a biztonsági környezetben; a változás és a szervezet általi észlelés közötti idő lerövidítése; valamint a folyamatos biztonsági felügyeletre vonatkozó, megalapozott bizonyítékok megőrzése.
Ez a megközelítés azért fontos, mert az igazgatósági szintű megbeszéléseken a folyamatos felügyeletről gyakran összekeverik az üzemeltetési modellt a termékbeszerzéssel. Azok a biztonsági vezetők, akik a felügyeletet nem költségvetési tételként, hanem operatív képességként tudják bemutatni, jobb helyzetben vannak ahhoz, hogy megvédjék a programba történő beruházást, és a hiányosságokat a szervezeti kockázat szempontjából magyarázzák el.
Miért fontosabb a folyamatos figyelemmel kísérés, mint az időszakos értékelések?
A rendszeres biztonsági értékelések három általános formában valósulnak meg: negyedéves sebezhetőségi vizsgálatok, éves behatolási tesztek és havi konfigurációs felülvizsgálatok. Mindegyik egy pillanatképet nyújt. Az ezek közötti időszakban történnek a támadások, maradnak észrevétlenek a helytelen beállítások, és fokozódik a biztonsági rések kockázata.
Hogyan hagynak a rendszeres vizsgálatok kihasználható réseket az értékelések között
A negyedéves sebezhetőségi vizsgálat azt mutatja meg, hogy milyen volt a rendszer sebezhetősége a vizsgálat futtatásának napján. Egy újonnan üzembe helyezett szerver, egy módosított tűzfalszabály vagy a vizsgálat után három nappal elindított felhőalapú munkaterhelés a következő ellenőrzésig láthatatlan marad. A gyorsan változó környezetek – mint például a felhőalapú infrastruktúra, a távoli végpontok és az elosztott OT-telephelyek – miatt az időszakos értékelés architektúráilag nem elegendő.
A konfigurációs eltérések tovább súlyosbítják a problémát. Egy szerver, amely az utolsó ellenőrzéskor még helyesen volt konfigurálva, egy javítócsomag, szoftverfrissítés vagy rendszergazdai beavatkozás után akár néhány órán belül is eltérhet a jóváhagyott alapállapottól. A folyamatos konfiguráció-figyelés szinte valós időben észleli ezeket az eltéréseket, nem pedig csak a következő ütemezett ellenőrzéskor.
Hogyan csökkenti a folyamatos telemetria a támadók tartózkodási idejét
Az az IBM 2025-ös adatvédelmi incidensek költségeiről szóló jelentése szerintszerint egy biztonsági incidens azonosításához átlagosan 207 napra van szükség. Ez az időtartam legnagyobb része nem azért alakul ki, mert a felderítő eszközök nem lennének elég hatékonyak, hanem azért, mert a telemetriai adatok széttagoltak, a felelősségi körök nem egyértelműek, és a riasztások nem jutnak el a megfelelő reagáló csapatokhoz.
A folyamatos figyelemmel kísérés lerövidíti a feldolgozási időt azáltal, hogy összekapcsolja az adatgyűjtést a munkafolyamatokért felelős személyekkel. Amikor a távmérési adatok egy központi nézetbe áramlanak, összehasonlítják őket a referenciaértékekkel, és továbbítják a kijelölt felelősöknek, akkor a felismeréstől a helyzet kézben tartásáig vezető út lerövidül. A legtöbb szervezetben a szűk keresztmetszet nem a felismerési technológia. Hanem az a program hiánya, amely összeköti a felismerést a cselekvéssel.
Miért alkalmazzák a CISO-k a folyamatos felügyeletet a kockázatalapú döntéshozatalhoz?
A központosított, folyamatos áttekinthetőség megváltoztatja a biztonsági vezetés prioritási döntéseinek meghozatalát. Az eszközök állapotáról, a sebezhetőségek koráról, a javítások állapotáról és a szabályzatok betartásáról a teljes környezetre kiterjedő valós idejű áttekintésnek köszönhetően a CISO-k átállhatnak a legfrissebb riasztásokra való reagálásról a legnagyobb kockázatot jelentő sebezhetőségek kezelésére.
A kockázatalapú prioritásrendezéshez naprakész adatokra van szükség. Az a szervezet, amely havi jelentésekre és negyedéves irányítópanelekre támaszkodik, nem tud különbséget tenni egy múlt héten orvosolt, súlyos megállapítás és egy már hat hónapja nyitott probléma között. A folyamatos figyelemmel kísérés pedig láthatóvá és kezelhetővé teszi ezt a különbséget, még mielőtt az adatvédelmi incidenssé vagy audit-megállapítássá válna.
Mit kell tartalmaznia egy folyamatos megfigyelési programnak?
Egy átfogó, folyamatos felügyeleti program nem csupán a hálózati forgalmat vagy a végpontokról érkező riasztásokat fedi le. Kiterjed minden eszköztípusra, biztonsági területre és olyan környezetre, ahol biztonsági esemény bekövetkezhet, és figyelembe veszi az egyes területek sajátos korlátait.
Mely eszközöket és biztonsági tartományokat kell folyamatosan figyelni?
A folyamatos felügyelet teljes körébe beletartoznak a végpontok, a szerverek, a virtuális gépek, a felhőalapú munkaterhelések, a hálózati infrastruktúra, a felhasználói azonosítók, az alkalmazások, az adatátviteli pontok, a cserélhető adathordozók és a bevezetett biztonsági intézkedések. Minden eszközosztály olyan telemetriai adatokat generál, amelyek a felügyeleti programba tartoznak.
A folyamatos felügyeleti programok „vakfoltjai” leggyakrabban a nem kezelt eszközökből és a hiányos leltárakból adódnak. A leltárban nem szereplő eszközöket nem figyelik, ami azt jelenti, hogy azok nem járulnak hozzá a szervezet biztonsági helyzetének átfogó képéhez. A pontos, naprakészen vezetett eszközleltár képezi az alapját a telemetriai rendszerek kiválasztásának, az alapértékek meghatározásának és a lefedettség mérésének.
Mely telemetriai adatokat kell központosítani, és milyen gyakorisággal?
Azok a telemetriai kategóriák, amelyeket egy folyamatos felügyeleti programnak központosítania kell, a következők: sebezhetőségi adatok, konfigurációs állapot, hitelesítési események, rosszindulatú szoftverek ellenőrzésének eredményei, hálózati forgalmi adatok, a biztonsági ellenőrzések állapotjelentései, valamint a szabályzatoknak való megfelelés állapota. Nem minden telemetriai adat esetében szükséges azonos gyűjtési gyakoriság.
Az adatgyűjtés gyakoriságát az eszközök kritikus fontosságához kell igazítani. A legfontosabb eszközök (termelésirányító rendszerek, azonosítási infrastruktúra és adatátviteli átjárók) esetében gyakrabban kell adatokat gyűjteni, és szigorúbb referenciaértékeket kell alkalmazni. A kevésbé kritikus eszközöket alacsonyabb gyakorisággal is figyelemmel lehet kísérni anélkül, hogy ez jelentős felügyeleti hiányosságokat eredményezne. Ha az összes telemetriai adatot azonos gyakorisággal kezeljük, az növeli a feldolgozási zajt anélkül, hogy javítaná az észlelési eredményeket.
Mi változik, ha az OT- és az „ Air-Gapped ” környezetet is figyelemmel kísérjük?
Az OT- és az „ air-gapped ” környezetek olyan felügyeleti korlátokat jelentenek, amelyek kezelésére a felhőalapú és a vállalati igényekre szabott eszközöket nem tervezték. A hálózati kapcsolat korlátozott vagy egyáltalán nincs. A változáskezelési folyamatok tervezésüknél fogva lassúak. A biztonsági követelmények korlátozzák, hogy mit lehet az üzemelő rendszereken telepíteni. Az OT- és az IT-hálózatok közötti adatútvonalakat szándékosan szabályozzák.
Ezek a korlátok nem szüntetik meg a központosított felügyelet szükségességét; csupán megváltoztatják az adatgyűjtés módját és a javítások végrehajtásának módját. Az OT-környezetekben a felügyelet általában passzív adatgyűjtésre, lekérdező ügynökökre vagy ütemezett adatátvitelre támaszkodik, nem pedig folyamatos adatfolyamra. Az „ Air-gapped ” (a hálózaton kívüli eszközök) telephelyeknél offline javítási útvonalakra van szükség, például a javítások telepítésére hálózaton kívüli felügyeleti eszközökön keresztül, a felhőalapú frissítési folyamatok helyett.
Miben különbözik a folyamatos felügyelet a SIEM-től, az EDR-től, az XDR-től és a folyamatos ellenőrzések felügyeletétől
A biztonsági információk és események kezelése (SIEM), a rosszindulatú kódok felismerése és reagálás ( Endpoint , EDR), a kiterjesztett felismerés és reagálás (Extended Detection and Response, XDR), valamint a folyamatos ellenőrzés (Continuous Controls Monitoring, CCM) fogalmát gyakran összekeverik a folyamatos felügyelettel, illetve annak alternatívájaként javasolják őket. Mindegyik egy önálló képesség, amely inkább egy felügyeleti program részeként illeszkedik be, mintsem hogy azt helyettesítené.
Eszköz / Kategória | Elsődleges funkció | Főbb képességek | Szerep a folyamatos megfigyelési programban |
Folyamatos megfigyelési program | A folyamatos biztonsági tudatosságra vonatkozó működési modell | Irányítja az eszközleltárt, az alapállapotokat, a távmérési adatokat és a reagálási felelősségeket valamennyi területen | Maga a program. Minden egyéb eszköz ehhez kapcsolódik |
SIEM | Naplóösszesítés, korreláció és riasztások | Normalizálja a több forrásból származó eseményeket, alkalmazza az észlelési szabályokat, és jelzi a riasztásokat | Napló- és eseményréteg; kezeli a riasztások továbbítását és a vizsgálati munkafolyamatot |
EDR | Endpoint felismerés és reagálás | Részletes végpont-telemetria, viselkedésalapú észlelés, elszigetelés és hibaelhárítás | Endpoint telemetriai forrás; kizárólag a felügyelt végpontokra vonatkozik |
XDR | Doménközi észlelés és reagálás | Összekapcsolja a végpontok, a hálózat és a felhő telemetriai adatait az egységes észlelés érdekében | Szélesebb körű felismerési réteg; nem terjed ki az OT- vagy az air-gapped környezetekre |
Folyamatos vezérlőelem-felügyelet (CCM) | A biztonsági intézkedések működésének folyamatos ellenőrzése | Automatizált bizonyíték-előállítás a szabályozási előírások betartása érdekében; a szabályzatoknak való megfelelés nyomon követése | A megfelelés és az irányítás bizonyítékrétege; az audit-dokumentáció tekintetében átfedésben van a CM-mel |
Hogyan illeszkednek ezek az eszközök egy folyamatos megfigyelési programba?
A SIEM a programon belül a naplóösszesítési, korrelációs és riasztási réteget képezi. Feladata az események normalizálása, az észlelési szabályok kezelése, valamint az elemzői vizsgálati munkafolyamatok irányítása. A SIEM nem foglalkozik az eszközleltárral, a konfigurációs alapértékekkel, illetve a javító intézkedésekkel.
Az EDR és az XDR a végpontok és a hálózatok felderítésével és az azokra adott válaszlépésekkel foglalkoznak. Részletes telemetriai és reagálási képességeket nyújtanak az általuk lefedett eszközök számára, de nem terjednek ki az OT-rendszerekre, a „ air-gapped ” környezetekre, a cserélhető adathordozókra, illetve a felügyeleti program által lefedendő eszközök teljes körére.
A CCM ellenőrzi, hogy a biztonsági intézkedések megfelelően működnek-e, és hogy az irányelveket betartják-e. A CCM az irányítási és megfelelési bizonyítékokkal foglalkozik, és bár átfedésben áll az auditjelentésekben szereplő folyamatos figyelemmel kíséréssel, nem foglalkozik a fenyegetések észlelésével, a rendszerben való tartózkodási idő csökkentésével, illetve az általa nyomon követett intézkedéseken kívüli korrekciós intézkedésekkel.
Hogyan támogatja az „ OPSWAT” központosított biztonsági kezelése az elosztott környezetekben történő folyamatos felügyeletet?
A folyamatos felügyelet csak akkor működik, ha a biztonsági csapat egyszerre láthatja az összes telepítést, beleértve azokat is, amelyek soha nem kapcsolódnak az internethez. Az elosztott IT-, OT- és air-gapped -környezetek mindegyike saját vizsgálati eredményeket, állapotjelzéseket és szabályállapotokat generál, és ha nincs egyetlen konzol, amely ezeket összesítené, a biztonsági vezetőnek több rendszert is ellenőriznie kell ahhoz, hogy választ kapjon egy kérdésre: van-e jelenleg valami veszélyben?
My Az OPSWAT™ Central Management az OPSWAT központosított biztonsági felügyeleti platformja, amelyet úgy terveztek, hogy egységes áttekinthetőséget, központosított felügyeletet és egyszerűsített hibaelhárítást biztosítson azMetaDefender telepítéseihez az IT-, OT-, helyszíni és air-gapped környezetekben.
Az eszközök és környezetek közötti valós idejű eszközláthatóság
A folyamatos felügyelet azzal kezdődik, hogy pontosan tudjuk, mi található a környezetünkben. My OPSWAT Central Management központosított leltárt biztosít minden regisztrált MetaDefender -példányról a felhőalapú, a helyszíni és a air-gapped telepítésekben egyaránt.
Egyetlen megbízható adatforrás segítségével a csapatok gyorsan azonosíthatják a védett és a nem felügyelt eszközöket, felismerhetik azokat az eszközöket, amelyek már nem küldenek jelentéseket, és pontosan felmérhetik a lefedettséget olyan elosztott vagy szegmentált hálózatokban, ahol a kézi nyomon követés gyakran kivitelezhetetlen.
Az egységesített „ Endpoint ” biztonsági helyzet
My OPSWAT Central Management A rendszergazdák számára átfogó képet nyújt a szervezet egészében érvényes végpontok biztonsági helyzetéről. Egyetlen irányítópultról a csapatok ellenőrizhetik a végpontok állapotát, megtekinthetik a vizsgálati eredményeket, és nyomon követhetik a megfelelőségi állapotot anélkül, hogy különböző konzolok között kellene váltaniuk.
A beépített felügyelet rávilágít a biztonsági résekre és a konfigurációs eltérésekre, így könnyebbé válik azoknak az eszközöknek az azonosítása, amelyek nem felelnek meg a meghatározott biztonsági alapelvárásoknak, és lehetővé teszi a korrekciós intézkedések meghozatalát, mielőtt a problémák súlyosbodnának.
A sebezhetőségek figyelemmel kísérése és a kockázatok fontossági sorrendbe állítása
Szerezzen folyamatosan frissülő áttekintést a felügyelt eszközökön és alkalmazásokon található sebezhetőségekről. A biztonsági csapatok gyorsan azonosíthatják az érintett végpontokat, megismerhetik, mely alkalmazások vannak kitéve kockázatnak, és nyomon követhetik a kockázati trendeket az idő függvényében. Az eredményeket súlyosságuk szerint kategorizálják, ami segít a csapatoknak abban, hogy a javítási intézkedéseket ott prioritásként kezeljék, ahol azok a legnagyobb hatást érhetik el, valamint nyomon kövessék az előrehaladást a támadási felület változásával párhuzamosan.
A szabályozott környezetekben az auditra felkészült megfelelés fenntartása
A szabályozási követelményeknek megfelelően működő szervezetek számára a szabályoknak való megfelelés igazolása éppoly fontos lehet, mint annak fenntartása. My OPSWAT Central Management folyamatosan értékeli az eszközöket a szervezeti irányelvek alapján, az eredményeket központi naplófájlokban rögzíti, és olyan keretrendszereknek megfelelő jelentéseket állít elő, mint a NIST, a CISA és a GDPR. Mivel a biztonsági adatokat egyetlen helyen gyűjtik össze, az ellenőrzésekhez szükséges bizonyítékok azonnal rendelkezésre állnak, míg a szabályoknak nem megfelelő eszközöket már abban a pillanatban azonosítani és kezelni lehet, amint eltérnek az irányelvektől.
A fenyegetésekkel kapcsolatos megállapítások összevonása cselekvésre alkalmas következtetésekké
Ahhoz, hogy a folyamatos felügyelet elosztott környezetekben is működőképes legyen, a biztonsági csapatoknak olyan központosított biztonsági irányításra van szükségük, amely az összes biztonsági eseményt egy helyen összegyűjti.
My OPSWAT Central Management a szervezet egészéből származó rosszindulatú programok észleléseit, a blokkolt fájlokat, a karanténba helyezési eseményeket és egyéb megállapításokat egyetlen áttekinthető nézetbe egyesíti.
A különböző helyszíneken és telepítési típusokban zajló tevékenységek elemzésével a csapatok feltárhatják az ismétlődő mintákat, felismerhetik a kialakulóban lévő fenyegetéseket, és megállapíthatják, hogy egy adott probléma elszigetelt-e, vagy szélesebb körű kockázatra utal.
Proaktív riasztások kritikus események esetén
A biztonsági csapatoknak nem kellene folyamatosan figyelniük a műszerfalakat ahhoz, hogy naprakészek maradjanak. My OPSWAT Central Management időszerű riasztásokat nyújt a kritikus biztonsági eseményekről, a rosszindulatú programok észleléséről, a rendszer állapotával kapcsolatos problémákról és egyéb figyelmet igénylő helyzetekről.
A platform azáltal, hogy a lényeges változások bekövetkeztekor értesíti a megfelelő személyzetet, elősegíti a gyorsabb reagálást, csökkenti az üzemzavarokat, és megakadályozza, hogy a kisebb problémák nagyobb biztonsági vagy megfelelési incidensekké fajuljanak.
Vegye fel a kapcsolatot az OPSWAT , vagy látogasson el a My OPSWAT Central Management oldalára, és ismerje meg, hogyan javíthatja a központi felügyelet a biztonsági műveleteit.
Gyakran ismételt kérdések
Mi a különbség a folyamatos figyelés és az időszakos ellenőrzés között?
Az időszakos vizsgálatok egy adott időpontban érvényes értékeléseket eredményeznek: pillanatképet adnak a rendszer kitettségéről azon a napon, amikor a vizsgálat lefutott. A folyamatos figyelemmel kísérés viszont a pillanatképek között is folyamatosan nyomon követi az eszközök állapotát, a konfigurációs eltéréseket, a sebezhetőségek helyzetét és a fenyegetések aktivitását. A döntő különbség az időben rejlik. Egy olyan hibás konfiguráció, amely az utolsó vizsgálat után három nappal jelentkezik, az időszakos modellben észrevehetetlen marad, míg a folyamatos modellben már néhány órán belül láthatóvá válik.
Mely telemetriai adatokat kell központosítani a hatékony, folyamatos megfigyelés érdekében?
A telemetriai adatok főbb kategóriái a sebezhetőségi adatok, a konfigurációs állapot, a hitelesítési események, a kártevőprogram-ellenőrzés eredményei, a hálózati forgalmi adatok, a biztonsági ellenőrzések állapota, valamint a szabályzatoknak való megfelelés állapota. Operatív technológiai (OT) környezetek esetében ehhez hozzáadódik az eszközleltár, a protokollaktivitás, valamint az operációs rendszerek frissítési állapota. Az adatgyűjtés gyakoriságát az eszközök kritikus fontosságához kell igazítani, ahelyett, hogy minden telemetriai adatot azonos gyakorisággal kezelnének.
Hogyan lehet a folyamatos felügyeletet a meglévő SIEM-, SOAR- és XDR-rendszerekbe integrálni anélkül, hogy riasztás-fáradtság alakulna ki?
Az integráció előtt határozzuk meg az egyes platformok szerepét: a SIEM a naplókorrelációt és a riasztáskezelést végzi, a SOAR a reagálási folyamatok összehangolását, az XDR pedig a végpontok és a hálózat felügyeletét. A folyamatos felügyelet az ezeket átfogó irányítási réteg. Ez szabályozza, hogy mely adatok kerüljenek be az egyes platformokba, meghatározza azokat az alapértékeket, amelyek eltérése esetén a platformok riasztást küldenek, és a megállapításokat a megfelelő reagálási felelősökhöz továbbítja. Az integrációs rétegen végzett duplikációmentesítés, a kockázatalapú riasztási küszöbértékek és az egyértelmű súlyossági modellek megakadályozzák a riasztások elszaporodását.
Működhet-e a folyamatos felügyelet a „ air-gapped ” vagy az OT-környezetekben?
Igen, de az adatgyűjtési és javítási módszerek eltérnek a hálózatba kapcsolt vállalati hálózatokétól. Az „ Air-gapped ” helyszíneken passzív adatgyűjtésre, lekérdező ügynökökre vagy ütemezett adatátvitelre van szükség, nem pedig folyamatos adatfolyamra. A javításokat (javítások, házirend-frissítések és konfigurációs módosítások) nem felhőalapú folyamatokon, hanem offline üzemmódra képes felügyeleti eszközökön keresztül kell végrehajtani. Azok a biztonsági felügyeleti platformok, amelyek kifejezetten támogatják a „ air-gapped ” regisztrációt és az offline javításokat, elengedhetetlenek ahhoz, hogy a folyamatos felügyeletet kiterjesszük ezekre a környezetekre.
Hogyan tud a folyamatos felügyelet a NIST 800-53, a NIST 800-137 és a FedRAMP előírásainak megfelelő, auditálásra alkalmas bizonyítékokat szolgáltatni?
A folyamatos felügyelet auditra kész bizonyítékokat szolgáltat, amikor a konfigurációs változásokat, a vizsgálati eredményeket, az ellenőrzési állapotot és a szabályzati intézkedéseket időbélyegekkel, szerepkör-hozzárendeléssel és megőrzéssel egy hamisításbiztos naplóban rögzíti. A NIST 800-53 előírja az ellenőrzések hatékonyságának folyamatos értékelését. A folyamatos felügyelet automatizált bizonyítékokat szolgáltat, amelyek felváltják a kézi igazolásokat és az adott pillanatban készített képernyőképeket. A FedRAMP folyamatos felügyeleti követelményei meghatározzák a minimális értékelési gyakoriságot és a bizonyítékok megőrzési idejét; az ezekre a követelményekre épülő program a normál működés melléktermékeként szabályoknak megfelelő dokumentációt állít elő.
Melyek azok a gyakori hiányosságok, amelyek miatt a folyamatos megfigyelési programok kudarcot vallanak?
A leggyakoribb hibaforrások a hiányos eszközleltár (az eszközöket nem figyelik, mert nem követik nyomon őket), a válaszadási felelősség egyértelműségének hiánya (riasztások keletkeznek, de nem reagálnak rájuk) és a referenciaértékek hiánya (a telemetriai adatokat a normális állapotra vonatkozó referenciaérték nélkül gyűjtik). A leggyorsabb javítási lépések a következő sorrendben hajthatók végre: az eszközleltár felülvizsgálata és a nem kezelt eszközökkel kapcsolatos hiányosságok megszüntetése, név szerint kijelölt felelősök kinevezése meghatározott eskalációs határidőkkel, valamint a legmagasabb kockázatú eszközosztályok esetében a jóváhagyott biztonsági állapot-alapértékek dokumentálása. Ez a három lépés már új eszközök bevezetése előtt is mérhető javulást eredményez.
