أدوات الأمن تولد الإشارة ؛ يساعد ذكاء التهديد في تحديد الإجراء.
بالنسبة لفرق مركز SOC) ، لا تكمن قيمة استخبارات التهديد في أنه يضيف تيارًا آخر من البيانات - بل إنه يحسن قرارات محددة عبر سير عمل الاكتشاف والاستجابة: ما هي السلوكيات التي ينبغي أن تؤدي إلى الاكتشاف ، وما هي التنبيهات لتحديد الأولويات ، وأين يجب التحقيق بعد ذلك ، ومدى تحديد النطاق الاستجابة وماذا تقوي بعد ذلك.
هذا هو السبب في أن استخبارات التهديد لا ينبغي أن تبتعد عن SOC كخلاصة سلبية أو مصدر بحث عرضي. وعند استخدامه بشكل جيد ، يصبح جزءًا من العمليات الأمنية اليومية ، ويشكل منطق الاكتشاف ، ويثري التنبيهات ، ويوجه التحقيقات ، ويدعم مطاردة التهديدات ، ويساعد فرق الاستجابة على التصرف بالمستوى الصحيح من الإلحاح.
لماذا تحتاج فرق مركز عمليات SOC) إلى معلومات استخباراتية عن التهديدات لاتخاذ قرارات أمنية أفضل
من المتوقع أن تكتشف مراكز عمليات الأمان الحديثة (SOC) وتستجيب بسرعة ، ولكن يتعين على المحللين في كثير من الأحيان التعامل مع الأدلة الجزئية. قد يُظهر التنبيه نطاقًا مريبًا أو تجزئة ملف أو عملية أو تسجيل دخول أو أصل عرضة للاختراق أو اتصال محظور. قد لا تظهر هذه الإشارة من تلقاء نفسها ما إذا كان النشاط منعزلاً أو جزءًا من نمط هجوم أوسع أو عاجلاً بما يكفي للتصعيد على الفور.
هذا يخلق مشاكل عملية. يقضي المحللون وقتًا في الأحداث المشكوك فيها من الناحية الفنية ولكنها منخفضة المخاطر. يمكن دفن النشاط الجاد بين التنبيهات الروتينية. قد يتم فحص الإشارات ذات الصلة بشكل منفصل. قد تركز قواعد الاكتشاف على المؤشرات التي يمكن للمهاجمين استبدالها بسهولة. قد تعتمد قرارات الاستجابة بشكل كبير على خبرة المحلل الفردي.
التحدي ليس فقط حجم التنبيه ؛ من عدم اليقين. تقلل المعلومات المتعلقة بالتهديدات من حالة عدم اليقين هذه عن طريق إدخال المعرفة الخارجية في قرارات SOC : الحملات النشطة ، والبنية التحتية المعروفة ، وسلوك البرامج الضارة ، والثغرات الأمنية المستغلة ، وتقنيات المهاجم ، واستهداف القطاع ، والخطوات التالية المحتملة.
كيف تدعم استخبارات التهديدات سير عمل SOC
تعمل استخبارات التهديد على تحسين اكتشاف SOC والاستجابة لها عندما تساعد الفرق على الإجابة على خمسة أسئلة تشغيلية:
- ما الذي يجب أن نكتشفه؟
- ما هي التنبيهات الأكثر أهمية؟
- أين يجب أن نتحرى بعد ذلك؟
- كيف يجب أن نستجيب؟
- ما الذي يجب أن نحسنه بعد ذلك؟
هذه الأسئلة مهمة لأن SOC ليست وظيفة واحدة . تحتاج هندسة الكشف والفرز والتحقيق ومطاردة التهديدات والاستجابة للحوادث والتحسين المستمر إلى أنواع مختلفة من الذكاء.
قد يحتاج مهندس الكشف إلى منطق Sigma أو YARA أو Suricata ، وتقنيات معيّنة ومؤشرات جديدة. قد يحتاج المحلل الأول إلى تنبيه سريع الإثراء وتسجيل الثقة. قد يحتاج صائد التهديد إلى تفاصيل الحملة وسلوكيات المهاجم. قد يحتاج المستجيب للحوادث إلى المؤشرات ذات الصلة ومسارات الحركة الجانبية المحتملة وإرشادات الاحتواء. قد يحتاج قائد SOC) إلى عرض لفجوات الاكتشاف وأنماط الهجوم المتكررة والمخاطر التشغيلية.
إن أقوى استخدام لذكاء التهديد ليس مجرد "سياق أكثر" - إنه معلومات استخباراتية يتم تسليمها بدقة إلى نقطة القرار الصحيحة.
استخدام ذكاء التهديدات لتحسين هندسة الاكتشاف
يبدأ الاكتشاف قبل إطلاق أي تنبيه ، مما يساعد فرق مركز SOC على تحويل نشاط التهديد في العالم الحقيقي إلى منطق اكتشاف. إذا كانت الحملة تستهدف مؤسسات في قطاع معين ، باستخدام طريقة وصول أولية معروفة أو تستغل ثغرة أمنية معينة ، فيمكن SOC استخدام هذه المعرفة لبناء عمليات الاكتشاف أو ضبطها أو التحقق من صحتها.
يمكن أن يتضمن ذلك مؤشرات يمكن قراءتها آليًا مثل عناوين IP الضارة والمجالات وعناوين URL والتجزئة. ويمكن أن تتضمن أيضًا قواعد الاكتشاف وتوقيعات البرامج الضارة وذكاء الثغرات الأمنية وأنماط القيادة والتحكم وسلوكيات المهاجم المعينة لأطر مثل MITER ATT & CK.
ويكمن التمييز المهم في أن المعلومات الاستخبارية عن التهديدات تدعم الاكتشاف القائم على المؤشرات والقائم على السلوك.
تُعد المؤشرات ذات قيمة في تحديد النشاط الخبيث المعروف بسرعة ، لكن قيمتها التشغيلية يمكن أن تنخفض بسرعة. يمكن للمهاجمين تدوير البنية التحتية وتغيير المجالات وتغيير التجزئة وتعديل الأدوات. غالبًا ما يكون من الصعب التهرب من الاكتشاف المستند إلى السلوك لأنه يركز على ما لا يزال يتعين على المهاجمين القيام به: الحصول على إمكانية الوصول ، أو تصعيد الامتيازات ، أو تفريغ بيانات الاعتماد ، أو التحرك بشكل أفقي ، أو إنشاء الثبات ، أو الاتصال بالبنية التحتية للقيادة والسيطرة أو بيانات المرحلة.
هذا هو المكان الذي يصبح فيه الذكاء التكتيكي مفيدًا بشكل خاص ، من خلال مساعدة فرق الاكتشاف على فهم كيفية تصرف المهاجمين ، وليس فقط الأدوات التي استخدموها من قبل.
على سبيل المثال ، قد يختفي مجال التصيد الاحتيالي بسرعة ، ولكن السلوك التالي للاختراق - استخدام PowerShell المريب أو الوصول إلى بيانات الاعتماد أو تنفيذ الخدمة عن بُعد غير المعتاد أو أنماط المصادقة غير الطبيعية - قد يكون أكثر دواما. تساعد المعلومات المتعلقة بالتهديدات فرق مركز SOC على بناء اكتشافات حول هذه الأنماط. والنتيجة هي تغطية اكتشاف أقوى ، وليس مجرد قائمة طويلة من المؤشرات.
إن استخدام ذكاء التهديدات لتحديد أولويات تنبيهات SOC أثناء الفرز
هو المكان الذي تقرر فيه SOC كيفية قضاء وقت المحلل. لا يستحق كل تنبيه نفس الإلحاح. قد يكون تسجيل الدخول المشبوه أو اكتشاف نقطة النهاية أو اتصال الشبكة أكثر خطورة إذا كان مرتبطًا بحملة نشطة أو ثغرة أمنية مستغلة أو بنية أساسية للقيادة والتحكم أو إعداد فدية أو جهة فاعلة للتهديد من المعروف أنها تستهدف قطاع المؤسسة.
تساعد المعلومات المتعلقة بالتهديدات المحللين على جعل هذا التمييز أسرع. على سبيل المثال ، يصبح تنبيه الثغرات الأمنية أكثر إلحاحًا إذا أظهر الذكاء استغلالًا فعالًا للأنظمة التي تواجه الإنترنت. يصبح تنبيه المجال أكثر خطورة إذا كان المجال مرتبطًا بالبنية التحتية للتصيد الاحتيالي الحالية التي تستهدف مؤسسات مماثلة. يستحق حدث نقطة النهاية تصعيدًا أسرع إذا كان السلوك يتطابق مع تقنيات سرقة بيانات الاعتماد أو الحركة الجانبية المعروفة.
هذا هو المكان الذي يهم التخصيب الآلي. يمكن للذكاء المقروء آليًا أن يساعد SIEM و SOAR و EDR و XDR و NGFW و IDS / IPS ومنصات استخبارات التهديدات على إثراء التنبيهات بعلاقات السمعة والثقة والمصدر والحملة والمؤشر.
وعند استخدامه جيدًا ، يساعد هذا المحللين على فصل الضوضاء الروتينية عن الإشارات التي تحتاج إلى تحقيق أعمق.
إذا استخدمت بشكل سيئ ، يمكنها أن تفعل العكس. يمكن للخلاصة المليئة بالمؤشرات القديمة أو المكررة أو منخفضة الثقة أن تخلق إيجابيات زائفة وتزيد من عبء العمل. تعمل استخبارات التهديدات على تحسين الفرز فقط عندما تكون ذات صلة وحديثة ومتكاملة في الأدوات التي يستخدمها المحللون بالفعل.
استخدام ذكاء التهديدات لتوجيه تحقيقات مركز عمليات SOC) ومطاردة التهديدات
بمجرد أن يصبح التنبيه تحقيقًا ، يتغير السؤال. لم يعد المحلل بحاجة إلى معرفة ما إذا كان هناك شيء مريب فقط ؛ يحتاجون إلى معرفة ما يمكن توصيله أيضًا.
هل الملف مرتبط بعائلة برامج ضارة معروفة؟ هل ظهر المجال في الحملة الحالية؟ هل البنية التحتية لا تزال نشطة؟ هل يشبه السلوك مراحل فيروسات الفدية أو الاستيلاء على الحساب أو استغلال الويب أو نشاط APT؟ هل هناك مؤشرات ذات صلة للبحث عنها عبر البيئة؟
تساعد المعلومات المتعلقة بالتهديدات التحقيقات في الانتقال من الأدلة المعزولة إلى فرضية العمل.
الذكاء المقروء على الإنسان مهم بشكل خاص هنا. يمكن أن تساعد تقارير الحملات ، وتحليل البرامج الضارة ، ووضع الحماية ، وتشابه الملفات ، والإسناد ، وذكاء البصمة الرقمية ، والبحث التحليلي ، المحققين في فهم مسار الهجوم المحتمل.
وهذا يدعم أيضًا مطاردة التهديدات. وبدلاً من البحث على نطاق واسع عن "أي شيء مريب" ، يمكن للصيادين البحث عن سلوكيات محددة مرتبطة بالحملات أو القطاعات أو نقاط الضعف أو تقنيات المهاجم ذات الصلة.
على سبيل المثال ، إذا أظهرت المعلومات الاستخبارية أن جهة فاعلة مهددة تستهدف المنظمات الصناعية من خلال الوصول عن بعد المكشوف ، فيمكن للصيادين البحث عن أنماط المصادقة غير العادية والاستخدام المشكوك فيه للأداة الإدارية والبنية التحتية ذات الصلة وسلوك ما بعد الوصول. إذا أظهرت المعلومات الاستخبارية أن مجموعة برامج الفدية تقوم عادةً بترتيب البيانات قبل التشفير ، فيمكن للصيادين البحث عن نشاط ضغط أو إنشاء أرشيف غير عادي أو عمليات نقل داخلية كبيرة أو الوصول إلى مشاركات الملفات الحساسة.
التحقيق هو المكان الذي تصبح فيه معلومات التهديد خريطة. إنه لا يحل محل حكم المحللين ، لكنه يساعد المحللين في تحديد المكان الذي يبحثون فيه بعد ذلك.
استخدام المعلومات الاستخبارية لتحسين نطاق وسرعة الاستجابة للحوادث
غالبًا ما تكون قرارات الاستجابة الأكثر صعوبة هي مسائل النطاق. هل يجب على SOC منع الوصول إلى مجال مشكوك فيه أو عنوان IP أو عنوان URL أو التصعيد إلى الاستجابة للحوادث؟ هل ينبغي عزل مضيف واحد ، أم ينبغي على الفريق البحث عن حل وسط ذي صلة عبر أنظمة متعددة؟ هل ينبغي إعادة تعيين بيانات الاعتماد؟ هل ينبغي إصلاح نظام ضعيف بشكل عاجل؟ هل ينبغي إبلاغ الفرق القانونية أو المخاطر أو التنفيذية؟
تساعد المعلومات المتعلقة بالتهديدات الفرق على تجنب خطأين شائعين: ضعف الاستجابة للنشاط الجاد ، والاستجابة المفرطة للإشارات الضعيفة.
إذا لاحظت ارتباطات استخباراتية نشاطًا لنشر برامج الفدية ، فقد تحتاج فرق الاستجابة إلى عزل الأنظمة المتأثرة والبحث عن سرقة بيانات الاعتماد والتحقق من الحركة الجانبية وحماية البنية التحتية للنسخ الاحتياطي. إذا كان المجال منخفض الثقة وغير مرتبط ببنية تحتية نشطة ، فقد تكون الاستجابة المدروسة مناسبة.
يمكن لذكاء التهديد أيضًا أن يحسن كتيبات اللعب. قد يطلب دليل البرامج الضارة العام من المحللين عزل المضيف وجمع الأدلة وحظر المؤشرات - وكلها مفيدة بدرجة كافية. لكن الدليل الواعي بالتهديدات يكون أكثر تحديدًا: ما هي الأعمال الفنية التي يجب البحث عنها ، وما هي الأنظمة التي قد يتم استهدافها بعد ذلك ، وما هي طرق المثابرة المحتملة ، وبيانات الاعتماد التي قد تكون في خطر ، وأي إجراءات الاحتواء الموصى بها.
هذا مفيد بشكل خاص أثناء الحوادث التي تكون فيها السرعة في غاية الأهمية. نظرًا لأن المحللين ليس لديهم الوقت للبحث في كل الاحتمالات من الصفر ، فإنهم بحاجة إلى ذكاء يساعدهم على التصرف بشكل متناسب وسريع.
كيف تعمل استخبارات التهديدات على تقوية نضج SOC بمرور الوقت
لا تعد المعلومات المتعلقة بالتهديدات مفيدة فقط أثناء التنبيهات والحوادث الحية - بل إنها تساعد أيضًا فرق SOC على تحسين نموذج التشغيل الخاص بهم.
وبعد إجراء تحقيق ، يمكن للذكاء أن يساعد الفرق على تحديد الاكتشافات التي نجحت ، والإشارات التي تم إغفالها ، وعناصر التحكم التي تحتاج إلى تقوية. إذا اشتملت إحدى الحوادث على تقنية لم يتم تغطيتها بواسطة التحليلات الحالية ، فيمكن لهندسة الاكتشاف سد الفجوة. إذا كافح المحللون لفهم الحملة ، فيمكن تحسين متطلبات الاستخبارات. إذا كانت الاستجابة غير متسقة ، فيمكن تحديث كتيبات التشغيل.
يؤدي ذلك إلى إنشاء حلقة ملاحظات:
- تقوم المعلومات الاستخبارية بالتهديد بإعلام الاكتشافات.
- عمليات الاكتشاف تولد تنبيهات.
- التنبيهات تؤدي إلى التحقيقات.
- التحقيقات تكشف عن ثغرات.
تعمل هذه الثغرات على تحسين متطلبات الاستخبارات ومنطق الاكتشاف وعمليات الاستجابة. وبمرور الوقت ، يساعد ذلك SOC على أن يصبح أكثر دقة ، مما يمكنه من تقليل النقاط العمياء ، وتحسين تغطية الاكتشاف ، وتوجيه التدريبات على الطاولة ، ودعم محاكاة الخصم وإعطاء القيادة رؤية أوضح للمخاطر التشغيلية.
وهذا أيضًا هو المكان الذي يمكن أن تعزز فيه استشارات SOC وتقييم التسويات والاستعداد للاستجابة للحوادث والتدريب على البحث عن التهديدات قيمة الاستخبارات. الأدوات مهمة ، لكن العملية والمهارات وإرشادات الخبراء تحدد ما إذا كان الذكاء يغير النتائج.
الأسباب الشائعة لفشل استخبارات التهديد في عمليات SOC عمليات الأمن
يفشل استخبارات التهديد عندما يتم التعامل معه على أنه تمرين جمع وليس قدرة على دعم القرار.
تتضمن المشكلات الشائعة ما يلي:
- الأعلاف التي تمت تصفيتها بشكل سيئ والتي تحدث ضوضاء قبل أن تصل إلى المحللين أو عناصر التحكم في نقطة النهاية
- المؤشرات التي لا معنى لها
- لا توجد متطلبات استخبارية واضحة
- تكامل محدود مع SIEM أو SOAR أو EDR أو XDR أو تدفقات عمل إدارة الحالة
- الاعتماد المفرط على المؤشرات بدلاً من سلوك المهاجم
- تقارير مفيدة للباحثين ولكن لا يمكن للمحللين استخدامها
- لا توجد حلقة ملاحظات بين نتائج SOC وأولويات الاستخبارات
- لا يوجد مالك واضح لتحويل الذكاء إلى اكتشافات أو مطاردة أو كتيبات لعب أو إجراءات استجابة.
ونادرًا ما تكون المشكلة هي غياب المعلومات ، ولكن في الفجوة بين المعلومات والاستخدام. لا تحتاج SOC إلى كل مؤشر ممكن ، ولكنها تحتاج إلى معلومات استخباراتية ذات صلة ببيئتها ، ومتاحة عند اتخاذ القرار وموثوقة بما يكفي للمحللين للتصرف بناءً عليها.
استخبارات تهديد مفعلة في SOC الإرهاب الناضج
تستخدم SOC الناضجة ذكاء التهديد في عدة أشكال.
يدعم الذكاء المقروء آليًا الأتمتة وتكامل الأدوات. إنه يغذي SIEM و SOAR و EDR و XDR و NGFW و IDS / IPS ومنصات استخبارات التهديدات بمؤشرات وقواعد وبيانات منظمة يمكنها إثراء التنبيهات ودعم المنع وسرعة الفرز الأولي.
يدعم الذكاء المقروء من قبل الإنسان حكم المحلل. ويشرح الحملات والبرامج الضارة وسلوك المهاجم والبنية التحتية والإسناد واستهداف القطاع والخطوات التالية المحتملة.
إلى جانب الذكاء المقروء آليًا والقابل للقراءة البشرية ، يساعد دعم الخبراء في الإجابة عن الأسئلة المعقدة ، كما يساعد دعم الخبراء في الإجابة عن الأسئلة المعقدة. وقد يشمل ذلك الوصول إلى المحلل أو دعم الحوادث أو إرشادات البحث عن التهديدات أو عمل نضج مركز عمليات SOC) أو المشورة الإستراتيجية حول كيفية دمج المعلومات الاستخباراتية في العمليات الأمنية.
والهدف من ذلك هو جعل الذكاء قابلاً للاستخدام عبر سير عمل SOC ، وليس فقط بناء مكتبة استخبارات أكبر.
وهذا يعني تحديد المتطلبات ودمج الذكاء في الأدوات ورسم خرائط للأنشطة ذات الصلة بالاكتشافات ودعم التحقيقات بتحليل أعمق وإعادة الدروس في تحسين SOC .
امنح SOC) الخاص بك المعلومات التي تحتاجها لاكتشاف التهديدات ذات الصلة في وقت أقرب ، وتحديد أولويات التنبيهات بشكل أسرع والاستجابة لها بدقة. اكتشف كيف تساعد Kaspersky Threat Intelligence فرق أمان المؤسسة على تحويل بيانات التهديد إلى إجراءات عملية
