Důležitý nástroj prevence

V dnešním dynamickém prostředí kybernetických hrozeb už nestačí spoléhat se pouze na standardní bezpečnostní postupy. Potřebujete proaktivní přístup, který vám umožní odhalit skryté hrozby dříve, než způsobí škodu. Proto poskytujeme threat hunting.

Jste si jisti, že jsou vaše bezpečnostní opatření skutečně účinná? Odhalte včas skryté hrozby!

Hlavní přínosy

• Proaktivní odhalení skrytých hrozeb

• Posílení detekčních schopností

• Identifikace útoků v síti

• Zamezení potenciálním škodám

• Zvýšení celkové bezpečnosti

Co je threat hunting

Threat hunting je proaktivní proces hledání indikátorů útoků (IoA), kompromitace (IoC) a neobvyklého chování v síti, které by mohly naznačovat probíhající nebo plánovaný útok. Na rozdíl od tradičního detekčního systému, který reaguje na známé hrozby, threat hunting předpokládá, že útočník se již mohl do sítě dostat a aktivně hledá stopy jeho přítomnosti.

Navazuje na úspěšně zvládnuté procesy spojené s řízením bezpečnosti, jako jsou SOC (Security Operations Center), management zranitelností, penetrační testy, případně red teaming a purple teaming.

Jak postupujeme…

Naši specialisté působí v bezpečnostní infrastruktuře organizace, kde pro své vyhledávání využívají její prostředky, zejména SIEM, EDR (Endpoint Detection and Response) a další. Využívají přitom odborné znalosti, praktické zkušenosti z etického hackingu, různé zdroje threat intelligence a také analytické nástroje, které pomáhají odhalit skryté hrozby, jež běžné bezpečnostní systémy často nezaznamenají.

1. Výběr cílů a stanovení strategie

Na úvod určujeme, na jaké oblasti se zaměříme. Tento proces provádíme buď samostatně nebo v úzké spolupráci se zákazníkem, abychom zajistili maximální přizpůsobení konkrétním podmínkám. Cíle threat huntingu stanovujeme na základě:

• Aktuálních hrozeb v kyberprostoru
• Specifických hrozeb relevantních pro daný sektor
• Známých zranitelností a slabých míst v daném prostředí
• Dalších faktorů, jako nedávné incidenty nebo nové vektory útoku

2. Sběr informací a příprava analýzy

Po stanovení cílů provádíme detailní sběr informací o vybraných hrozbách. Využíváme threat intelligence – soubor informací o aktuálních i historických útocích, technikách útočníků a jejich chování.

Na základě těchto dat vytváříme analytické postupy pro hledání známek kompromitace v prostředí zákazníka. Nespoléháme se jen na jednoduché indikátory kompromitace (IOC), jako jsou IP adresy nebo hashe souborů, ale pracujeme i s komplexními modely chování útočníků (TTPs – Tactics, Techniques, and Procedures). To nám umožňuje identifikovat sofistikované hrozby, které by jinak mohly zůstat skryté.

3. Proaktivní vyhledávání a analýza

V této fázi provádíme detailní analýzu v nástrojích pro sběr a vyhodnocování bezpečnostních událostí (SIEM, EDR, NDR a dalších). Pomocí předem definovaných postupů a pokročilých analytických metod hledáme známky podezřelé aktivity.
Získané výsledky dále podrobně zkoumáme s cílem:

• Určit původ a průběh detekovaných aktivit
• Vyhodnotit, zda jsou nalezené události součástí širšího vzorce útoku
• Posoudit míru rizika jednotlivých nálezů

4. Závěrečná zpráva a doporučení

Po dokončení threat huntingu zpracujeme podrobnou zprávu, jejíž nejdůležitější částí je detailní analýza nalezených událostí. Každý detekovaný jev zkoumáme v širším kontextu:

• Prověříme jeho souvislosti s již známými útočnými technikami
• Analyzujeme možné scénáře útoku
• Určujeme jeho skutečnou rizikovost

Co závěrečná zpráva obsahuje

• Kritéria výběru oblastí pro threat hunting
• Informace o vyhledávaných hrozbách a útočných technikách
• Seznam využívaných zdrojů informací
• Přesný popis realizovaných vyhledávání včetně konkrétních dotazů
• Detailní rozbor nalezených událostí včetně jejich analýzy v širším kontextu
• Doporučení dalších kroků pro následné šetření
  
• Návrh úprav bezpečnostních pravidel a detekčních mechanismů

Naše doporučení

Threat hunting je dynamický proces, který by měl být prováděn pravidelně, protože útočníci své metody neustále zdokonalují. V případě, že organizace disponuje zdroji threat intelligence, doporučujeme i tyto zdroje do procesu integrovat.

Pokud v průběhu threat huntingu objevíme podezřelé či vysoce rizikové aktivity, neprodleně zákazníka informujeme a koordinujeme s ním další kroky k zajištění ochrany jeho systémů.