Wir suchten nach einem System mit einer einzigen Glasscheibe. Der Prozess begann mit der Bereitstellung des EDR-Clients auf den Servern, die Trend Micro™ Deep Security und Trend Micro Apex One™ auf den Endpunkten wie Desktops und Laptops genannt werden. Anschließend haben wir sie mit einer einzigen Glasscheibe verbunden, die XDR genannt wird und jetzt Trend Vision One genannt wird. Es hat uns geholfen, richtig zu jagen und zu reparieren. Wir konnten die Kommunikation zwischen den Endpunkten und den Servern und alles andere sehen, mit dem sie gesprochen haben. Wir konnten sie dann weiter erweitern und über APIs mit allen Systemen verbinden. Das war die erste Anforderung, die wir hatten, und es hat in diesem Sinne sehr gut funktioniert.

Wenn Sie umfangreiche oder teure SIEM-Lösungen wie Splunk oder etwas anderes kaufen, müssen Sie Analysen benötigen. Sie können aussagekräftige Abfragen schreiben, um die Daten abzufragen. Am Ende des Tages müssen alle eingegebenen Daten korreliert werden. Trend Vision One bietet Transparenz in diesem Sinne.

Wir haben es mit der Cloud verbunden, damit wir die Telemetrie von Azure und der Cloud sehen konnten. Anschließend haben wir die Reaktion auf die Netzwerkerkennung installiert. Es konnte eine kleine Bewegung von der Netzwerkschicht erkennen und erkennen. Wir haben es dann mit Active Directory verbunden, damit wir eine Zuordnung vornehmen können. Wir haben derzeit viele Daten. Bei einem kleinen Team besteht das Problem darin, mit so vielen Informationen umzugehen und Prioritäten zu setzen. Es hilft bei der Priorisierung. Das System ist intelligent genug, um proaktiv Protokolle zu scannen und Workflow-Warnungen auszulösen. Sie priorisiert sie basierend auf der Kritikalität, wie hoch, mittel, niedrig oder informativ. Wenn Sie ein kleines Team haben, können Ihre Analysten sich diese ansehen und sehen, was passiert und was sie in einer Phase priorisieren müssen.

Wir näherten uns einem russischen Bedrohungsakteur und Trend Vision One half enorm. Es hat uns geholfen, den Angriff in den Anfangsphasen zu kontrollieren. Sie sind in die Umwelt eingedrungen und haben die Reverse Shell herausgeholt. Ich habe die Warnung gesehen. Trend Vision One Protection hat mir im Detail gezeigt, was sie ausgeführt haben, was sie abgefragt haben, welche Informationen erfasst wurden und wo die Verbindungen hingingen. Es war ein erster Zugangsmakler, der den Angriff durchgeführt hatte. Wenn diese Informationen am späten Freitagnachmittag nicht abgeholt wurden, können Sie sich vorstellen, was bis Montag hätte passieren können. Innerhalb weniger Stunden wären diese Informationen ins dunkle Netz gegangen und hätten an eine Ransomware-Bande verkauft worden. Die mittlere Zeit bis zum Ansprechen war signifikant reduziert. Es ist sehr selten, dass die meisten Unternehmen solche Angriffe innerhalb der ersten vier Stunden in ihrer eigenen Umgebung erkennen. Sie reduzierte die mittlere Reaktionszeit um 70 % bis 80 %.

Die Echtzeit-Überwachungsfunktionen helfen uns sehr bei der allgemeinen Sicherheitslage. Wir haben alles für unser zentrales SOC-E-Mail-System konfiguriert, sodass wir, je nachdem, um welche Kritikalität es sich handelt, daran arbeiten können, sobald eine Warnung ausgelöst wird. Wenn Sie in der Gesundheitsbranche arbeiten, arbeiten Sie oft mit Anbietern zusammen, die immer noch nicht sehr Cybersicherheitsbewusst sind. Sie lernen noch. Einer von ihnen hat ein USB-Laufwerk angeschlossen, und wir haben einen frühen Indikator für Kompromittierung gefunden. Das Gerät wurde an eines der technischen Systeme angeschlossen. Sie hat das nicht nur erkannt und blockiert, sondern wir haben auch den Alarm auf die Maschine gerichtet. Wenn sie nicht innerhalb weniger Minuten erkannt und in dieser Phase erfasst wurde, hätte sie letztendlich ziemlich große Auswirkungen haben können.

Das Schöne ist, dass ich mich nicht bei der separaten Konsole von Apex One oder Deep Security anmelden muss. Ich habe die Transparenz und Telemetrieeinspeisung in Echtzeit in die Trend Vision One-Konsole. Die Trend Vision One-Konsole warnt Sie sofort. Es blinkt nur eine kritische Warnung. Sie blockiert, gibt aber dann Empfehlungen zur Risikominderung. Wir müssen die Maschine aus dem Netzwerk nehmen, den USB scannen, den Benutzer informieren und an die richtigen Personen eskalieren. All diese Informationen zur Hand zu haben, ist sehr wichtig. Auch das Nutzerverhalten können wir beeinflussen, damit sie dies nicht erneut tun.

Wir verwenden es auf Endpunkten. Wir verwenden sie auf unseren Servern. Wir haben eine Netzwerkerkennungsreaktion, die NDR genannt wird. Wir überwachen den gesamten internen Datenverkehr, der von den Firewalls kommt. Wir haben Citrix NetScalers, daher überwachen wir auch die Netzwerkseite. Wir haben auch ein anderes Produkt namens Konformität, das eine Cloud-Bewertung und Compliance-Prüfung für alle extern exponierten Cloud-Assets durchführt. Sie informiert Sie, wenn sie nicht konform sind. Zum Beispiel kann bei dem Projekt, das ins Internet gegangen ist, versehentlich etwas, wie z. B. ein Azure-Speicherkonto, offengelegt werden. Alles geht in Trend Vision One ein, und wir haben eine einzige Glasscheibe.

Es ist für mehrere Teams hilfreich. Sie ist nicht nur auf SOC beschränkt. Wir haben Teams aus der Cloud-Seite und manchmal aus der Endpunkt- und Serverseite, die in die Cloud einsteigen können, und sie können die Warnungen sehen. Es erleichtert die Arbeit, da wir alle das Gleiche mit mehr Informationen sehen. Daher verwenden wir es für unsere Endpunktserver und Netzwerke. Wir verwenden es zur Überwachung unserer Azure Cloud. Im Rahmen unserer Lizenzierung haben wir auch die sogenannten Trend Micro™ Cloud App Security-Lizenzen. Wir verfügen über Richtlinien, die erweiterte Bedrohungsschutzüberwachung und DLP-Überwachung auf SaaS-Kanälen wie Exchange Online, Teams, OneDrive und SharePoint-Websites durchführen. Dies sind andere Kanäle, über die die Daten weitergegeben werden können, die Daten in unsere Umgebung gelangen können oder die Daten aus unserer Umgebung austreten können. Sie verfügt über Richtlinien zur Überwachung von DLP. Es verfügt über Richtlinien zur Überwachung bösartiger Dateien oder von Indikatoren für einen ATP-Angriff. Wir erhalten auch diese Warnungen.

Es gibt zwei Dashboards. Die Executive Dashboards geben einen Gesamtüberblick über das gesamte System und was zu jedem Zeitpunkt in unserem System passiert. Wir können sehen, wie viele offene Schwachstellen wir haben, was wir dem Management melden müssen und wie wir bei solchen Dingen vorankommen werden. Dann haben wir das Operational Dashboard mit Echtzeitwarnungen oder ausstehenden Warnungen. Es zeigt uns, dass wir ein Konto haben, das mit einem .Net Data Lake übereinstimmt. Ein Problem besteht beispielsweise darin, dass die meisten Benutzer dasselbe Passwort behalten, sodass Sie das gleiche Kontopasswort für Ihr Arbeitskonto und Ihr persönliches Konto haben könnten. Sie können zu Hause und auch bei der Arbeit gefährdet werden. Daher verwenden wir Executive Dashboards für Berichte und allgemeines Verständnis dessen, was in der Umgebung passiert und was wir melden und priorisieren müssen. Das Betriebs-Dashboard ist für die tägliche Arbeit bestimmt.

Es ist sehr wichtig, dass wir in der Lage sind, von den Executive Dashboards zu XDR-Erkennungen zu gelangen. Wir sind in der Gesundheitsbranche. Wir sind ein Krankenhaus. Das Board macht sich nicht nur Sorgen über Ransomware, weil dies jedem passieren kann. Sie können nie sicher genug sein. Sie sind auch besorgt über den Schaden an unserem Ruf und die Betriebskosten der Wiederherstellung, sodass sie sehr daran interessiert sind, Transparenz zu haben. Die Executive Dashboards bieten uns ausreichend Informationen, um dies zu filtern. Zum Beispiel hat unser Desktop-Support-Team eine begrenzte Anzahl von Mitarbeitern. Für Cybersicherheit möchten wir Patching für eine Zero-Day-Bedrohung priorisieren, aber manchmal kann es nicht passieren, weil die Teams andere Prioritäten haben. Das Problem ist nicht, dass sie nicht helfen möchten, sondern dass sie keine Ressourcen haben. Mit Executive Dashboards und Reporting können wir Dinge an den Vorstand eskalieren und sagen, dass wir etwas Aufmerksamkeit benötigen. Wir können sie bitten, uns mit mehr Ressourcen zu finanzieren, um dies über die Linie hinweg zu erreichen. Es hilft uns, die Auswirkungen zu diktieren und eine kritische Cybersicherheitsschwachstelle zu priorisieren, damit wir die Zustimmung des Managements erhalten, sie zu priorisieren und zu beheben, bevor sie außer Kontrolle geht.

Wir verwenden die Funktion Risikoindex, um andere Organisationen in derselben geografischen Region abzubilden, um zu sehen, wie wir im Vergleich zu anderen Organisationen in Bezug auf Risiken abschneiden. Sind wir besser oder schlechter als andere? Wenn wir einige Bereiche haben, in denen wir schlechter sind als andere, helfen sie uns, den Grund und die Verbesserung zu verstehen.

Wenn wir jedes einzelne Ereignis durchlaufen möchten, kann XDR mit unserer aktuellen Lizenzierung bis zu sechs Monate an Daten speichern, was Millionen oder Tausende von Warnungen sein kann. Eine intelligente Sache, die sie getan haben, ist die Bereitstellung der Workbench, die automatisch priorisiert. Es erledigt die harte Arbeit für Sie, indem Sie diese Informationen abrufen und sagen, dass dies die wichtigsten sind, die Sie so schnell wie möglich angehen müssen. Ich vernachlässige nicht die Tatsache, dass Angreifer manchmal nicht einmal sehr kritische einsetzen. Sie entscheiden sich für einen mittleren, aber es hilft uns, sie aus dem Weg zu räumen. Unser Team ist klein, und ich hatte gute Erfahrungen damit, einige Leute zu schulen, sie durchzuarbeiten und ihnen zu zeigen, wie sie es machen können. Sobald die Mitarbeiter mit der Arbeit beginnen, verstehen sie den Workflow. Es wird einfach zur zweiten Gewohnheit. Sie ist sehr intuitiv. Sie können in die Konsole gelangen, neue Angriffsindikatoren hinzufügen, neue Anfragen zur Bedrohungssuche hinzufügen, neue CTI-Feeds hinzufügen und nach neuen Schwachstellen suchen. Es gibt so viel, was Sie daraus machen können. Sie müssen nur priorisieren, was Ihrer Meinung nach für diesen Tag wichtig ist.

Wir nutzen Managed XDR als zweiten Service. Die Art und Weise, wie wir sie praktisch einsetzen, ist, dass wir Menschen auf Abruf haben. Ich überprüfe sicherlich meine E-Mails weiter, aber wenn wir eine kritische Warnung haben, dass niemand von unserer Seite teilgenommen hat, werden sie sie überprüfen. Sie triagieren es sehr gut und bewerten es dann. Zum Beispiel könnten sie sagen: „Es scheint gutartig oder negativ zu sein, aber es kam eine Warnung ein, und niemand war verfügbar. Wenn Sie eine zusätzliche Sicherheits- oder Vorsichtsebene hinzufügen möchten, ist dies die Minderung.“ Sie sind sehr reaktionsschnell. Ich konnte den großen Angriff sehen, den wir vor zwei Jahren innerhalb der ersten vier Stunden hatten, und als er zum XDR kam, war alles korreliert. Innerhalb einer halben Stunde kam das Reaktionsteam zu dem gleichen Ergebnis. Sie haben sich an uns gewandt, als ich sie kurz davor hatte, sie zu erreichen, also waren wir auf der gleichen Seite. Sie sind definitiv ein gutes Backup oder eine zweite Lösung für uns. Außerdem können einige der Warnungen aus Workflows stammen. Sie mögen bösartig erscheinen, sind es aber nicht. Die Managed XDR-Servicemitarbeiter kommen zu uns zurück, um dies erneut zu bestätigen. Wir sagen ihnen, dass es sich um eine bekannte Datei handelt. Sie müssen sich keine Sorgen darüber machen. Manchmal verpassen wir etwas oder haben keine Ahnung vom nächsten Schritt. Sie entwickeln dann eine Empfehlung, was wir tun müssen. Es ist ein sehr guter Service.

Wir verwenden Attack Surface Discovery, um die Geräte, die wir haben, und die internetorientierten Assets, Konten und Anwendungen zu überwachen. API ist etwas, das wir noch untersuchen, aber mit ein paar Klicks erhalten wir einen Überblick. Wir können sehen, wie viele gepatcht sind und wie viele extern oder internetorientierte Assets exponiert sind. Wir haben viele Subdomains, die mit der primären Krankenhauswebsite für verschiedene Projekte und Workflows verknüpft sind. Wir können sehen, wie es ihnen geht, welche Ports offen sind und welche bekannten Schwachstellen vorhanden sind, da einige von ihnen nicht von uns verwaltet werden. Sie werden von extern gehosteten Anbietern verwaltet, damit wir sie unter Kontrolle halten können. Das Gleiche gilt für unsere Konten. Wenn wir Konten haben, die sich im Darknet befinden, oder wir Konten mit übermäßigen Privilegien haben, die potenziell ausgenutzt werden können, können wir dies angehen.

Bei Anwendungen wird die Funktion, die mir am meisten gefällt, Cloud App List genannt. Sie betrachtet im Grunde alle SaaS-Anwendungen und bewertet sie. Sie werden auf der Grundlage der übrigen Profile erstellt und wir erhalten einen Bericht. Sie sagt uns, dass bestimmte Apps, die Menschen verwenden, möglicherweise nicht offiziell von uns sanktioniert werden. Für eine nicht genehmigte App führt sie ein Risikoprofiling über Trend Vision One durch, das uns zeigt, welchen Sicherheits-Compliance-Standard sie vom Anbieter durchlaufen hat. Sie geben uns ein schnelles Verständnis dafür, wie schlecht oder gut es ist, eine Anwendung weiterhin zu nutzen.

Während der COVID-Zeit habe ich Trend Vision One eingerichtet und eine Informationswarnung erhalten. Der Ehemann einer Krankenschwester hat ihr einen USB-Stick gegeben und sie hat ihn angeschlossen. Sie befand sich in einer Offsite-Umgebung, aber der Trend-Client war noch im Betrieb. Die Clients waren mit der SaaS-Konsole oder dem Internet verbunden, sodass die gesamte Telemetrie noch gespeist wurde. Sie müssen gedacht haben, dass dies nicht der Fall war, aber es kam immer noch zu Erkennungen. Als sie es anschloss, lud sie ein Power-Shell-Exploitation-Framework herunter, das sie einer ATP-Gruppe aus China zuordnen konnten, die diese Technik häufig für die Exfiltration geistigen Eigentums verwendet. Mir gefällt sehr, wie viel Transparenz es bietet. Für einige Anwendungen hier wird manchmal eine Warnung angezeigt, und sie kann sogar bis zum letzten ausgeführten Befehl ausgeführt werden. Es kann ein Angriffsdiagramm erstellen und Ihnen das vollständige Ausführungsprofil anzeigen. Es hilft Ihnen bei der Fehlerbehebung und filtert heraus, ob etwas falsch-positiv oder ein Problem vorliegt. Die gesamte Interkonnektivität verschiedener Systeme in Trend Vision One und seine Fähigkeit, bei der Individualisierung eines Angriffs zu helfen, sind das, was mir am besten gefällt. Das ist sehr gut, da das Lesen von Protokollen und das Sehen eines Angriffs zwei verschiedene Perspektiven für einen Bedrohungsjäger sind. Es hilft Ihnen wirklich zu verstehen, was vor sich geht.

Bei jeder dieser Technologien in einer Unternehmensumgebung sowie bei den meisten Produktionssystemen hängt die Reduzierung der Zeit, die wir mit der Untersuchung falsch-positiver Warnungen verbringen, davon ab, wie schnell Sie das System optimieren. Sie müssen ihm mitteilen, welche Ausnahmen es gibt, und Sie müssen nicht darauf aufmerksam gemacht werden und auf welche Sie aufmerksam gemacht werden sollten. Es ist ein Balanceakt in der Cybersicherheit. Zum Beispiel werden Anmeldungen von Angreifern, aber auch von Ihren Admin-Mitarbeitern verwendet. Wenn Sie sie völlig freistellen, können Sie eine bösartige Anmeldung in Ihrer Umgebung ausführen lassen. Sie wären dort völlig blind, weil nichts gewarnt würde. In Bezug auf Falschmeldungen erfasst das System viele Daten, und es ist nicht der Fehler des Systems, weil es viele Daten sieht. Manchmal haben wir die Daten nicht klassifiziert. Wir werden besser darin. Wir kennzeichnen und kennzeichnen die Systeme. Wir arbeiten daran, und es hat sich ein wenig reduziert, aber wir haben noch viel zu tun. Es passiert, aber es ist etwas, was wir hinter den Kulissen tun. Im Hinblick auf die tägliche Bedrohungssuche und Transparenz werden sie in Workbench kategorisiert, und das ist es, was wir uns morgens als erstes ansehen. Wir erfahren, was passiert und worauf wir uns konzentrieren müssen. Sobald wir sehen, dass sich ein Muster für einige falsch positive Ergebnisse wiederholt und Workbench-Warnungen hoch und nicht wirklich positiv sind, finden wir heraus, wie diese Systeme auf die Whitelist gesetzt werden. Wir wissen jetzt, dass dies ein bekannter Ausführungsprozess ist. Wir wissen, dass es sich um einen bekannten Datenverkehr oder einen bekannten Anbieter handelt, der diese Anwendung ausführt, und wenn sie geöffnet wird, verbindet sie sich beispielsweise mit diesen Ports. Es ist ein gewisser Balanceakt. Sie ändert sich dynamisch.