Yargılanacak bir şey bırakmayan alarm

Satın aldığınız her tespit kaynağının iki fiyatı var. Biri teklifte yazıyor. Diğeri, bir analistin alarmın bir anlam taşıyıp taşımadığına karar verirken harcadığı dakikalarda ödeniyor, ve kaynak alarm ürettiği sürece yeniden ödeniyor. Karşılaştırma tablosu fiyatı ve tespit oranını taşıyor, satın alma dosyasında ise ikinci fiyatın satırı bulunmuyor. Onunla birlikte yaşayan taraf kuyruk. Bir kaynak sınıfının ikinci fiyatı alışılmadık, ve bu fark kendi başına bir bütçe tartışmasını hak ediyor.

Bir triyaj dakikası aslında neye mal oluyor

Bir güvenlik ekibinde maliyet birimi alarm değil, alarmın zorunlu kıldığı karar. Oxford Üniversitesi'nden Alahmadi, Axon ve Martinovic'in USENIX Security 2022'de yayımladığı SOC uzmanları çalışmasında bir katılımcı, ekibinin ürettiği alarmların yüzde 99'unun yanlış pozitif olduğunu bildiklerini, buna rağmen hepsine bakmak zorunda olduklarını söylüyor. Cümlenin pahalı tarafı ikinci tarafı.

Aynı yazarlar, yirmi uzmanla anket ve yirmi bir uzmanla görüşme yaptıktan sonra bu sayıyı parçalarına ayırıyor. Analistlerin yanlış pozitif dediği şeyin büyük bölümü, bir katılımcının benign trigger adını verdiği durum, yani kurumun görmezden gelmeye karar verdiği meşru bir davranışın ürettiği doğru alarm. Bozulmuş bir şey yok, dolayısıyla kapatılacak bir kural da yok. Alarm yarın aynı maliyetle dönüyor, ve çalışma bu tür doğrulama işini alarm yorgunluğuna, oradan da duyarsızlaşmaya bağlıyor.

Bugün bu soruna satılan cevap, kuyruğu okuyup analiste nereden başlayacağını söyleyen bir yapay zekâ triyaj katmanı. Bunu ciddiye almak gerekiyor, çünkü olasılık üreten bir kaynak için sıralama maliyetini düşürüyor. Düşürmediği şey, yanılmanın maliyeti. Ucuzlamış bir olasılık kuyruğu hâlâ bir olasılık kuyruğu.

Olasılık değil olgu üreten kaynak

Uç nokta ajanı bir süreç ağacını süreçlerin normalde ne yaptığına göre puanlıyor, ağ sensörü bir akışı sizin kendi trafiğinizden çıkarılmış taban çizgisine göre puanlıyor, SIEM ikisini birleştirip önem etiketi takılmış bir olasılık üretiyor. Analist bunu, aracın hiç sahip olmadığı bağlamı kullanarak evete ya da hayıra çeviriyor.

Tuzak sistem bu adımı tasarımı sebebiyle ortadan kaldırıyor. Hiçbir hesabın ona hakkı yok, hiçbir servis ona bağımlı değil, hiçbir yedekleme işi ona dokunmuyor, ve üretimdeki hiçbir sistemin onun adını DNS'te sormak için sebebi yok. Meşru hiçbir şey ona dokunmadığı için bir etkileşim, sızma hakkında kanıt değil. Etkileşimin kendisi sızmanın kendisi, ve geriye doğrulama değil soruşturma kalıyor.

Buradan tuhaf bir sonuç çıkıyor. Triyaj katmanı, yargı gerektiren olayların sıralanmasını iyileştiriyor. Tuzak olayı yargı gerektirmiyor, dolayısıyla orada iyileştirilecek bir şey de yok. Otomatik triyaj, triyajı zaten bedava olan kaynağa neredeyse hiçbir şey katmıyor. Bu, ikisi arasında seçim yapmanın değil ikisini birlikte çalıştırmanın gerekçesi.

Tuzaklar da saldırgan olmayan olaylar üretiyor, ve bunlar sizin kendi tarafınızdan geliyor, bir aralığı tarayan zafiyet tarayıcısı ya da tüm ortama dağıtılan bir yedekleme ajanı gibi. Her biri, üç ay sonra geri dönen bir ince ayar döngüsü değil, kalıcı düzeltmesi olan bir yapılandırma olgusu.

Aslında yaptığınız takas

Tuzak ancak saldırgan ona dokunduğunda rapor üretiyor. Geçerli bir kimlik bilgisiyle dosya sunucusuna inip aradığını alan biri hiçbir tuzağa dokunmayabilir. Aldatma, kesinliği yüksek ve yakalama oranı düşük bir kaynak, uç nokta tespiti ise aynı takasın öbür ucunda duruyor. Soru hangisinin daha çok bulduğu değil, hangi kısıtınızın bağlayıcı olduğu. Kuyruğunuz açtığından az kapatıyorsa, yakalama oranı bağlayıcı kısıta iş ekliyor, kesinlik ise ona kapasite ekliyor.

Yakalama oranı sizin etkileyebildiğiniz parça, çünkü tuzağa ancak saldırganın güzergâhı oradan geçerse ulaşılıyor. Otomatik keşif bu güzergâhı genişletiyor, çünkü bir alt ağı baştan sona sayan tarama, bir çalışanın açmak için sebebi olmayan makineleri ayırt edemiyor. Bu kategoride satış yapan herkese sorulacak sorular konumlandırma ve bakım üzerine.

• Kimsenin sizin için yeniden kurmayacağı bir segmente tuzak nasıl giriyor, ve üretim makinesinde arkasında ne bırakıyor
• Kendi tarayıcınızın, yedekleme ajanınızın ve envanter keşfinizin kurulumun ardından yüz olay üretmesini ne engelliyor
• Etrafındaki adlandırma kuralı ve yama seviyesi değiştikten sonra tuzak inandırıcılığını nasıl koruyor
• Bir tuzağa dokunulduğunda platformdan ne çıkıyor, ve SIEM bir olay mı yoksa bir vaka mı alıyor
• Gece üçte buna kim aksiyon alıyor, ve kimi ağdan ayırmaya yetkisi var

Takasın diğer yarısı bütçe, ve aldatmanın orada bir dezavantajı var. NIST tuzakları kendi kontrol kataloğunda SC-26 olarak taşıyor, ve kontrolleri düşük, orta ve yüksek etki taban setlerine dağıtan NIST Special Publication 800-53B SC-26'yı bu üç setin hiçbirine koymuyor. Hiçbir denetim bunu sizden istemeyecek, yani bu ürün ya kuyruk argümanıyla kazanıyor ya da hiç kazanmıyor. Kategorinin içinde Thinkst Canary az sayıda ve elle konumlandırılan uçta duruyor, bugün SentinelOne'ın parçası olan Attivo ile Acalvio ise tuzakları ölçekli üreten uçta.

Seçeneğin daraldığı segmentler

Bir operasyonel teknoloji ağında olağan tespit güzergâhları kapalı, ve bunu açık bir standart söylüyor. NIST Special Publication 800-82r3, yani Operasyonel Teknoloji Güvenliği Rehberi, bu sistemleri kaynak kısıtlı olarak tanımlıyor ve OT bileşenlerine bugünün güvenlik kabiliyetlerini sonradan eklemek için hesaplama kaynağının bulunmayabileceğini yazıyor. Bu, ajan güzergâhını kapatıyor. Aynı belge OT sahiplerine aktif taramada aşırı dikkatli olmalarını söylüyor, çünkü aktif taramalar cihaz kararsızlığına sebep olabilir ya da cihazın süreç durumuna müdahale edebilir.

Aynı rehberin aldatma teknolojisi bölümü, bu yöntemin kısıtın içinde neden ayakta kaldığını yazıyor. Tuzaklar diğer ağ bileşenleriyle etkin biçimde etkileşime girmediği için, aldatma teknolojileri kontrol edilen süreci tehlikeye atmadan kötücül etkinliğin izlenmesini ve tespitini destekleyebiliyor. Tuzak, segmentte duran ayrı bir makine. PLC'ye yazılım eklemiyor, denetleyiciye yük bindirmiyor, ve vardiyanın ortasında düşerse hiçbir şey durmuyor, çünkü ona bağımlı hiçbir şey yok. HMI üzerinde düşen bir ajan ise arkasında emniyet raporu olan bir kesinti.

Aynı biçim üretim tarafında da çıkıyor, satış noktası ortamlarında ve mirror portun hiç açılmayacağı segmentlerde.

Aldatmanın yapmadığı şey

Hiçbir şeyi engellemiyor. Tuzak rapor ürettiğinde içeride çalışan bir kimlik bilgisiyle ya da çalışan bir istismarla biri zaten var, ve olay olup bitmiş bir başarısızlığı tarif ediyor. Dürüst iddia daha dar. Sızma ile birinin bundan haberdar olduğu an arasındaki mesafeyi kısaltıyor, ve bunu kuyruğa iş eklemeden yapıyor.

Kurup unutulacak bir ürün de değil. MITRE'ın yayımladığı düşman etkileşimi çerçevesi MITRE Engage, işi Prepare, Operate ve Understand olmak üzere üç aşamaya bölüyor, ve aldatmanın kur ve unut türü bir teknoloji yığını değil bir süreç olduğunu yazıyor. Engage'in hazırlık aşamasına koyduğu şeyler hiçbir lisansın kapsamadığı şeyler, operasyonel hedef, saldırganın nereye kadar ilerlemesine izin verileceğini belirleyen eşik ölçütleri, ve tuzakların ilgisini çekeceği tehdit modeli. Tuzağın çevresindeki ortam değiştikçe inandırıcılık aşınıyor, o sebeple bakım maliyetini lisansın yanına yazın.

Bu tartışmanın arkasındaki ürün

Bu portföyde o ürün GuardPot. Tuzak sistemlerini, tuzak hesaplarını, tuzak servislerini, saldırgan davranışı analizini ve istihbarat çıktısını bir ürün ailesine dağıtmadan aynı ürünün içinde taşıyor, ve bunları ağ segmentlerine, bulut ortamlarına ve uç noktalara üretim makinelerine hiçbir şey kurmadan konumlandırıyor. Üreticinin yayımladığı teknik künye kısa, ve biz oraya üreticinin kendi sitesinde bulunmayan hiçbir satır eklemedik. Yukarıdaki tartışmayı bitirmenin yolu, içinde bir tarama penceresi olan ve bir segmentte yürütülen bir pilot.