0 
0 Nos últimos anos, um influxo de problemas de segurança do setor (PDF) de alto perfil colocou as táticas ofensivas entre as principais prioridades das empresas para ajudar a mitigar o risco de um possível ataque. Com muitas empresas optando por continuar em ambientes de trabalho remotos e híbridos, os potenciais riscos de segurança não podem ser ignorados ou deixados ao acaso, e uma ênfase no desenvolvimento de táticas de segurança defensivas maiores, trabalhando em conjunto com equipes de segurança ofensivas, é essencial para identificar comportamentos de ameaças potenciais e construção de barreiras mais fortes contra desafiantes em evolução.
A caça a ameaças, em particular, surgiu como um componente de segurança obrigatório para as empresas. Ele abrange as tarefas de identificar padrões de comportamentos de ameaças e procurar anomalias e mudanças que ocorrem em um ambiente com base em atividades suspeitas — com o objetivo de construir defesas para combater ameaças.
Mas o que faz um programa de caça a ameaças bem-sucedido? A realidade é que identificar atividades suspeitas pode não ser tão simples quanto parece. Requer uma abordagem abrangente com detecção manual proativa, comunicação constante entre as equipes e investimento nas pessoas certas para dar vida ao processo.
Caçando as habilidades certas
A caça a ameaças requer um toque humano para revisar completamente os padrões suspeitos e vasculhar o ambiente em busca de ameaças que ainda não foram identificadas pelas ferramentas e processos de segurança existentes de uma empresa. É um jogo de gato e rato altamente estratégico para encontrar adversários em potencial e ameaças persistentes avançadas (APTs), prever seu próximo movimento e detê-los em suas trilhas.
Um caçador de ameaças bem-sucedido precisa ter uma compreensão completa de seu ambiente, as ameaças conhecidas que sua equipe enfrentou e a capacidade de resolver problemas e pensar criticamente sobre caminhos ocultos que os adversários podem tomar para obter acesso. De certa forma, este é o trabalho de detetive definitivo e torna-se os blocos de construção para projetar melhores protocolos defensivos. Investir nas pessoas certas da equipe e promover uma cultura de comunicação aberta é essencial.
Para receber leads ou caçar ideias, a equipe de caça a ameaças da Adobe criou um aplicativo de bot de mensagens que as equipes de segurança, como o centro de operações de segurança ou resposta a incidentes, podem usar para ter uma colaboração perfeita com a equipe de caça. Depois que as buscas são concluídas, os relatórios de busca são compartilhados com as equipes de segurança multifuncionais e as partes interessadas relevantes para melhorar a postura de segurança existente da organização.
A equipe de caça trabalha lado a lado com a função de detecção para ajudar a melhorar os métodos atuais e inserir novos dados com base nas táticas emergentes usadas pelos adversários. Eles também colaboram de perto com a equipe responsável pelos dados de segurança operacional central para ajudar a identificar lacunas, configurações incorretas e reforçar enriquecimentos para ajudar as equipes de segurança a utilizar esses dados com mais eficiência.
No entanto, enquanto a caça a ameaças tende a depender principalmente de processos manuais, processos automatizados e aprendizado de máquina certamente podem ajudar no esforço de caça. A análise de dados agregados pode ajudar a encontrar rapidamente anomalias nos padrões de dados na rede de uma empresa, reduzindo o tempo que as equipes precisam gastar vasculhando os dados.
Na Adobe, estamos criando vários pipelines UEBA (análise de comportamento de usuário e entidade) usando aprendizado de máquina e análise de dados avançada para analisar grandes volumes de dados de log e nos ajudar a identificar anomalias que indicam a mudança de comportamento de um usuário ou entidade. Essas anomalias são transformadas em pistas de busca (ou alertas) após enriquecimento e correlação adicionais para revisão humana e escalonamento quando necessário.
Parando adversários em suas trilhas
Com a equipe certa, as equipes de segurança podem começar a mapear seu plano de ataque e estratégia para identificar APTs:
- Rally por trás de uma hipótese de como os adversários poderiam obter acesso à rede
- Crie uma meta clara para o programa (por exemplo, reduzir o tempo que os adversários passam na rede, reduzir o número de ameaças de alto impacto etc.)
- Analise dados em busca de anomalias e trabalhe em equipe cruzada para criar defesas novas e aprimoradas
Nem todas as campanhas de caça a ameaças serão igualmente bem-sucedidas, por isso é tão importante criar um plano para personalizar os programas de caça a ameaças à medida que sua empresa coleta mais informações sobre as tendências de dados atuais e os adversários. Seja honesto com suas equipes sobre o que está funcionando, o que não está e novas maneiras de aproveitar o aprendizado de máquina e outras ferramentas para apoiar seus objetivos.
Quando combinada com táticas ofensivas, a caça a ameaças é uma adição valiosa aos seus esforços de segurança. Deve ser visto como uma abordagem estratégica em constante evolução para identificar possíveis problemas e um componente essencial de um programa de segurança abrangente e bem-sucedido.
FONTE: DARK READING