Kaj je zaznavanje in odzivanje v oblaku (CDR)?

Preberite več o tem, kako zaznavanje in odzivanje v oblaku (CDR) pomaga prepoznati in ustaviti kibernetske grožnje v okoljih z več oblaki.

Raziščite zaščito delovne obremenitve v oblaku

Zaznavanje in odzivanje v oblaku (CDR) je rešitev za varnost v oblaku, zasnovana za današnja zapletena okolja. Ne pregleda le enega dela sestavljanke – zagotavlja pregled in povezuje signale v vseh plasteh oblaka, vključno z delovnimi obremenitvami, identitetami in storitvami. Na primer, lahko poveže nenavadno vedenje ob vpisu s sumljivo dejavnostjo v delovni obremenitvi in napačno konfigurirano storitvijo – vse to v skoraj realnem času. To varnostnim ekipam pomaga odkriti grožnje v oblaku, ki bi sicer ostale neopažene. Ker CDR nenehno spremlja vedenja in vzorce kibernetskih groženj, ko se pojavijo, podjetjem omogoča prehod od reaktivnega pristopa k inteligentni, proaktivni obrambi v oblaku.

Ključne ugotovitve

Varnost, ki izvira iz oblaka, je bistvenega pomena, ker tradicionalna orodja ne morejo slediti dinamičnim okoljem z več oblaki.
CDR zazna grožnje v oblaku, ki jih drugi pristopi spregledajo, tako da spremlja vsebnike, vmesnike API, delovne obremenitve brez strežnika in dejavnost identitet.
Zaznavanje in avtomatizacija s pomočjo UI omogočata hitrejši in natančnejši odziv na kibernetske grožnje v obsegu oblaka.
CDR deluje najbolje, če je integriran z upravljanjem varnostnih informacij in dogodkov (SIEM); varnost, organiziranje, avtomatizacija in odziv (SOAR) ter orodja za razširjeno odzivanje in zaznavanje (XDR) za poenoteno vidljivost in odzivanje.
Microsoft Defender for Cloud in Defender XDR skupaj zagotavljata celovito zaznavanje in odzivanje v oblaku.

Zakaj je CDR pomemben pri sodobni varnosti v oblaku

Hitri premik iz arhitektur na mestu uporabe v arhitekture v oblaku je ustvaril ali celo poslabšal več pogostih varnostnih slepih peg

Upravljanje stanja napak v aplikaciji Teams za aktivno zaznavanje kibernetskih groženj. Številne organizacije menijo, da so zaščitene, ker odkrivajo in odpravljajo težave s konfiguracijo ter druge ranljivosti, vendar so lahko še vedno ogrožene, če ne namenjajo dovolj časa zaznavanju in odzivanju na aktivne, tekoče kibernetske grožnje.
Kratkotrajno računalniško infrastrukturo je težko ohranjati varno. Organizacije se lahko v nekaj sekundah vzpostavijo in odstranijo infrastrukturo v oblaku, kot so vsebniki, funkcije brez strežnika in vmesniki API, kar povzroči vedno spreminjajoče se razdrobljeno okolje. To oteži zaznavanje kibernetskih groženj in odzivanje nanje.
V središčih za varnostne postopke (SOCs) manjkajo učinkovita orodja. Ker oblak postane »le še en del« infrastrukture, morajo skupine SOC izvajati zaznavanje groženj v oblaku brez potrebnih orodij ali konteksta v oblaku.
Število okolij z več oblaki in hibridnih okolij se povečuje. Številne organizacije izvajajo delovne obremenitve v sistemih AWS, Microsoft Azure, Google Cloud in na mestu uporabe. S tem so se uvedle vrzeli med vidljivostjo in nedoslednimi varnostnimi kontrolniki, ki grožnjam v oblaku olajšajo bočno premikanje po okoljih.
Slabi akterji uvajajo avtomatizirana orodja in napade, ki uporabljajo UI. Z UI lahko akterji kibernetskih groženj na internetu ali v infrastrukturi oblaka pregledajo, ali so na voljo napačne konfiguracije ali izpostavljene storitve, izkoristijo te pomanjkljivosti, prikrijejo svoje sledi in se izognejo zaznavanju.

CDR zapre varnostne vrzeli z zagotavljanjem neprekinjenega nadzora, zbiranja telemetrije in odkrivanja kibernetskih groženj, ki je bilo namensko ustvarjeno za oblak. Razvoj platform za zaščito delovne obremenitve v oblaku (CWPPs) nadzoruje vse plasti oblaka, vključno z delovno obremenitvijo, identitetami in storitvami. Zaznava kibernetske napadalce v gibanju in v SOC prinaša kontekst, ki izvira iz oblaka, da se spoprijema z lovom na kibernetske grožnje v več okoljih in se nanje tudi odziva. Ne glede na to, ali izvajate delovne obremenitve v storitvah Azure, AWS ali Google Cloud Platform, CDR pomaga zgodaj zaznati sumljivo vedenje in se hitreje odzvati, še preden napadalci pridobijo izhodišče.

Kako delujeta zaznavanje in odzivanje v oblaku

Rešitve CDR so zasnovane za spremljanje dejavnosti v vašem okolju za več oblakov v realnem času. Uporabljajo zaznavanje groženj s pomočjo UI, analizo vedenja in telemetrijo iz virov v oblaku, da razkrijejo tveganja, ki jih lahko tradicionalna orodja zgrešijo.

Tukaj so koraki, ki jih izvede rešitev CDR, s katerimi lahko organizacije prepoznajo in ublažijo grožnje v oblaku:

Oddajanje telemetrije v oblaku

Orodja CDR zbirajo dnevnike, dogodke in metapodatke iz storitev v oblaku, kot so izračun primerkov, shramba, identitete, vmesniki API in delovne obremenitve. Viri vključujejo AWS CloudTrail, Azure Monitor, Google Cloud Logging in nadzorne dnevnike Kubernetes.

Analizirajte vedenje v realnem času

CDR s kombinacijo logike na podlagi pravil, strojnega učenja, analitik vedenja in obveščanj o grožnjah analizira to telemetrijo, da zazna anomalije, kršitve pravilnika in kazalnike ogroženosti (IOCs) ter označi sledeče sumljivo vedenje:

Nenavadni vzorci dostopa.
Nenadno stopnjevanje pravic.
Poskusi nepooblaščenega filtriranja podatkov.
Bočno premikanje po storitvah.

Povežite podatke med okolji

Platforme CDR poenotijo signale iz več oblakov in hibridnih okolij. To povezovanje pomaga zgraditi kontekst in prikazati celotno zgodbo kibernetskega napada, kar vodi do natančnejših zaznav in hitrejših preiskav.

Opozorite in določite prednost

Zaznave so označene kot prednostna opozorila, pogosto obogatena s kontekstom – kot so prizadeti uporabniki, sredstva, resnost in predlagani naslednji koraki – da se zmanjša šum in pospeši razvrščanje.

Avtomatizirajte dejanja odgovora

Če želite hitro ustaviti kibernetske grožnje, lahko z rešitvami CDR samodejno:

Osamite ogrožen navidezni računalnik ali vsebnik.
Prekličete poverilnice za dostop.
Blokirate zlonamerne IP-je.
Povrnete spremembe v prejšnje stanje v uvajanjih z infrastrukturo kot kodo.

Podajate v obsežnejše varnostne postopke

CDR je integriran s sistemi XDR, SIEM in SOAR za povezovanje opozoril v entitetah, zagotavljanje popolne slike pokrajine kibernetskih groženj in podporo usklajenega odziva v oblaku in sredstvih na mestu uporabe.

Prednosti rešitve CDR

Prednosti zaznavanja in odzivanja v oblaku

Z združevanjem vidljivosti v skoraj realnem času in varnosti z umetno inteligenco rešitve CDR lažje upravljajo tveganja v hitro spreminjajočih se okoljih v oblaku. Tukaj je nekaj načinov, kako CDR pomaga varnostnim skupinam, da ostanejo na tekočem s prednostjo pred grožnjami v oblaku, ne da bi upočasnili inovacije:

Poenoten pregled med okolji

CDR zagotavlja celovit, skoraj sproten vpogled v delovne obremenitve v oblaku, identitete, vmesnike API in storitve. V nasprotju s tradicionalnimi varnostnimi orodji, ki delujejo v izoliranih sistemih, CDR povezuje signale v okoljih z več oblaki in hibridnih okoljih, odpravlja ovire in omogoča varnostnim skupinam, da vidijo kibernetske grožnje, ko se premikajo med platformah. S tem poenotenim pogledom lahko organizacije zaznajo kibernetske grožnje, napačne konfiguracije in sumljivo vedenje, ki bi sicer ostalo neopaženo.

Hitrejši in učinkovitejši odziv

CDR omogoča hitrejše zaznavanje, raziskovanje in odpravljanje groženj v oblaku. Z nenehnem spremljanjem dejavnosti in povezovanjem analitike vedenja ter obveščanja o grožnjah CDR skrajša čas, potreben za odziv na dogodke. Avtomatizirani priročniki in kontekstno popravljanje pomagajo varnostnim skupinam, da kibernetske grožnje zajezijo pred njihovim stopnjevanjem na višjo raven, s čimer se zmanjšajo operativne obremenitve in izpostavljenost vdoru.

Močna zaščita pred naprednimi in bočnimi kibernetskimi grožnjami

CDR je zasnovan za obravnavo enoličnih tveganj okolij v oblaku, kot so bočno premikanje, zloraba identitete in večstopenjski napadi. CDR z povezovanjem signalov med delovnimi obremenitvami, identitetami in storitvami v oblaku zazna prefinjene kibernetske grožnje, ki jih tradicionalna orodja za končne točke ali omrežje pogosto spregledajo. To vodi do manjše utrujenosti zaradi opozoril, boljšega določanja prednostnega reda obravnave in zanesljivejše obrambe pred kibernetskimi napadi, ki ciljajo na infrastrukturo v oblaku.

Najboljše prakse CDR

Močna strategija zaznavanja in odzivanja na grožnje v oblaku temelji na tem, da ustvari proaktiven in prilagodljiv pristop k varnosti v oblaku, ki vaši skupini pomaga pri zgodnjem zaznavanju kibernetskih groženj, hitrem odzivanju in zmanjšanju dolgoročnega tveganja.

Proaktivni zaščitni ukrepi:

Uvedite model Ničelnega zaupanja
Vedno preveri identiteto in dostop, ne glede na omrežno mesto. Vsako zahtevo za dostop obravnavajte kot potencialno nezaupanja vredno.
Izboljšajteupravljanje stanja varnosti v oblaku (CSPM)
Neprestano vrednotite in izboljšujte konfiguracije v oblaku, da zmanjšate tveganje zaradi napačne konfiguracije ali odstopanj od pravilnika. Omejite javno izpostavljenost virov, odstranite neuporabljene storitve in uporabite načelo najmanjših pravic.
Okrepite pravilnike o upravljanju podatkov
Razvrstite občutljive podatke, nadzorujte način dostopa do njih in vsilite kontrolnike za preprečevanje nenamerne izpostavljenosti ali zlorabe.
Avtomatizirajte varnostne prakse
Uporabite uveljavljanje pravilnika, preverjanja konfiguracije in poteke dela popravkov, da zmanjšate ročne napake.
⁠Izvajajte redno usposabljanje za varnost
Poskrbite, da bo osebje na tekočem glede razvijajočih se kibernetskih groženj, lažnega predstavljanja in najboljših praks za skrbno ravnanje v oblaku.

Učinkovito zaznavanje in odziv:

Uvedite neprekinjeno spremljanje
Spremljajte storitve v oblaku, vedenje uporabnikov in delovne obremenitve v realnem času, da zaznate kibernetske grožnje, preden se razširijo.
Uporabite analitiko, podprto z UI, in odziv na dogodek
Uporabite analitiko za razumevanje običajne dejavnosti in označite anomalije, ki lahko kažejo na ogroženost. Obogatite zaznave s posodobljenimi vpogledi iz znanih vzorcev napadov in IOC. Skrajšajte čas zadrževanja s tem, da sprožite dejanja, kot sta preklic dostopa ali osamitev virov, takoj ko so kibernetski napadi potrjeni.
⁠Integrirajte se z obstoječimi orodji
Povežite CDR z rešitvami SIEM, SOAR in upravljanjem dostopa do identitete, da naredite odziv učinkovitejši in razširite vidljivost.
⁠Redno izvajajte ocene kibernetskih groženj in vaje za odzivanje na dogodke
Preskusite, ali so v vašem okolju ranljivosti, in ocenite delovanje orodij za zaznavanje. Simulirajte scenarije napadov iz resničnega sveta, da okrepite usklajevanje in pripravljenost v svoji varnostni ekipi.

Primeri uporabe za zaznavanje in odzivanje v oblaku

Ne glede na to, ali ščitite podatke strank, interne sisteme ali kritično infrastrukturo, so rešitve CDR ustvarjene za obravnavo pogostih primerov uporabe varnosti, vključno s sledečimi:

Zloraba poverilnic v aplikacijah SaaS (programska oprema kot storitev)
Zaznajte nenavadne vpise ali stopnjevanja pravic v orodjih za sodelovanje ali aplikacijah za storilnost.
Varnost podatkov v oblaku
Označite neobičajne vzorce dostopa do občutljivih datotek ali zaznajte množične prenose, ki signalizirajo nepooblaščeno filtriranje podatkov.
Bočno premikanje po delovnih bremenih
Prepoznajte poskuse premikanja med navideznimi računalniki ali vsebniki po prvotnem dostopu.
Napačne konfiguracije v oblaku
Opozorite, ko so zaznani javno izpostavljeni viri, pretirano permisivne vloge ali nezavarovani prostori za shranjevanje.
Kršitve pravilnika
Izpostavite kršitve internih varnostnih kontrolnikov ali pravnih zahtev v storitvah v oblaku.

Kako izbrati in uvesti rešitev CDR

Izbira prave rešitve CDR se začne z razumevanjem arhitekture v oblaku in varnostnih prioritet. Poiščite orodja, ki nudijo poglobljen vpogled v platforme v oblaku in ki so integrirana z obstoječim varnostnim skladom, vključno z rešitvami SIEM, SOAR in XDR. Ključne zmogljivosti, ki so prioritetne, vključujejo analitiko delovanja, zaznavanje, podprto z UI, avtomatizacijo in podporo za okolja z več oblaki in hibridnimi okolji. Cilj je izbrati rešitev, ki je usklajena z vašimi modeli kibernetskih groženj in se prilagaja velikosti vaše infrastrukture.

Uvajanje se mora začeti z delovno obremenitvijo z visokim tveganjem ali kritičnimi računi za preverjanje kritja in prilagoditev pravilnikov zaznavanja. Uporabite vgrajeno osnovno osnovo za razumevanje običajne dejavnosti, prilagajanje pragov za zmanjšanje napačnih pozitivnih prepoznav in poravnavo dejanj odziva s strategijo upravljanja v oblaku. Ko se pokritost razširi, avtomatizirajte odziv na dogodek, kjer je to primerno, in zagotovite, da so varnostne skupine usposobljene za obravnavo opozoril in hitro ukrepanje. Dobro uvedena rešitev CDR okrepi odpornost v oblaku brez dodatnega operativnega trenja.

Novi trendi v CDR

Prihodnost CDR-ja se premika proti poglobljeni inteligenci, širši integraciji in večji avtomatizaciji. Ker okolja v oblaku postajajo vse bolj zapletena in napadalci uporabljajo bolj dovršeno UI za izogibanje zaznavanja, se bo CDR vse bolj zanašal na napredno analizo vedenja, obsežno telemetrijo v oblaku in neprekinjeno učenje za zaznavanje prefinjenih in hitro razvijajočih se kibernetskih groženj. Pričakujte bolj proaktivne zmogljivosti, kot so napovedno modeliranje kibernetskih groženj in ocenjevanje tveganj v realnem času, ki ekipam pomaga prej zaznati kibernetske grožnje.

CDR bo postal tudi tesneje integriran z orodji XDR, zaščito identitete in upravljanjem stanja varnosti v oblaku (CSPM), kar bo ustvarilo enotno obrambno plast med infrastrukturo, aplikacijami in uporabniki. Avtomatizacija bo imela večjo vlogo ne le pri odzivanju, ampak tudi pri preprečevanju – z uveljavljanjem pravilnikov, zatiranjem anomalij in konfiguracijami s samookrevanjem. V končni fazi se bo CDR razvijal iz orodja za odzive v ključni del prilagodljive varnosti v oblaku, kar bo organizacijam pomagalo upravljati tveganja s hitrostjo in merilom oblaka.

Microsoftove rešitve za zaznavanje in odzivanje v oblaku

Microsoft zagotavlja zmogljivosti CDR prek aplikacije Defender for Cloud in Defender XDR, ki skupaj ponujata:

Zaznavanje groženj, ki izvirajo v oblaku. Zagotovite zanesljivo raven varnosti tako, da zaznate grožnje v oblaku v celotnem skladu Kubernetes.
Poglobljena preiskava. Spremljajte osnovni vzrok incidenta v več oblakih in odkrijte možne metode napada z analitiko kibernetskih groženj, zasnovano za incidente v vsebnikih.
Pospešen odziv. Zmanjšajte vpliv dogodka tako, da izolirate ogrožene predele in s tem prekinete nepooblaščen dostop. Samodejno odpravite kibernetske grožnje z UI.

Te zmogljivosti skupaj zagotavljajo obsežen pristop k varovanju okolij, ki so v vsebniku, in zmanjšanju groženj med izvajanjem.

VIRI

Več informacij o Microsoftovi varnosti

Rešitev

Zaščitite delovne obremenitve z več oblaki

Odkrijte ranljivosti in kibernetske grožnje ter pospešite raziskave v vseh delovnih obremenitvah.

Več informacij

Osnove varnosti

Kaj je varnost v oblaku?

Raziščite, kako zaščititi aplikacije in infrastrukturo v hibridnih okoljih in okoljih z več oblaki.