世界

サイバー脅威検出戦略を強化するための4つの重要な質問

今日の急速に進化する脅威の状況では、 サイバーセキュリティ これまで以上に重要です。高度な永続的な脅威（APTS）と洗練された攻撃者の戦術は、現在標準の一部です。現代の攻撃者はより速く、より創造的であり、最初の妥協から目標の到達に移行するのにわずか数時間かかります。しかし、攻撃者を検出することはしばしば数日かかります。この速度格差は、サイバー防衛に対するより堅牢でインテリジェントなアプローチの緊急の必要性を強調しています。アンドリューリブソーシャルリンクナビゲーションAttackiqの敵の研究チームのエンジニアリングマネージャー。エクスプロイトベースの攻撃の台頭 セキュリティチームが直面している最大の課題の1つは、エクスプロイトベースの攻撃へのシフトです。これらの攻撃は、ソフトウェアとシステムの脆弱性を活用し、多くの場合、ゼロデイのエクスプロイトまたは以前は未知の弱点を利用しています。伝統とは異なり マルウェア 攻撃、エクスプロイトベースの攻撃を特定するのははるかに困難です。最近の研究では、フィッシングだけでなく脆弱性が主要な攻撃ベクターになったことを強調しています。 Mandiantは、エクスプロイトベースの攻撃が電子メールベースの方法を追い抜いていると報告しており、Crowdstrikeは、脅威の75％が現在、従来のマルウェアではなく「Living the Land」（LOTL）ツールを活用していると指摘しています。これらの方法は、既存のシステムとアプリケーションの脆弱性を活用し、しばしば見落とされがちなエントリポイントを利用します。ゼロデイとAI駆動のエクスプロイト発見の拡大の拡大は、防御者にとっての課題をさらに複雑にします。検出の重要な役割 これらの課題に対処するために、組織はセキュリティに対する新しいアプローチを採用する必要があります。特に、マルウェアのない攻撃の数が増えるには、効果的な検出が不可欠です。 Accentureによると、組織の検出ルールの1％未満が完全に効果的です。多くの検出ルールは時代遅れのままであり、その結果、誤検知の洪水が発生し、検出の機会を逃しました。検出は、マルウェアハッシュのような静的な指標ではなく、敵の行動に焦点を合わせる必要があります。これらの一時的な指標の貯蔵寿命は短いです。敵対的な戦術、技術、手順（TTPS）に関連する行動ベースの検出は、組織が脅威をリアルタイムで検出および軽減する機会を与え、GDPR、PCI、HIPAA、FISMAなどの規制からのコンプライアンス要件を満たす機会を与えます。なぜ検出を改善するのが難しいのか 検出エンジニアリングは、敵の知識を実用的な検出ルールに変換することの規律です。これは継続的なサイクルです。関連する脅威の調査、特定の検出ロジックの構築、および有効性を確保するためにそれらの検出を検証します。しかし、多くの組織はここで苦労しています。何百もの検出ルールを執筆、テスト、および維持することは、最も成熟したセキュリティチームでさえも圧倒する可能性があります。テストの書き込みは不十分であり、正確に検証されていない場合、カバレッジのギャップまたは実際のアラートを埋める誤検知につながります。効果的な検出とは、適切なルールを配置することだけではありません。また、これらのルールをサポートするための適切なプロセスとテクノロジーを持つことでもあります。これには次のものが含まれます。可視性：組織は、すべてのデバイスを含むIT環境を完全に可視化する必要があります。 アプリケーション、およびユーザーアクティビティ。この可視性は、疑わしい活動を特定し、攻撃の範囲を理解するために不可欠です。オートメーション：セキュリティチームは、受信するアラートの膨大な量に圧倒されることがよくあります。自動化は、誤検知を除外し、最も重要なアラートを優先し、アナリストを解放して、実際の脅威の調査と対応に集中するのに役立ちます。脅威インテリジェンス：最新の攻撃者TTPを理解し、効果的な検出ルールを開発するためには、最新の脅威インテリジェンスが重要です。脅威インテリジェンスは、潜在的な脅威が実現する前に潜在的な脅威を特定するのにも役立ちます。検出努力を合理化する4つの質問 検出機能を強化しようとしている組織は、これらの4つの質問を検討する必要があります。あなたの検出パイプラインは効果的ですか？ セキュリティコントロールがSIEMと効果的に通信して、検出アラートパイプラインの可視性を得ることを確認してください。あなたのコントロールは、予防を超えて脅威を捉えることができますか？ 予防だけでは十分ではありません。検出は、予防策をバイパスする脅威を特定するためのセーフティネットとして機能します。どれくらい早く洞察を得ることができますか？ インシデント対応のような時間依存の状況では、検出機能を即座に可視化することが重要です。検出されたギャップにどのように対処できますか？ ギャップが識別されたら、ルールを開発および実装して閉鎖します。先を見ています これらの措置を実装することにより、組織はサイバー攻撃を検出および対応する能力を大幅に改善できます。ただし、それを覚えておくことが重要です 安全 1回限りのイベントではなく、継続的なプロセスです。攻撃者は常に自分の方法を進化させているため、セキュリティチームは、曲線の先を行くために防御を継続的に適応させる必要があります。上記の技術的措置に加えて、組織は強力なセキュリティ文化の構築に集中する必要もあります。これは教育を意味します 従業員 サイバーセキュリティのリスクとベストプラクティスについて、そして疑わしい活動を報告する権限を与えます。強力なセキュリティ文化は、そもそも攻撃を防ぐのに役立ちます。また、インシデントが迅速に特定され対応されるようにするのにも役立ちます。最高のネットワーク監視ツールのリストを作成しました。この記事は、TechRadarproのExpert Insights Channelの一部として制作されました。ここでは、今日のテクノロジー業界で最高で最も明るい心を紹介しています。ここで表明された見解は著者のものであり、必ずしもTechradarproまたはFuture PLCの見解ではありません。貢献に興味がある場合は、こちらをご覧ください。 https://www.techradar.com/news/submit-your-story-to-techradar-pro #サイバー脅威検出戦略を強化するための4つの重要な質問