1-amaliyot mashg’uloti Mavzu: Tahdidlarni aniqlash tizimlarini o'rganish va tahlil qilish. Ishning maqsadi

Keyingi avlod tarmoq trafigini tahlil qilish (NDR).
Yaqinda Gartner tadqiqot markazi tomonidan NDR (Network Detection & Response) tizimlari klassi tuzilgan. NDR tizimlari quyidagi texnologiyalarni o'z ichiga oladi:

• 
  • tarmoq trafigini tahlil qilish;
  
• 
  • tahdidlarni tezkor aniqlash, tekshirish va ularga javob berish uchun mashinani o'rganish.
  

Asosan, NDR NTA texnologiyalarini o'z ichiga oladi va tahdidlarni aniqlash va identifikatsiya qilish uchun asosiy metama'lumotlarni taqdim etadi, shuningdek, turli AT va axborot xavfsizligi vositalari (xavfsizlik devorlari, tarmoqqa kirishni boshqarish va boshqalar) bilan integratsiyalashuv orqali tahdidlarga avtomatik javob beradi. ). NDR yechimlari real vaqtda tahdidlarni aniqlash orqali tarmoqning toʻliq koʻrinishini taʼminlaydi, EDR va SIEM mahsulotlari bilan integratsiya esa hodisalarni aniqlash uchun qoʻshimcha aniq maʼlumotlar korrelyatsiyasini taʼminlaydi.
Tahdid razvedkasi (Threat Intelligence).
Threat Intelligence yechimlari IT infratuzilmasidagi zaifliklar va tahdidlarni ilg'or tahlil qilish imkonini beradi. Tahlil tahdid ma'lumotlari yoki Tahdid razvedkasi tasmalariga (TIF) asoslangan.
Ushbu ma'lumotni olish ma'lumotlar o'rtasidagi munosabatlarni batafsil tahlil qilishni talab qiladi. Jarayon ko'p mehnat talab qiladi, chunki ko'p hollarda u qo'lda amalga oshiriladi. Bunday hollarda TI platformalari (Threat Intelligence Platform) mutaxassis yordamiga keladi.
Threat Intelligence Platform - bu tahdidlar ma'lumotlarini boyitish, aniqlash, tarqatish va umumlashtirish uchun maxsus platforma. Yechimlarning ushbu klassi sizga kanallarni avtomatik ravishda ulash va ularni kontekstli ma'lumotlar bilan to'ldirish imkonini beradi. TI platformalari sizda mavjud bo'lgan har qanday tahdidlar haqida ma'lumot manbasini ulash va markazlashtirish qobiliyatidan, shuningdek, SIEM tizimlari, hodisalarga javob berish platformalari yoki xavfsizlik vositalari kabi boshqa kiberxavfsizlik vositalaridan foyda oladi.
Amalda, bunday echimlar tahlilchilarga ma'lum ko'rsatkichlar bo'yicha tarmoqlar va tizimlarning murosa izlarini topishga yordam beradi. Misol uchun, NTA yechimi noqonuniy trafikni aniqladi (masalan, SYN toshqini, juda qisqa vaqt ichida ko'p sonli TCP ulanish so'rovlarini yuborishni o'z ichiga olgan tarmoqdan foydalanishni rad etish hujumi), SIEM ma'lum bir tarmoqdan Keyin IP-manzil SYN toshqini aniqlanganligi haqida xabar beradi. SIEM tizimi ma'lumotlarni tahlil qiladi va "IP manzili" kiritish parametri va "SYN flood" buyrug'i bilan hodisa hosil qiladi. Keyin SIEM ushbu ma'lumotni boyitish uchun TI platformasiga yuboradi. Platforma o'z ma'lumotlar bazasini shunga o'xshash DNS yozuvlari uchun tekshirishni boshlaydi.
Agar murosa ko'rsatkichlari to'plamida yana o'nlab IP-manzillar topilsa, bu manzillar tekshiriladi va tahlilchiga qaytariladi. Tahlilchi ma'lumotni AT infratuzilmasi ma'murlariga uzatadi, ular o'z navbatida yo'riqnoma yoki xavfsizlik devori sozlamalariga o'zgartirishlar kiritadilar va shu bilan potentsial noqonuniy ulanishlarni faol ravishda bloklaydilar.

Nazorat savollari:

1. 
   Yangi avlod himoya devori qanday xususiyatlarni o'z ichiga oladi?
   
2. 
   Xavfsizlik hodisalarini kuzatish tizimlarining vazifalari nimadan iborat?
   
3. 
   Tarmoq trafigini tahlil qilish (NTA) tizimlari nima uchun kerak?
   
4. 
   Endpoint Detection and Response (EDR) tizimi qaysi agentdan foydalanadi?
   
5. 
   Next Generation Network Traffic Analysis (NDR) qanday texnologiyalarni o'z ichiga oladi?
   
6. 
   Threat Intelligence Platformasining afzalliklari nimada?