Egy támadás után két óra is ketyeg – és a védekezőknek mindkettőt le kell győzniük

A kiberbiztonsági csapatok gyakran az alapján mérik hatékonyságukat, hogy milyen gyorsan észlelik a támadót. A legújabb incidenskezelési kutatások azonban azt mutatják, hogy egy biztonsági rés kihasználását követően nem csupán egy időszámláló fut.

Az egyik azt méri, hogy a támadók mennyi ideig maradhatnak a rendszeren belül, mielőtt bárki is észrevenné őket. A másik pedig azt, hogy milyen gyorsan tudnak kárt okozni, még mielőtt egyáltalán észrevennék őket.

A Mandiant és a Palo Alto Networks legújabb eredményei jól illusztrálják, miért fontos mindkettő – és miért támaszkodnak a modern SOC-műveletek egyre inkább a sebességre, a kontextusra és a prioritások meghatározására, ahelyett, hogy egyszerűen csak több riasztást generálnának.

14 nappal a felderítés előtt

A 2025-ben kivizsgált incidensek globális medián tartózkodási ideje 14 napra emelkedett, szemben az egy évvel korábbi 11 nappal.

A tartózkodási idő az a periódus, amely a biztonsági rés első jele és a felfedezés között telik el. A 14 nap tehát nem azt jelenti, hogy minden támadó két hétig rejtőzködik, hanem azt, hogy a Mandiant által kivizsgált esetek mediánja ennyi ideig tartott.

Ez jelentős működési időtartam.

Ez idő alatt a támadó képes lehet a következőkre:

• a rendszerek feltérképezése és az értékes erőforrások azonosítása;
• hitelesítő adatok megszerzése és a jogosultságok kiterjesztése;
• oldalirányú mozgás a környezetben;
• tartós jelenlét kialakítása;
• adatlopás vagy más, súlyos következményekkel járó cselekmény előkészítése.

Minél hosszabb ideig marad észrevétlen a behatolás, annál több lehetősége van a támadónak arra, hogy a kezdeti behatolási pontot egy sokkal összetettebb incidenssé alakítsa.

Egyes támadók szándékosan még hosszabb távra terveznek. A kiberkémkedési esetekben és az észak-koreai informatikusokat érintő incidensekben egyaránt 122 nap volt a tartózkodási idő mediánja. Ezek a szereplők gyakran támaszkodnak legitim hitelesítő adatokra, „living-off-the-land” technikákra és olyan tevékenységekre, amelyek célja, hogy beleolvadjanak a normál működésbe.

A belső észlelés döntő jelentőségű

Ugyanebben a kutatásban egy még biztatóbb adat is szerepel.

A szervezetek 2025-ben a biztonsági incidensek 52%-át belső forrásból fedezték fel, szemben a 2024-es 43%-kal. A belső forrásból észlelt incidensek medián tartózkodási ideje kilenc nap volt, ami jelentősen alacsonyabb a 14 napos globális mediánnál.

Ez nem bizonyítja, hogy bármely biztonsági technológia önmagában automatikusan csökkentené a tartózkodási időt. Ugyanakkor aláhúzza a belső átláthatóság és a hatékony észlelési képességek fontosságát.

A kihívás tehát nem egyszerűen több telemetriai adat gyűjtésében rejlik. A SOC-nak képesnek kell lennie arra, hogy ezeket az adatokat még a támadás kialakulása közben is cselekvésre alkalmas információkká alakítsa át.

De a támadóknak talán nem is kell 14 nap

Itt kerül előtérbe egy második időmérő.

A Palo Alto Networks az adatlopásig eltelt időt méri: az első behatolás és a megerősített adatlopás közötti időtartamot. Ez eltér a rendszerben való tartózkodási időtől, és a két statisztikát nem szabad közvetlenül összehasonlítani.

De együtt egy kellemetlen valóságot tárnak fel.

Egy 2025-ös incidenskezelési adatkészletben:

• a behatolások leggyorsabb 25%-a mindössze 72 perc alatt jutott el az adatszivárgásig;
• egy évvel korábban ez az érték 285 perc volt;
• az esetek 22%-ában az adatszivárgás kevesebb mint egy óra alatt következett be;
• a teljes adatkészletben az adatszivárgásig eltelt idő mediánja két nap volt.

Tehát egy szervezet elméletileg a hagyományos „tartózkodási idő” mércéje szerint viszonylag gyorsan észlelhet egy behatolást – és mégis csak akkor fedezheti fel, amikor az érzékeny adatok már elhagyták a rendszert.

A védekezési időablak nem egyszerűen csak szűkül. Hossza a támadástól függően rendkívül nagy mértékben változhat.

A SOC-nak a probléma mindkét oldalát meg kell oldania.

A biztonsági csapatok ezért egyszerre két, egymástól nagyon eltérő ellenféllel szembesülnek.

Az egyik rendkívül gyorsan cselekszik, és perceken vagy órákon belül eljut a hozzáféréstől az adatlopásig. A másik hónapokig szinte láthatatlan marad, türelmesen kihasználva a legitim eszközöket és hitelesítő adatokat.

Ennek számos operatív következménye van a SOC-csapatok számára:

• A prioritások meghatározása kritikus fontosságúvá válik. Egy látszólag rutin jellegű riasztás egy gyorsan kibontakozó incidens kezdetét jelentheti.
• A kontextus fontosabb, mint az elszigetelt riasztások. Össze kell kapcsolni a felhasználókat, a hostokat, a korábbi eseményeket, a fenyegetési információkat és a korábbi tevékenységeket.
• A vizsgálat sebessége számít. Az észlelés önmagában nem elegendő, ha az elemzőknek még mindig jelentős időre van szükségük annak megállapításához, hogy valójában mi történt.
• A múltbeli átláthatóság továbbra is elengedhetetlen. A lassan terjedő fenyegetések hosszabb időszakokra kiterjedő összefüggés-elemzést igényelnek, nem csupán az elmúlt néhány percben történt események figyelemmel kísérését.
• Az emberi figyelem korlátozott erőforrás. Amikor az elemzőket elárasztják az ismétlődő vizsgálati feladatok, a fontos jelek elrejtőzhetnek a kevésbé releváns riasztások százai között.

A Mandiant ajánlásaiban hasonló álláspontot képvisel: a kizárólag reaktív riasztásokra való támaszkodás nem elegendő a kifinomult, kitérő támadók ellen, míg a proaktív fenyegetéskeresés segíthet a láthatósági hiányosságok pótlásában és a támadók tartózkodási idejének csökkentésében.

A riasztás sebességétől a vizsgálat sebességéig

Éppen ezen a területen is jelentős szerepet játszhat a mesterséges intelligencia a SOC-működésében.

A PULZARIS Analyst Agent-et úgy tervezték, hogy támogassa a biztonsági riasztások generálását követő vizsgálati folyamatot. Ahelyett, hogy az elemzőkre hárulna minden egyes bizonyíték kézi összegyűjtése és értelmezése, a mesterséges intelligenciával támogatott munkafolyamat képes a riasztások osztályozására, a releváns entitások és kontextus feltérképezésére, az eredmények fenyegetési információkkal való kiegészítésére, a prioritások értékelésére, valamint az elemzők számára felhasználható ajánlások elkészítésére. Az emberi elemző továbbra is felelős az ellenőrzésért és a végső döntésért.

A cél nem az, hogy azt állítsuk, a mesterséges intelligencia automatikusan kiküszöböli a támadók tartózkodási idejét, vagy megakadályoz minden gyorsan zajló adatlopási kísérletet. Az érték máshol rejlik: a jel, a megértés és a döntés közötti távolság csökkentésében.

Amikor a támadóknak akár 14 napjuk is lehet a rejtőzködésre, vagy csupán 72 percük a kár okozására, ez a távolság egyre inkább meghatározza, hogy a védelemnek valójában mennyi ideje van.

Kérdése van, érdekelné a megoldás? Vegye fel Kollégáinkkal a kapcsolatot!