SOAR: az automatizálás biztonsága

Az elmúlt években megnőtt a vállalatok biztonsági csapatainak vállára nehezedő teher, mivel az egyre szervezettebben fellépő támadók aprólékosan kihasználják az informatikai infrastruktúrák növekvő szintű összetettségét. Azonban a SOAR (Security Orchestration, Automation and Response) segítségével hatékonyan automatizálhatók a kiberbiztonsági folyamatok, s ez hatalmas előnyt jelenthet a biztonsági vezetők számára.

SOAR: amikor az automatizálás biztonságot teremt

Aki hatékonyan szeretné kialakítani a biztonsági folyamatokat és a legtöbbet kívánja kihozni azokból, az nem kerülheti meg többé az automatizálást, s így van ez az IT-biztonsági iparág esetében is. A szakképzett munkaerő hiányának kialakulása és ezzel egyidejűleg az IT-infrastruktúrák növekvő összetettsége óriási kihívások elé állítja a biztonsági csapatokat, ezért kézenfekvő megoldásnak tűnik, ha átadunk néhány feladatot a gépnek, amelyeket az a lehető legrövidebb idő alatt – és beavatkozásunk nélkül – elvégez. Ez nemcsak a dolgozókat tehermentesíti, hanem döntően felgyorsítja a biztonság szempontjából kritikus folyamatokat is.

A saját informatikai biztonság automatizálásának egyik módja a SOAR használata. Ez a megoldás számos olyan eszközt kínál, amelyekkel sok helyen automatizálható az IT-biztonság, és ezáltal javítható a vállalat egészének biztonsága.

Amikor minden másodperc számít

Az automatizálást gyakran akkor alkalmazzák, amikor az ismétlődő folyamatok túlzóan lefoglalják a kapacitásokat és ezzel a késedelem mellett jelentős frusztrációt is okoznak. Ha ezeket a feladatokat átadjuk a gépnek, az utánozza az emberi viselkedést. Ezt a klasszikus eljárást RPA-nak (Robotic Process Automation) nevezik. Bár a SOAR kezdetben szintén hasonló technikákon alapul, de azokat a kiberbiztonsági ágazat tipikus folyamataira alkalmazza és használata különösen az incidensreakció módszereit gazdagítja. Ebben hatalmas lehetőségek rejlenek, mivel egy válaszadás során gyakran minden perc – vagy akár másodperc – döntő fontosságú lehet. Ha biztonsági szempontból releváns esemény történik, a biztonsági csapatoknak a lehető leggyorsabban kell cselekedniük, és mielőbb megtenniük a védekezéshez szükséges lépéseket. Az automatizálás fontos szerepet játszhat ebben. Ha például a rendszer riasztást indít, automatikusan létrejön az ehhez tartozó hibajegy, és az elemző azonnal megkezdheti az adatok vizsgálatát. Ha valóban rosszindulatú szereplőről van szó, a biztonsági csapat automatizált műveleteket indíthat, amelyek során más rendszerek blokkolják a rosszindulatú fiókot vagy blokkolnak egy IP-címet az elemzés során. Ez azt jelenti, hogy a biztonsági csapatok nem vesztegetik az időt ismétlődő feladatokra, hanem közvetlenül képesek a riasztások értékelésére, a megfelelő, összetettebb lépések megtételére, s így a kár minimalizálására vagy adott esetben annak komplett kiküszöbölésére.

Az áttekinthetőség fenntartása a nagyfokú összetettség ellenére

Modern infrastruktúrák talán legnagyobb kihívása azok növekvő összetettsége. Az évek során – hála az IoT megállíthatatlan fejlődésének – számos eszköz halmozódik fel, ráadásul folyamatosan bővül a hálózatok szereplőinek száma is. A kiberbűnözőknek ez a komplexitás kész csemege, hiszen egyrészt nő a támadási felület, másrészt a szerteágazóság lehetőséget kínál arra, hogy eltűnjenek a tömegben.

A múltban legtöbbször elegendő volt egy SIEM-megoldás (Security Information and Event Management) használata, amely rövid idő alatt nagy mennyiségű adatot vizsgál meg, és riaszt, ha gyanús viselkedést észlel. Ám ahogy egy hálózat mérete növekszik, úgy gyarapodik a riasztások száma is, és ezeknek csak a töredéke vonatkozik ténylegesen veszélyes szereplőre. Ez kvázi „riasztási kimerültséget” okoz a biztonsági személyzet körében, hiszen napi szinten, tengernyi jelentéssel szembesülnek, s egyre nehezebbé válik számukra, hogy megkülönböztessék a hamis riasztásokat a valós fenyegetésektől. A SOAR itt is megkönnyebbülést hozhat.

Ez nem tévesztendő össze az úgynevezett XDR-megoldásokkal (Extended Detection and Response), amelyek mesterséges intelligenciát használnak a szereplők viselkedésének korrelálására a különböző végpontokon, hogy felfedezzék a mozgásmintákat és azonosítsák a káros szereplőket. Az XDR-eszközöket fenyegetések felderítésére használják. A SOAR azonban a figyelmeztető jelzések sorrendjére és a figyelmeztető jelzésekre adott értékelési válaszra összpontosít. Ám épp e különbözőségből adódóan, a SOAR és az XDR kifejezetten jól kombinálható. Előbbi számos egyéb biztonsági eszközzel összekapcsolható, így központi áttekintést nyújthat a rendszer minden, biztonsági szempontból releváns folyamatáról, aminek köszönhetően a biztonsági csapatoknak nem kell váltogatniuk az egyes eszközök között.

A megfelelő felkészülés kulcsfontosságú

Nem meglepő, hogy az automatizált folyamatok lényegesen gyorsabban futnak, mint kézzel végrehajtott megfelelőik. Ennek megfelelően kecsegtető lehetőségek rejlenek bennük a vállalati biztonságra nézve, amint azt az automatikusan támogatott incidensreakciók példája is mutatja. Mindazonáltal a SOAR semmiképpen sem tekinthető csodaszernek, különösen a szakképzett munkaerő súlyos hiányával szemben, mert még ha az automatizálás sok fontos helyen tehermentesíti is a biztonsági csapatokat, a vállalatoknak nem szabad alábecsülniük az ilyen rendszerhez szükséges emberi erőforrásokat.

A SOAR úgynevezett playbookokon alapul. Ezeket a terveket különböző biztonságkritikus esetek incidenciatípusaihoz használják. Ahhoz azonban, hogy az automatizált folyamatok megfelelően működjenek és a szakértők támaszkodhassanak rájuk, a playbookokat elengedhetetlen folyamatosan frissíteni és pontosan az adott helyzetekre szabni. Minél összetettebbek a folyamatok a saját ökoszisztémában, annál időigényesebb ez a feladat. Különösen nagyvállalatok esetében szükséges a SOAR folyamatos nyomon követése, már csak az esetleges hibaforrások beazonosítása érdekében is. A gyakori frissítés szintén létfontosságú, hogy a biztonsági csapatok a lehető leggyorsabban kijavíthassák a playbookokban fellelt hibákat.

Hatékony biztonsági intézkedések az automatizálásnak köszönhetően

Egyértelmű tehát, hogy a saját biztonsági folyamatok automatizálásához emberi erőforrások szükségesek, mivel a SOAR sem működik tökéletesen önállóan. Mindazonáltal az előnyök sok esetben meghaladják a hátrányokat, mert a SOAR drasztikusan csökkenti az incidens észlelése és a biztonsági csapat reakciója közötti időt. Így nemcsak a szakembereket tehermentesíti, hanem nagyobb biztonságot is szavatol.

Összegzésül

Azoknak, akik még az automatizálási út elején járnak, érdemes megfontolniuk külső szolgáltatók bevonását. Ők már kellően nagy tapasztalattal rendelkeznek ezen a területen, és támogatni tudják a vállalatokat például a SOAR integrálásában és az automatizálás használatában, ott, ahol az valóban előnyös lehet a cég számára. Világos persze, hogy nem minden biztonsági struktúra automatizálható, de annál fontosabb, hogy a csapatoknak legyen idejük azokra a létfontosságú feladatokra, amelyeket nem végezhetnek el gépek. Minél kevesebb ideje van a támadónak a támadási folyamat kivitelezésére, annál nagyobb az esélye annak, hogy a védők végül képesek lesznek elhárítani azt, így garantálva saját szervezetük biztonságát.