Monitoring útočné plochy vs. EDR a XDR: doplněk, ne konkurence

Monitoring vnější útočné plochy a EDR či XDR odpovídají na různé otázky. EDR (endpoint detection and response) a XDR (extended detection and response) sledují, co se děje na vašich noteboocích, serverech, cloudových účtech a v síti: procesy, přihlášení, změny souborů, podezřelé chování. Monitoring vnější útočné plochy sleduje, jak vaše firma vypadá z internetu: domény, DNS, certifikáty, nastavení e-mailu, weby a otevřené služby.

Krátká odpověď tedy zní: nekonkurují si. EDR a XDR vám řeknou, že se něco děje uvnitř. Vnější monitoring vám řekne, které dveře jsou vidět zvenčí, často dřív, než na ně někdo sáhne, a pokryje i to, co na žádném vámi spravovaném zařízení neběží.

Pokud už platformu EDR nebo XDR platíte, v tomto článku vysvětlujeme, co nevidí a jak tuto mezeru uzavřít, aniž byste stejnou funkci kupovali podruhé.

V čem jsou EDR a XDR dobré

EDR běží jako agent na každém koncovém zařízení. Zaznamenává aktivitu procesů, blokuje známé škodlivé chování a umožňuje analytikovi incident vyšetřit a stroj izolovat. XDR tutéž myšlenku rozšiřuje: koreluje signály z více zdrojů, například z e-mailových bran, poskytovatelů identit, cloudových úloh a síťových senzorů.

Obě řešení vynikají v tom, že:

• Odhalují malware a podezřelé chování na spravovaných zařízeních.
• Zachycují neobvyklá přihlášení a laterální pohyb uvnitř sítě.
• Dávají týmu pro reakci na incidenty časovou osu toho, co se na stroji stalo.
• Omezují incident izolací hostitele nebo zablokováním účtu.

Vidí ovšem jen tam, kde mají nainstalované agenty a integrace.

Co nevidí

Velká část toho, co je na firmě vidět zvenčí, však leží na systémech, které agenta nemají nebo které vůbec neprovozujete vy:

• DNS a domény. Změněné jmenné servery, doména těsně před expirací nebo převod k jinému registrátorovi se odehrávají u registrátora, ne na koncovém zařízení (viz změny jmenných serverů a registrátora).
• Ověřování e-mailu. Bez DMARC může kdokoli ze svých serverů rozesílat poštu, která vypadá jako vaše. Vaše EDR takovou poštu nikdy neuvidí.
• Podobné domény a falešné přihlašovací stránky hostované na cizí infrastruktuře.
• Zapomenuté servery: starý staging web u agentury, marketingová stránka v hostovaném nástroji pro tvorbu webů, testovací server, na který nikdo agenta nenainstaloval. Viz zapomenuté staging a testovací servery.
• TLS certifikáty vydané na vaše domény a jejich expirace.
• Služby dostupné z internetu na serverech, které nemáte v evidenci.

Právě tyto věci útočník zkoumá jako první. MITRE ATT&CK uvádí průzkum (reconnaissance) jako samostatnou taktiku s technikami, jako je prohledávání otevřených technických databází a webů oběti. To vše se odehraje dřív, než se spustí jakýkoli malware.

Zevnitř ven, nebo zvenčí dovnitř

Nejsnáz si rozdíl představíte jako směr pohledu.

• Zevnitř ven (EDR, XDR): začnete u zařízení, o kterých víte, a podrobně je sledujete.
• Zvenčí dovnitř (monitoring vnější útočné plochy): začnete tím, co o vaší firmě prozrazuje internet, a dopátráte se k tomu, co skutečně vlastníte.

Pohled zvenčí navíc odhalí zařízení, o kterých jste nevěděli. Když se pod vaší doménou objeví hostitel, o kterém konzole EDR nikdy neslyšela, našli jste mezeru v pokrytí, nejen mezeru v konfiguraci.

V NIST Cybersecurity Framework 2.0 jsou základními funkcemi Govern, Identify, Protect, Detect, Respond a Recover. EDR a XDR odvádějí většinu práce ve funkcích Detect a Respond. Vnější monitoring přispívá k funkcím Identify (přehled o aktivech a o tom, co je vidět zvenčí) a Protect (oprava slabých nastavení dřív, než je někdo zneužije) a funkci Detect dodává včasný signál o změnách provedených mimo vaši síť.

Jak zjistit, zda máte mezeru

Rychlé cvičení pro váš IT tým:

1. Vyexportujte seznam hostitelů, které pokrývá vaše EDR nebo XDR.
2. Sestavte seznam názvů hostitelů pod vašimi doménami, například z crt.sh dotazem %.yourcompany.com, a doplňte ho o vaši DNS zónu.
3. U každého názvu zjistěte, kam se překládá, a výsledky porovnejte:

dig +short app.yourcompany.com
dig +short CNAME promo.yourcompany.com

1. Označte každý název, který ukazuje na IP adresu nebo službu, jež vaši agenti nepokrývají.
2. Zkontrolujte DMARC a jmenné servery; o nich vám žádný nástroj pro koncová zařízení nic neřekne:

dig +short TXT _dmarc.yourcompany.com
dig +short NS yourcompany.com

Vše, co jste označili v kroku 4, i každý slabý výsledek z kroku 5 leží mimo dosah vaší současné detekce.

Jak obojí propojit

• Posílejte vnější zjištění do stejné fronty tiketů, kterou už váš bezpečnostní tým používá, aby nevznikl oddělený ostrůvek.
• Když vnější monitoring najde nového hostitele, rozhodněte se: nainstalovat agenta, schovat ho za řízení přístupu, nebo ho odstranit.
• Používejte vnější upozornění (nový certifikát, změněný DNS záznam) jako kontext při vyšetřování v XDR.
• Přednostně řešte služby dostupné z internetu se zranitelnostmi, které se prokazatelně zneužívají; právě k tomu vede CISA katalog Known Exploited Vulnerabilities.

Krátký kontrolní seznam

• Známe každý název hostitele pod našimi doménami a má každý z nich odpovědnou osobu?
• Má každý server, který provozujeme, agenta, nebo zdokumentovaný důvod, proč ne?
• Kdo dostane upozornění, když se změní jmenné servery, registrátor nebo MX záznamy?
• Je DMARC nastavený v režimu vynucení?
• Jsou porty pro vzdálený přístup a databáze z internetu nedostupné?

Kam zapadá Datahorses

Datahorses je pohled zvenčí dovnitř. Vaši firmu hlídáme zvenčí každý den, vidíme totéž co útočník a ke každému zjištění posíláme přesný postup opravy. Do vašich systémů přitom nevstupujeme a žádné přístupy nepotřebujeme. Datahorses vaše EDR nebo XDR nenahrazuje, ale doplňuje; podívejte se, co hlídáme a proč nepotřebujeme přístupy.