Hyökkäyspinnan valvonta vai EDR ja XDR: toisiaan täydentävät, eivät kilpailevat

Ulkoinen hyökkäyspinnan valvonta ja EDR tai XDR vastaavat eri kysymyksiin. EDR (endpoint detection and response, päätelaitteiden havainnointi ja reagointi) ja XDR (extended detection and response, laajennettu havainnointi ja reagointi) valvovat, mitä kannettavissanne, palvelimissanne, pilvitileissänne ja verkossanne tapahtuu: prosesseja, kirjautumisia, tiedostomuutoksia ja epäilyttävää toimintaa. Ulkoinen hyökkäyspinnan valvonta tarkkailee, miltä yrityksenne näyttää internetistä: verkkotunnukset, DNS, varmenteet, sähköpostiasetukset, verkkosivustot ja avoimet palvelut.

Lyhyesti: ne eivät kilpaile keskenään. EDR ja XDR kertovat, kun jotain tapahtuu sisällä. Ulkoinen valvonta kertoo, mitkä ovet ovat auki ulospäin, usein ennen kuin kukaan koskee niihin, ja kattaa myös sen, mikä ei koskaan toimi hallinnoimallanne laitteella.

Jos maksatte jo EDR- tai XDR-alustasta, tämä artikkeli kertoo, mitä se ei näe ja miten aukko suljetaan ostamatta samaa kyvykkyyttä toiseen kertaan.

Missä EDR ja XDR ovat hyviä

EDR asentaa agentin jokaiselle päätelaitteelle. Agentti kirjaa prosessien toiminnan ja estää tunnetun haitallisen toiminnan, ja analyytikko voi sen avulla tutkia koneen ja eristää sen. XDR laajentaa samaa ajatusta yhdistämällä signaaleja useammista lähteistä, kuten sähköpostiyhdyskäytävistä, identiteetinhallinnasta, pilvityökuormista ja verkkoantureista.

Molemmat ovat vahvoilla seuraavissa:

• Haittaohjelmien ja epäilyttävän toiminnan havaitseminen hallituilla laitteilla.
• Epätavallisten kirjautumisten ja verkon sisäisen sivuttaisliikkeen tunnistaminen.
• Aikajanan muodostaminen siitä, mitä koneella tapahtui.
• Tietoturvapoikkeaman rajaaminen eristämällä palvelin tai poistamalla tili käytöstä.

Niiden näkymä alkaa siitä, mihin agentit ja integraatiot on asennettu.

Mitä ne eivät näe

Suuri osa yrityksen altistumisesta on järjestelmissä, joissa ei ole agenttia tai joita ette ylläpidä lainkaan:

• DNS ja verkkotunnukset. Muuttunut nimipalvelin, pian vanheneva verkkotunnus tai siirto verkkotunnusvälittäjältä toiselle tapahtuu välittäjän järjestelmässä, ei päätelaitteella (katsokaa nimipalvelimen ja verkkotunnusvälittäjän muutokset).
• Sähköpostin todennus. Puuttuva DMARC antaa kenen tahansa lähettää omilta palvelimiltaan postia, joka näyttää teidän postiltanne. EDR ei koskaan näe tätä postia.
• Samankaltaiset verkkotunnukset ja väärennetyt kirjautumissivut, jotka toimivat jonkun toisen infrastruktuurissa.
• Unohdetut palvelimet: vanha staging-sivusto mainostoimistolla, markkinointisivu sivustorakentajassa, testipalvelin, johon kukaan ei asentanut agenttia. Katsokaa unohdetut staging- ja testipalvelimet.
• TLS-varmenteet, jotka on myönnetty verkkotunnuksillenne, ja niiden vanheneminen.
• Internetiin avoimet palvelut palvelimilla, jotka eivät ole laiteluettelossanne.

Juuri näitä asioita hyökkääjä tutkii ensimmäisenä. MITRE ATT&CK luettelee tiedustelun (reconnaissance) omana taktiikkanaan, ja siihen kuuluu tekniikoita, kuten avoimien teknisten tietokantojen ja uhrin omien verkkosivustojen läpikäynti. Tämä tapahtuu ennen kuin yksikään haittaohjelma käynnistyy.

Sisältä ulos ja ulkoa sisään

Asian hahmottaa helpoimmin suunnan kautta.

• Sisältä ulos (EDR, XDR): lähdetään liikkeelle tunnetuista laitteista ja valvotaan niitä tarkasti.
• Ulkoa sisään (ulkoinen hyökkäyspinnan valvonta): lähdetään siitä, mitä internet näyttää yrityksestänne, ja edetään takaisin siihen, mitä omistatte.

Ulkoa sisään -näkymällä löydätte myös laitteet, joista ette tienneet. Jos verkkotunnuksenne alle ilmestyy palvelin, josta EDR-konsolinne ei ole koskaan kuullutkaan, olette löytäneet aukon kattavuudessa, ette pelkästään asetuksissa.

NIST Cybersecurity Framework 2.0 -viitekehyksen ydintoiminnot ovat Govern, Identify, Protect, Detect, Respond ja Recover. EDR ja XDR tekevät suurimman osan työstään toiminnoissa Detect ja Respond. Ulkoinen valvonta tukee toimintoja Identify (omaisuuden ja altistumisen tunteminen) ja Protect (heikkojen asetusten korjaaminen ennen kuin niitä käytetään hyväksi), ja se tuo varhaisen Detect-signaalin verkkonne ulkopuolella tehdyistä muutoksista.

Miten tarkistatte, onko teillä aukko

Nopea harjoitus IT-tiimillenne:

1. Hakekaa EDR- tai XDR-konsolista luettelo palvelimista, jotka se kattaa.
2. Kootkaa luettelo verkkotunnustenne alla olevista palvelinnimistä, esimerkiksi palvelusta crt.sh hakulausekkeella %.yourcompany.com, sekä DNS-vyöhykkeestänne.
3. Selvittäkää kunkin nimen osoite ja vertailkaa:

dig +short app.yourcompany.com
dig +short CNAME promo.yourcompany.com

1. Merkitkää jokainen nimi, joka osoittaa IP-osoitteeseen tai palveluun, jota agenttinne eivät kata.
2. Tarkistakaa DMARC ja nimipalvelimet, joista mikään päätelaitetyökalu ei raportoi:

dig +short TXT _dmarc.yourcompany.com
dig +short NS yourcompany.com

Kaikki vaiheessa 4 merkityt nimet ja heikot tulokset vaiheessa 5 jäävät nykyisen havainnointinne ulkopuolelle.

Miten molemmat saadaan toimimaan yhdessä

• Ohjatkaa ulkoiset havainnot samaan tikettijonoon, jota tietoturvatiiminne jo käyttää, jotta niistä ei tule erillistä siiloa.
• Kun ulkoinen valvonta löytää uuden palvelimen, päättäkää: asennetaanko agentti, siirretäänkö se pääsynhallinnan taakse vai poistetaanko se.
• Käyttäkää ulkoisia hälytyksiä (uusi varmenne, muuttunut DNS-tietue) taustatietona XDR-tutkinnoissa.
• Priorisoikaa avoimet palvelut, joissa on tunnetusti hyödynnettyjä haavoittuvuuksia; CISA ylläpitää juuri tätä varten Known Exploited Vulnerabilities -luetteloa.

Lyhyt tarkistuslista

• Tunnemmeko jokaisen verkkotunnustemme alla olevan palvelinnimen, ja onko kullakin omistaja?
• Onko jokaisella ylläpitämällämme palvelimella agentti tai dokumentoitu syy sen puuttumiselle?
• Kuka saa hälytyksen, kun nimipalvelimet, verkkotunnusvälittäjä tai MX-tietueet muuttuvat?
• Onko DMARC pakottavassa tilassa?
• Onko etäyhteys- ja tietokantaporttien pääsy internetistä estetty?

Datahorsesin rooli

Datahorses on ulkoa sisään -näkymä. Valvomme yritystänne ulkoa päivittäin, näemme sen, minkä hyökkääjä näkee, ja toimitamme jokaisen havainnon yhdessä tarkkojen korjausohjeiden kanssa. Emme mene järjestelmiinne emmekä tarvitse pääsyoikeuksia. Palvelu toimii EDR:n tai XDR:n rinnalla eikä korvaa niitä; katsokaa, miten valvomme ja miksi pääsyoikeuksia ei tarvita.