Monitoring útočnej plochy vs. EDR a XDR: doplnok, nie konkurencia

Monitoring externej útočnej plochy a EDR či XDR odpovedajú na iné otázky. EDR (endpoint detection and response) a XDR (extended detection and response) sledujú, čo sa deje na vašich notebookoch, serveroch, cloudových účtoch a v sieti: procesy, prihlásenia, zmeny súborov, podozrivé správanie. Monitoring externej útočnej plochy sleduje, ako vaša firma vyzerá z internetu: domény, DNS, certifikáty, nastavenia e-mailu, weby a otvorené služby.

Krátka odpoveď teda znie: nekonkurujú si. EDR a XDR vám povedia, keď sa niečo deje vnútri. Externý monitoring vám povie, ktoré dvere vidno zvonku, často skôr, než ich niekto skúsi otvoriť. Pokrýva aj to, čo nikdy nebeží na zariadeniach, ktoré spravujete.

Ak už platíte za platformu EDR alebo XDR, v tomto článku vysvetľujeme, čo nevidí a ako túto medzeru uzavrieť bez toho, aby ste si druhýkrát kupovali to isté.

V čom sú EDR a XDR dobré

EDR beží ako agent na každom koncovom zariadení. Zaznamenáva činnosť procesov, blokuje známe škodlivé správanie a umožňuje analytikovi incident vyšetriť a zariadenie izolovať. XDR ten istý princíp rozširuje: spája signály z ďalších zdrojov, napríklad z e-mailových brán, poskytovateľov identity, cloudových prostredí a sieťových senzorov.

Obe sú silné v tom, že:

• Odhaľujú malvér a podozrivé správanie na spravovaných zariadeniach.
• Zachytia nezvyčajné prihlásenia a laterálny pohyb vnútri siete.
• Tímu, ktorý rieši incident, ukážu časovú os toho, čo sa na zariadení dialo.
• Incident obmedzia izoláciou zariadenia alebo zablokovaním účtu.

Vidia však len tam, kde majú nainštalovaného agenta alebo integráciu.

Čo nevidia

Veľká časť slabých miest firmy je na systémoch bez agenta alebo na systémoch, ktoré vôbec neprevádzkujete vy:

• DNS a domény. Zmena nameservera, doména tesne pred expiráciou alebo prevod k inému registrátorovi sa odohrá u registrátora, nie na koncovom zariadení (viac v článku zmeny nameserverov a registrátora).
• Overovanie e-mailu. Chýbajúci DMARC umožní komukoľvek posielať zo svojich serverov poštu, ktorá vyzerá ako vaša. Váš EDR takú poštu nikdy neuvidí.
• Podobné domény a falošné prihlasovacie stránky hostované na cudzej infraštruktúre.
• Zabudnuté servery: starý staging web u agentúry, marketingová stránka v hostovanom nástroji, testovací server, na ktorý nikto nenainštaloval agenta. Viac v článku zabudnuté staging a testovacie servery.
• Certifikáty TLS vydané na vaše domény a ich expirácia.
• Služby vystavené do internetu na serveroch, ktoré nemáte v evidencii.

Práve tieto veci útočník skúma ako prvé. MITRE ATT&CK uvádza prieskum (reconnaissance) ako samostatnú taktiku s technikami ako prehľadávanie otvorených technických databáz a webov obete. To sa deje skôr, než sa spustí akýkoľvek malvér.

Zvnútra von a zvonku dnu

Najjednoduchšie sa to vysvetlí podľa smeru pohľadu.

• Zvnútra von (EDR, XDR): začnete pri zariadeniach, o ktorých viete, a pozorne ich sledujete.
• Zvonku dnu (monitoring externej útočnej plochy): začnete tým, čo o vašej firme ukazuje internet, a postupujete späť k tomu, čo vlastníte.

Pohľad zvonku vám zároveň pomôže nájsť zariadenia, o ktorých ste nevedeli. Keď sa pod vašou doménou objaví server, o ktorom konzola EDR nikdy nepočula, našli ste medzeru v pokrytí, nielen v konfigurácii.

NIST Cybersecurity Framework 2.0 pozná základné funkcie Govern, Identify, Protect, Detect, Respond a Recover. EDR a XDR robia väčšinu práce vo funkciách Detect a Respond. Externý monitoring pokrýva Identify (poznať svoje aktíva a vystavenie) a Protect (opraviť slabé nastavenia skôr, než ich niekto zneužije) a do Detect pridáva včasné upozornenie na zmeny urobené mimo vašej siete.

Ako zistiť, či máte medzeru

Krátke cvičenie pre vaše IT:

1. Exportujte zoznam serverov a zariadení, ktoré pokrýva váš EDR alebo XDR.
2. Zostavte zoznam subdomén pod vašimi doménami, napríklad z crt.sh s dopytom %.yourcompany.com, a doplňte ho o vašu zónu DNS.
3. Každú subdoménu preložte na IP adresu a porovnajte:

dig +short app.yourcompany.com
dig +short CNAME promo.yourcompany.com

1. Označte každú subdoménu, ktorá smeruje na IP adresu alebo službu mimo pokrytia vašich agentov.
2. Skontrolujte DMARC a nameservery, o ktorých nehlási žiadny nástroj na koncových zariadeniach:

dig +short TXT _dmarc.yourcompany.com
dig +short NS yourcompany.com

Všetko, čo ste označili v kroku 4, a slabý výsledok v kroku 5 je mimo dosahu vašej súčasnej detekcie.

Ako zladiť oba pohľady

• Externé zistenia posielajte do toho istého systému tiketov, ktorý už používa váš bezpečnostný tím, aby nežili oddelene.
• Keď externý monitoring nájde nový server, rozhodnite, či naň nainštalujete agenta, schováte ho za riadenie prístupu, alebo ho zrušíte.
• Externé upozornenia (nový certifikát, zmenený záznam DNS) využite ako kontext pri vyšetrovaní v XDR.
• Ako prvé riešte vystavené služby so zraniteľnosťami, ktoré sa už aktívne zneužívajú. Presne na to vedie CISA katalóg Known Exploited Vulnerabilities.

Krátky kontrolný zoznam

• Poznáme každú subdoménu pod našimi doménami a má každá svojho zodpovedného človeka?
• Má každý server, ktorý prevádzkujeme, agenta, alebo zdokumentovaný dôvod, prečo nie?
• Kto dostane upozornenie, keď sa zmenia nameservery, registrátor alebo záznamy MX?
• Je DMARC v režime vynucovania?
• Sú porty pre vzdialený prístup a databázy z internetu zatvorené?

Kam zapadá Datahorses

Datahorses je práve ten pohľad zvonku. Vašu firmu strážime každý deň, vidíme to, čo vidí útočník, a každé zistenie vám pošleme s presným postupom opravy. Do vašich systémov nevstupujeme a žiadne prístupy nepotrebujeme. Datahorses dopĺňa váš EDR alebo XDR, nenahrádza ho. Viac o tom, čo strážime a prečo nepotrebujeme prístupy.