Security Orchestration, Automation and Respons, czyli jak AI wspiera działy bezpieczeństwa.

Transkrypt

1 Security Orchestration, Automation and Respons, czyli jak AI wspiera działy bezpieczeństwa. Olga Budziszewska, CISM Cybersecurity Assurance Program Manager

2 T I

3

4

5

6 Inter Cars SA to największy dystrybutor części zamiennych do samochodów osobowych, dostawczych i ciężarowych w Europie Środkowo Wschodniej. Oferta spółki obejmuje również wyposażenie warsztatowe, w szczególności urządzenia do obsługi i naprawy samochodów oraz części do motocykli i tuningu. Inter Cars oferuje najszerszy

7 90% systemów firmy nie jest dostępnych, 800 serwerów wymaga przeinstalowania, Klienci i partnerzy nie są w stanie składać zamówień ani przeprowadzić żadnej transakcji, W ciągu 4 dni firma musi wygenerować sprawozdanie giełdowe

8 Wszystkie ręce na pokład! (IT, biznes, administracja), Super szybka ścieżka podpisania umowy(premier support), Pełne zaangażowanie kierownictwa, Inżynierowie Microsoft pracowali 72h non-stop, Biuro zorganizowane jak centrum zarzadzania kryzysowego, Spotkania statusowe co godzinę, 2 dni w Polsce, 4 na Ukrainie.

9 Dalczego Petya jest tak zaskoczyła? INNOWACYJNY ATAK POTĘŻNE KONSEKWENCJE ŁAŃCUCH DOSTAW nietradycyjny wektor ataku przez aplikacje biznesowe (nie phishing czy przeglądarkę) RÓŻNE TECHNIKI Automatyzacja różnych technik ataku PRĘDKOŚĆ Automatyzacja przeprowadzenia ataku nie pozostawiała zespołom bezpieczeństwa czasu na reakcję POZIOM ZNISZCZEŃ w porównaniu z tradycyjnymi atakami skala rażenia okazała się większa niż kiedykolwiek wcześniej. Dodatkowo proces odzyskania danych był bardzo utrudniony, ponieważ zostały zaatakowane pliki MFT.

10 Po ataku w firmie nastąpiło wiele zmian i z pewnością będzie ich jeszcze więcej. Instalujemy ponownie uszkodzone systemy, kierujemy się restrykcyjnymi zasadami bezpieczeństwa. Całkowicie zmieniliśmy podejście do kwestii ich administrowania. Powołaliśmy wewnętrzną komórkę bezpieczeństwa informatycznego. Wiemy, że nie jesteśmy w Maciej Oleksowicz stanie zabezpieczyć się w stu procentach. PREZES ZARZĄDU INTER CARS SA

11 Petya techniczne i biznesowe skutki ataku Example of Technical Impact (Anonymous) GEOGRAPHIE S DURATION IMPACTED COMPUTERS All ~60 minutes 62,000 computers 12,000 servers 50,000 workstations Publicly Reported Losses (By Different Organizations) $200 Million $300 Million $310 Million

12 odróżnia szybkie cyberataki od tradycyjnych metod SZYBKOŚĆ Rozprzestrzeniają się w organizacji w kilka sekund/minut nie pozostawiając czasu na reakcję AUTOMATYZACJA Gdy cykl ataku się rozpocznie, nie potrzeba dalszego zaangażowania ZNISZCZENIA Celowe zakłócenie działania poprzez niszczenie / szyfrowanie danych / systemów

13 Nie pokonamy zagrożeń teraźniejszości bronią z przeszłości oto credit: Wikimedia Cannon from Galera Forte

14 Anomaly detection Data loss prevention Endpoint protection Infrastructure security Rynek cyberbezpieczeństwa jest Cloud Access Security Broker rozdrobniony i wymaga Information rights management Hybrid cloud security integracji Threat management Data & application security Security management Identity & access management Fraud prevention Data center security Compliance tools Threat detection IoT security security

15

16 Model dojrzałości cyberbezpieczeństwa organizacji PIERWOTNY ROZWOJOWY ZDEFINIOWANY ZARZĄDZANY ZOPTYMALIZOWANY Gaszenie Wdrożone Wdrożony Aktywne Wdrożone procesy pożarów rozwiązania system wsparcie doskonalące - nie ma żadnego punktowe bezpieczeństwa kierownictwa Podejście formalnego Istnieje już baza (ISO, NIST ) Wdrożone plany proaktywne systemu, doświadczeń Procesy są reagowania na Automatyzacja działanie ad-hac jednak nie jest udokumentowan incydenty i DR wykrywania i udokumentowan e, jednak Zakres całej reakcji na a wszystko odbywa organizacji incydenty się manualnie 16

17

18 Automatyzacja bezpieczeństwa wykorzystanie technologii do automatycznego reagowania i zarzadzania incydentami bezpieczeństwa Orkiestracja bezpieczeństwa integracja narzędzi i rozwiązań mająca na celu usprawnienie procesów i automatyzacji

19 Brak specjalistów na rynku szacuje się, że do 2021 r na świecie będzie brakowało ok 3,5 miliona specjalistów w zakresie cyberbezpieczeństwa

20 Sources include Verizon Data Breach Report & Microsoft Incident Response Data Skala, szybkość i złożoność cyberataków

21 Security Orchestration, Automation, Response CZAS Szybsza reakcja na incydent bezpieczeństwa to podstawa skutecznej ochrony. Im dłużej problem nie zostanie rozwiązany, tym gorsze są jego konsekwencje EFEKTYWNOŚĆ Niedobór kadr to krytyczny problem dla bezpieczeństwa. Dzięki SOAR analitycy bezpieczeństwa poświęcają mniej czasu na konkretny incydent INTEGRACJA Automatyzacja i orkiestracja pozwalają integrować różne narzędzia dzięki temu mogą one współpracować w rozwiązywaniu problemów.

22

23 Model dojrzałości SOC The automation maturity model and automation journey, Copyright Microsoft Corporation

24

25 WINDOWS 10 SECURITY LEGACY WINDOWS WINDOWS ENDPOINT ENDPOINT ADVANCED DETECTION 3RD PARTYDETECTION THREAT & RESPONSE (EDR) & RESPONSE (EDR) WINDOWS DEFENDER PROTECTION ANTI-MALWARE WINDOWS DEFENDER ANTI-MALWARE EXPLOIT GUARDEXPLOIT MITIGATIONS ADD-ON TOOL (EMET)EXPLOIT WINDOWS INFORMATION MITIGATIONS PROTECTIONDATA DATA ISOLATION 3RD PARTY ISOLATION APPLOCKE APPLICATION APPLICATION DEVICE R APPLOCKE WHITELISTING WHITELISTIN R APPLICATION GUARD GUARD BROWSER BROWSER G 3RD PARTY ISOLATION ISOLATION BITLOCKE VOLUME BITLOCKE VOLUME CREDENTIAL R CREDENTIAL ENCRYPTION RCREDENTIAL ENCRYPTION GUARDISOLATION N/AISOLATION VIRTUALIZATION-BASED TPM TPM SECURITY HARDWARE HARDWARE

26