在多云环境中增强安全检测和响应的5个步骤

检测和响应（DR）实践与云安全之间的联系历来很薄弱。随着全球组织越来越多地采用云环境，安全策略主要集中在“左移”实践上——保护代码、确保适当的云态势和修复错误配置。然而，这种方法导致过度依赖涵盖云基础设施、工作负载甚至应用程序的众多DR工具。尽管有这些先进的工具，但组织通常需要几周甚至几个月的时间来识别和解决事件。

再加上工具蔓延、云安全成本飞升和大量误报的挑战，很明显，安全团队被捉襟见肘。许多人被迫做出艰难的决定，决定他们可以现实地防御哪些云漏洞。

通过遵循这五个有针对性的步骤，安全团队可以大大提高他们对云攻击的实时检测和响应能力。

第1步：添加运行时可见性和保护

当安全团队缺乏实时可见性时，他们基本上是盲目运作，无法有效应对威胁。虽然云原生监控工具、容器安全解决方案和EDR系统提供了有价值的见解，但它们往往专注于环境的特定层。通过使用eBPF（扩展伯克利数据包过滤器）传感器，实现了更全面的方法。eBPF可以在不破坏生产环境的情况下实现整个堆栈（网络、基础设施、工作负载和应用程序）的深度、实时可观察。通过在内核级别运行，它在不增加性能开销的情况下提供可见性，使其成为运行时安全的强大解决方案。

以下是此步骤需要利用的一些关键功能：

• 拓扑图：显示混合或多云资产如何通信和连接。
• 完整的资产可见性：在一个地方展示环境中的每项资产，包括集群、网络、数据库、机密和操作系统。
• 外部连接洞察：识别与外部实体的连接，包括有关原产国和DNS信息的详细信息。
• 风险评估：评估每项资产的风险水平，以及其对业务的影响。

第2步：使用多层检测策略

随着攻击者不断进化和逃避检测，在漏洞展开之前发现和阻止漏洞变得更加困难。这样做的最大挑战在于检测对手隐身的云攻击尝试，并利用多个攻击表面——从网络利用到托管服务内的数据注入——同时逃避云检测和响应（CDR）、云工作负载检测和响应（CWPP/EDR）以及应用程序检测和响应（ADR）解决方案的检测。事实证明，这种分散的策略是不充分的，允许攻击者利用层之间的间隙而不被注意到。

在单个平台上监控云、工作负载和应用程序层提供了最广泛的覆盖范围和保护。它使应用程序活动与基础设施变化实时相关化成为可能，确保攻击不再从裂缝中溜走。

以下是此步骤需要利用的一些关键功能：

• 全栈检测：检测来自云、应用程序、工作负载、网络和API的多个来源的事件。
• 异常检测：利用机器学习和行为分析来识别可能表明威胁的正常活动模式的偏差。
• 检测已知和未知的威胁：根据签名、IoC、TTP和MITRE已知策略确定事件。
• 事件相关性：将不同来源的安全事件和警报相关，以识别模式和潜在威胁。

第3步：在与事件相同的窗格中查看漏洞

当漏洞与事件数据隔离时，延迟响应和监督的可能性会增加。这是因为安全团队最终缺乏了解漏洞是如何被利用的或与正在进行的事件相关的修补漏洞的紧迫性所需的背景。

此外，当检测和响应工作利用运行时监控（如上所述），漏洞管理变得更加有效，专注于主动和关键风险，将噪音减少90%以上。

以下是此步骤需要利用的一些关键功能：

• 风险优先级-根据关键标准（例如它们是否加载到应用程序内存中、执行、面向公众、可利用或可修复）评估漏洞，以专注于实际重要的威胁。
• 根本原因发现-找到每个漏洞的根本原因（在图像层深处），以便尽快解决根源并同时修复多个漏洞。
• 修复验证-在部署图像之前利用对图像进行临时扫描，以确保所有漏洞都得到解决。
• 法规遵守情况-将所有活跃的漏洞列为SBOM，以遵守合规和区域法规。

第4步：整合身份以了解“谁”、“何时”和“如何”

威胁行为者经常利用被泄露的凭据来执行攻击，参与凭据盗窃、帐户接管等。这允许他们在环境中伪装成合法用户，并在几个小时甚至几天内不被注意到。关键是能够检测这种冒充，最有效的方法是为每个人的身份建立基线，无论是人类还是其他身份。一旦了解了身份的典型访问模式，检测异常行为就很容易了。

以下是此步骤需要利用的一些关键功能：

• 基线监控：实施监控工具，捕获和分析用户和应用程序的基线行为。这些工具应该跟踪访问模式、资源使用情况和与数据的交互。
• 人类身份安全：与身份提供商集成，以可见人类身份使用情况，包括登录时间、位置、设备和行为，从而快速检测异常或未经授权的访问尝试。
• 非人类身份安全：跟踪非人类身份的使用，提供对其与云资源交互的见解，并突出显示任何可能发出安全威胁的异常情况。
• 秘密安全：识别云环境中的每个秘密，跟踪它在运行时如何使用，并突出显示它们是安全管理还是面临暴露的风险。

第5步：为上下文干预提供多种响应操作

每次违规尝试都有自己独特的挑战需要克服，这就是为什么必须有一个适应特定情况的灵活应对策略。例如，攻击者可能会部署一个需要立即终止的恶意进程，而不同的云事件可能涉及受损的工作负载，需要隔离以防止进一步损坏。一旦检测到事件，安全团队还需要上下文来快速调查，例如全面的攻击故事、损害评估和响应手册。

以下是此步骤需要利用的一些关键功能：

• 剧本：为检测到的每个事件提供逐场响应，以自信地进行干预和终止威胁。
• 量身定制的攻击干预：提供隔离受损工作负载、阻止未经授权的网络流量或终止恶意进程的能力。
• 根本原因分析：确定事件的根本原因，以防止再次发生。这涉及分析攻击载体、利用的漏洞和防御的弱点。
• 与SIEM集成：与安全信息和事件管理（SIEM）系统集成，以增强上下文数据的威胁检测。

通过实施这五个步骤，安全团队可以提高其检测和响应能力，并完全精确地实时有效阻止云漏洞。

来源：https://thehackernews.com/2024/10/5-steps-to-boost-detection-and-response.html