هوش تهدید سایبری چه مزایایی برای تحلیلگران SOC ایجاد می‌کند؟ - XNET | اخبار مقالات امنیت سایبری

هر مرکز عملیات امنیتی (SOC[1]) مدرن متشکل از سه عنصر افراد، فرایندها و فناوری‌ها است. از منظر افراد تیم SOC مسئولیت تدارک خدمات امنیت IT را از طریق تشخیص تهدیدات و حملات بالقوه سایبری به صورت پیشگیرانه و واکنش به موقع به حوادث سایبری برعهده دارد.

کارهای روزمره تحلیلگرانSOC

تحلیلگران SOC جزو اعضای مهم تیم SOC هستند. آنها وظیفه نظارت پیوسته، تلاش برای شناسایی تهدیدات سایبری، تریاژ هشدارها و تشدید آنها به نحو مناسب را در این تیم برعهده دارند. این افراد به صورت شبانه‌روزی فعال هستند تا فرایندهای نظارت، تشخیص، تحلیل، تریاژ و تشدید را اجرا کنند. تحلیلگران SOC باید برای تحقق اهداف مختلف مأموریت‌های امنیت سایبری خود از (هوش تهدید سایبری ([2]CTI)) استفاده کنند.

CTIچگونه به ساده‌تر شدن وظایف تحلیلگرانSOCکمک می‌کند؟

CTIبرای عملکردهای امنیتی هر سازمان بزرگ یا کوچکی ارزش‌آفرین است. در شرایطی که حجم کار تحلیلگران SOC افزایش یافته و انبوه هشدارهای امنیتی و رویدادهایی که باید بررسی شوند باعث فرسودگی شغلی‌شان می‌شودCTIنقش بسیار زیادی در اولویت‌بندی خودکار و فیلتر هشدارها برای آنها دارد.CTIمهم‌ترین آسیب‌پذیری‌های امنیتی را به همراه داده‌های زمینه‌ای و بینش بیرونی برای فرایند مدیریت آسیب‌پذیری مشخص می‌کند.CTIهمچنین می‌تواند با غنی‌سازی داده‌ها برای سایر فرایندهای امنیتی مهم نقش‌آفرینی کند. برای مثال یک نقطه شروع خیلی خوب برای شکار تهدید است.

CTIاطلاعات را از منابع خارجی مثل دارک وب جمع‌آوری و تجمیع کرده و سپس آنها را اعتبارسنجی و غنی‌سازی می‌کند تا انواع تهدیدات سایبری و سطح شدت و وخامت‌شان را مشخص کند.CTIهمچنین می‌تواند بر اساس دانش به دست آمده درباره زیرساخت مهاجمان، خلأهای امنیتی را شناسایی کرده و اطلاعات مهمی مثل تاکتیک‌ها، تکنیک‌ها و روش‌های آنها را مشخص کند.CTIبه تحلیلگران SOC کمک می‌کند تا چشم‌انداز کنونی تهدیدات را درک کرده و گام‌های لازم را برای مقابله با این تهدیدات طی کنند.

در فیدهایCTIچه اطلاعاتی وجود دارد؟

اگرچه فیلتر داده‌های مفید و واقعی برای اجرای فرایندهای مدیریت تهدید و نظارت امنیتی کارآمد معمولاً کار چندان آسانی نیست اما ثابت شده که ارزشمندترین و کاربردی‌ترین داده‌ها، اطلاعات مربوط به رویدادها هستند که از فیدهای هوش تهدید به دست می‌آیند. فیدهایCTIاختصاصی همه مسیرهای مهم را پوشش می‌دهند از جمله لینک‌های مخرب، کلاهبرداری‌های فیشینگ، بدافزار، منابع اسپم، بات نت، تروجان، جاسوس‌افزار/آگهی‌افزار، باج‌افزار و غیره. تحلیلگران SOC می‌توانند از این داده‌های کاربردی برای ارتقای دقت و انسجام عملیات امنیتی استفاده کنند. آنها می‌توانند با استفاده از این داده‌ها وCTIدید جامعی نسبت به تهدیدات ایجاد کنند.

پلتفرم‌هایCTIبه چه پرسش‌هایی پاسخ می‌دهند؟

پلتفرم‌هایCTIمی‌توانند با ایجاد پاسخ‌هایی بهتر برای سوالات زیر، به شناسایی تهدیدات سایبری کمک کنند.

• جدیدترین گرایشات تهدیدات سایبری چیست؟

• اخیراً مهاجمان چه زمانی و در کدام قسمت از سطوح حمله مشاهده شده‌اند؟
• مهاجمان و افراد مخرب معمولاً در کدام کشورها یا صنایع فعالیت دارند؟

• آیا کارزار هماهنگ شده فعالی بر ضد یک منطقه خاص وجود دارد؟
• در حال حاضر برای حملات سایبری از چه نوع ابزارها یا بدافزارهایی استفاده می‌شود؟
• چه فعالیت‌های مخربی در سطح سازمان مشاهده شده‌اند؟
• کدام آسیب‌پذیری‌های تازه شناسایی شده به صورت فعالانه مورد استفاده قرار می‌گیرند و چگونه می‌توان با آنها مقابله کرد؟
• چه تاکتیک‌ها، روش‌ها و پی‌لودهایی در فعالیت‌های مخرب فعلی مورد استفاده قرار می‌گیرند و چگونه می‌توان از این نگاشت برای تعیین زمینه و طبقه‌بندی اطلاعات استفاده کرد؟
• فعالیت‌های سایبری مدنظر چه نشانه‌های نفوذ یا حمله‌ای دارند و چگونه می‌توان به آنها واکنش نشان داد؟

نتیجه‌گیری

SOC می‌تواند داده‌های تولید شده از محصولات مختلفی که باCTIدر ارتباط هستند را با یکدیگر ترکیب کند از جمله فیدهای داده به روزرسانی شده از طریق API یا گزارش‌های هوش تهدید سالیانه در پلتفرم‌هایCTI. تحلیلگران SOC می‌توانند با بکارگیریCTIاز جمله اطلاعات داخلی و خارجی به دانش بیشتری برسند و بهترین راه مدیریت SOC و حرکت به جلو را انتخاب کنند. توصیه می‌شود که برای ارتقای کارایی SOC، راهکارهایCTIمختلف مورد بررسی و آزمایش قرار بگیرند تا بهترین روش پردازش اطلاعات هوش تهدید و ادغام آنها در عملیات امنیتی IT انتخاب شود.

[1]Security Operations Centre

[2]Cyber Threat Intelligence

منبعsocradar

برای ارزیابی پایداری، امنیت و نگهداری این زیرساخت، راهنمای پشتیبانی شبکه را نیز مطالعه کنید.