擴展安全織網自動化聯防 加快阻斷威脅反應速度

2021-08-31
全球企業因應COVID-19實施分流或居家辦公,遠端存取需求大增,為了防範日漸猖獗的勒索軟體趁虛而入,除了開放讓員工透過VPN連線登入內網存取資源,同時亦搭配多因素身份認證(MFA)強化安全等級。資安風險控管則可搭配雲端原生開發的擴展式偵測與回應(XDR)平台,蒐集網路流量、電子郵件、端點、雲端等防護機制產生的日誌,以正規化資料建立關聯性,讓維運團隊得以根據威脅情資判讀產生的告警,即時發現攻擊活動,透過直覺的操作介面著手調查,加快回應速度遏制風險。

 

Fortinet台灣區資深技術顧問冼柏齡指出,市場上興起XDR方案的原因,主要是為了解決企業普遍未配置專屬資安人力,得由IT人員手動彙整資安防護技術產生的日誌、判讀告警內容真偽,再決定執行工作的優先順序,既無效率也無法即時發現異常活動。2020年推出的Fortinet XDR,可蒐集FortiEDR、FortiGate、FortiMail等技術,讓XDR平台上的機器學習演算模型,經過正規化的資料訓練來提高精準度,同時可不斷地依據攻擊手法改變來增添變數,調整模型並且再執行訓練,以精準地判讀運算出的相關數據。

補強遠距工作資安防護需求 

本土企業受到疫情衝擊主要是在今年(2021)五月中,疫情警戒提升至第三級,在此之前,實施居家辦公措施的公司主要是外商,得遵照總部規範不得進入公司,多數本土企業直到三級警戒才真正全面居家辦公。冼柏齡從業務角度來看,當時首要增長的需求為遠端存取,不僅既有的閘道端運行效能須有能力支應VPN連線進入內網數量,還要控管權限與強化身分驗證機制。

Fortinet台灣區資深技術顧問冼柏齡指出,XDR偏重於整合廠商自家產品日誌,是因為從產生的日誌、蒐集整理資料到建模分析皆可完整掌握,藉此建立高精準度的聯動回應程序,減少人力介入判讀與操作的負擔。

儘管IT部門首要任務是先滿足企業營運需求,因此網路服務得先行開放遠端接取,但同時也相當關注安全性議題,主要由於去年疫情大流行後,勒索軟體變得更加猖獗,台灣許多高科技製造廠陸續被駭,IT部門已有所警覺。只是過往IT採購流程通常都先行測試評估,防疫期間多數專案皆被迫暫停,在無法進行概念驗證(POC)的狀況下,許多轉向採用技術已相當成熟的Token來強化安全性,讓身份辨識增添MFA機制以免被冒用。

過去員工都在辦公室,公司內部雖已建立多層式防禦機制,在家工作卻幾乎沒有防護,得仰仗端點安全方案來協助。有助於解決專業資安人力不足的XDR自然順勢而起,其整合不同資安技術產生的日誌,運用機器學習與人工智慧進行關聯分析,可釐清問題的根本原因,讓IT維運人員獲取更準確的告警資訊,決定處理工作的優先順序。

演算分析解讀端點行為意圖 

XDR之所以受到企業關注,冼柏齡認為,採用機器學習演算分析,可把各個環節產生的日誌加以關聯、歸納成為有意義的事件,正是XDR方案受青睞的主因。過去自建部署資安事件管理(SIEM)平台並非無法達成這些,搭配資安事件協作、自動化與回應(SOAR)技術也可以實現自動化,問題是SIEM平台最難成功之處是必須撰寫大量規則,讓蒐集取得的資料歸納成有意義指標。

若將異質平台資料彙整成大數據,企業IT必須很清楚要解決的問題,才可進一步撰寫規則,或者運用演算法執行分析來取得答案。假設企業內部IT維運團隊充分掌握SIEM開發技術,或許可無需XDR方案來協助,問題是XDR蒐集資料的範圍並非如同SIEM廣泛,XDR較偏重於彙整技術供應商自家的方案,自動建立關聯與運行演算分析,以解讀端點活動的行為模式意圖,一旦風險評分高於門檻,則觸發端點或閘道端執行攔阻,並且通知IT管理者確認處理。畢竟現階段尚無法保證機器學習演算模型分析不會有遺漏或誤判,人工智慧應用被廣為應用在資安領域,其中一項關鍵因素在於解決以往勞力密集且重複性的工作。XDR可取代人力撰寫規則的工作才是關鍵優勢,再藉由平台設計直覺式操作介面協助,降低工作流程的資安風險。

此外,冼柏齡認為XDR並非只有偵測事件、提供告警通知,同時也具備自動化處理與回應框架,可觸發類似SOAR設計的Playbook自動執行。「這也是XDR偏重於整合廠商自家產品日誌的主因,從產生的日誌、蒐集整理資料、建模分析,皆可完整掌握,藉此建立高精準度的聯動回應程序,減少人力介入判讀與操作的負擔。」

Playbook提升資安維運力

Fortinet提供的FortiEDR與Fortinet XDR方案,是透過併購新創公司enSilo取得技術與服務,如今已成為安全織網(Security Fabric)中的一環。冼柏齡說明,Fortinet安全織網是以FortiOS為核心平台,發展零信任存取(Zero Trust Access)、網路安全等方案,並且引進機器學習與人工智慧,帶動資安聯防自動化,提升營運效率與威脅回應速度。

FortiEDR目前主要部署在Google公有雲,Data Lake是雲端原生開發的環境,底層採用Kubernetes建構容器叢集,運用FortiAnalyzer扮演連接器蒐集資料,將不同技術產生的日誌予以正規化,存放在ELK(ElasticSearch、Logstash、Kiban)打造的大數據平台。

若企業內部採用的是Fortinet提供的技術方案,原生就已具備相互聯動能力,冼柏齡舉例,FortiEDR蒐集與分析後發現高風險行為,可呼叫FortiNAC啟動隔離、FortiGate阻斷IP位址傳輸,同時把樣本拋送到FortiSandbox模擬環境取得更多入侵指標。此即為單一廠商提供XDR方案的優勢,或者是透過生態系結盟,讓彼此資料得以相互交流與分享,深化關聯性與聯動能力,亦可達到相同效益。 透過FortiAnalyzer在安全織網中彙整Fortinet解決方案所產生的日誌,較既有的FortiEDR單純蒐集端點活動更加廣泛,例如釣魚郵件告警,可進一步說明在FortiGate、FortiMail掌握到的細節,維運人員可藉此確認非誤報,快速地回應告警事件,或者是觸發Playbook執行自動化處理。

冼柏齡強調,XDR機制運用機器學習模型輔助,從大數據挖掘出相同的入侵指標,擴大事件調查的範圍,並且釐清彼此之間的關聯性,讓感染途徑得以如同資安團隊親臨現場調查還原真相。並且依照標準作業流程設計Playbook,建立事件回應機制,正可幫助維運團隊提升資安能量。

 


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!