零信任搭配XDR持續監控 把關居家辦公資安風險

2021-09-02
因應COVID-19疫情持續大流行,企業採取居家辦公措施的同時,對於資安的重視程度也隨之提升。根據Palo Alto Networks最新發布的2021台灣資安現況報告指出,疫情促使80%企業加速數位轉型,更有66%的企業重視資安議題,在IT總體預算中,49%將用於增強資安防護、改善IT基礎設施、增進員工資安意識。

 

Palo Alto Networks台灣技術顧問總監蕭松瀛說明,從2021台灣資安現況報告中可發現,COVID-19疫情衝擊下,企業直接採用雲端服務或應用系統遷移上雲的意願大增,IT管理者已開始著手制定零信任控管政策落實部署,由此可看出疫情驅動企業資安思維的轉變。

此外,根據該調查報告統計,企業投資在改善IT基礎設施的預算中,超過三成將用於強固端點安全防護。蕭松瀛指出,當企業決定將控管政策轉換為零信任,讓通過驗證的合法用戶得以依據權限存取資源,接下來還得蒐集完整的存取行為相關資料,持續監控與偵測惡意意圖。雖可透過內網的資安設備解析網路封包,但遠端員工的系統環境卻可能成為潛在破口,對此,透過Cortex XDR統一平台則可達到防禦的目的,藉由全面掌握端點、網路、雲端等不同工作環節產生的日誌,運行演算分析建立自動偵測、快速調查與回應,才可確保安全無虞。

BIoC分析為高風險即時觸發攔阻 

針對近來備受關注的XDR(擴展檢測與回應)方案,實際上,早在2018年,Palo Alto Networks創辦人Nir Zuk即已提出XDR概念。蕭松瀛進一步說明,XDR對於Palo Alto Networks來說定義很明確,「X」原意是基於EDR(端點偵測與回應)技術再擴展,須涵蓋端點、雲端、網路,以及第三方廠商技術平台產生的資料,全數彙整到Data Lake儲存環境,以單一雲端平台方式提供執行事件調查與分析,此即為Cortex XDR核心發展理念。

有別於企業熟知的EPP(端點防護平台)產品,Cortex XDR已把資安事件管理(SIEM)、工單系統納入,亦整合了Prisma Access,增添支援行動裝置,不論員工辦公採用的裝置類型,Cortex XDR皆可整合分析,讓IT管理者掌握的能見度更廣。

「如今Cortex XDR擁有EPP、EDR、NDR(網路偵測與回應)、UBA(使用者行為分析)技術,針對防禦力,我們採用的是名為BIoC(入侵行為指標)模式。」蕭松瀛說。資安領域普遍參考IoC(入侵指標)來識別攻擊活動,本質為單一的Hash值,BIoC則是把使用者與裝置的行為建構為基準,分析比對威脅戰術、技術與程序(TTP)來偵測異常狀況,或是由企業自行定義需要調查的行為模式,一旦偵測到異常可觸發執行攔阻。

既有的EDR工具主要是根據日誌進行IoC檢測,普遍用途是在資安事件爆發後輔助調查。BIoC則是可在事件發生當下立即阻斷,不會讓攻擊活動進行到下個階段。蕭松瀛以去年(2020)全球爆發的SolarWinds漏洞為例,許多國際級大型企業皆傳出受到影響,此時Cortex XDR的技術即已發揮效益,在攻擊者試圖植入.dll檔案的行為當下順利攔阻,使得該後門程式無法完成植入。即便是資安偵測工具無法辨識的零時差攻擊,Cortex XDR亦可根據作業系統運行邏輯,判讀執行緒的行為模式意圖,風險評分過高者直接逕行阻斷。

資料湖內建AI引擎收斂告警 

Cortex XDR方案設計的初衷,是要在惡意行為發生當下就予以攔阻,資安風險才得以降到最低。因此亦可進一步結合Cortex XSOAR協調、自動化與回應平台,增添Playbook執行判斷與採取行動的流程,達到降低平均回應時間(MTTR)與平均檢測時間(MTTD),對於IT管理者來說,可以大幅地降低專業資安技能門檻。

在整體資安架構中,Data Lake扮演相當關鍵的角色,不僅只是蒐集存放資料、辨識異質系統產生的日誌,同時可運用內建的資料處理規則與AI(人工智慧)引擎實作事件關聯與分析。IT管理者不用自力撰寫關聯規則,透過AI引擎即可實現串連相同類型的告警事件,簡化管理工作負擔,以免發生告警疲勞釀成資安事件。

Palo Alto Networks台灣技術顧問總監蕭松瀛指出,Cortex XDR方案設計的初衷,是在惡意行為發生當下就予以攔阻,資安風險才得以降到最低。進一步結合Cortex XSOAR協調、自動化與回應平台,增添Playbook執行判斷與採取行動的流程,可大幅降低專業資安技能門檻。

事件關聯與分析之所以重要,蕭松瀛以傳統入侵偵測防護系統為例,若網路傳輸流量解析後偵測到十個攻擊手法,IT人員只會收到十次告警,但透過Cortex XDR整合資料,如經AI引擎判讀為相同攻擊活動,即可收斂歸納在平台上以圖形化方式呈現,並且揭露告警的根本原因以及時間序列,讓不具資安事件調查經驗的IT人員快速回應威脅。

直覺式操作介面輔助改善根本原因

以雲端服務方式提供的Cortex XDR,可省去自建部署版本升級的困擾,只要端點環境部署代理程式立即可蒐集掌握運行狀態,現有的Palo Alto Networks次世代防火牆等設備則可成為感測器與執行阻斷節點,進而簡化部署和管理程序。

對於本土企業考量拋送到雲端的資料會有機敏性問題,蕭松瀛說明,Palo Alto Networks有標準文件說明蒐集資料的類型,例如Word、Excel等檔案,內容可能含有機敏性,但並非蒐集標的,真正需要被監控與分析的是IT基礎架構產生的日誌。「多數人以為,Cortex XDR只能蒐集Palo Alto Networks旗下產品,實際上並非如此,初期設計Cortex XDR理念是定位為擴展性,包含第三方廠商的日誌,不論是Cisco、Check Point、Fortinet等資安設備的流量也可介接到Data Lake。」

Cortex XDR設計的儀表板操作介面,只要滑鼠點選排序、篩選等功能,即可深入調查任何來源的告警,從關聯圖與顯示的資訊,找到問題的解答。以根本原因分析來看,藉由視覺化圖形串聯呈現整起異常活動,可快速找出引發告警的執行程序,無須逐一盤查端點產生的日誌。同時包含異常活動的時間序,讓IT人員可盡速釐清感染範圍,並且提供採取行動的指引來改善,不需要具備特殊的專業知識即可完成。

基於雲端設計的Cortex XDR持續發展中,目前已可提供SQL查詢語法,讓IT管理者可查詢事件相關資訊,提供單一語法讓IT管理者可查詢事件相關資訊,並且透過儀表板方式呈現,或是產出調查報告。

 


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!