拖拉放設計工作任務 動態劇本切換執行流程

2020-08-04
過去企業總是在爆發資安事件後,才委由外部事件應變(Incident Response,IR)專家協助處理與改善,但隨著近年來資安已成為營運風險管控的要項,企業必須更進一步,利用自動化技術與流程標準化加速事件應變,讓攻擊活動於初期即可有機會被阻斷,才得以有效降低營運損失。

 

因此早在2016年資安協調、自動化與應變(SOAR)市場尚未被國際市調機構明確定義時,IBM就已收購Resilient,輔助資安維運人員得以最有效率地處理大量且複雜的事件。

IBM大中華軟體研發實驗室開發經理郭澄祐指出,發展已相當成熟的SIEM平台可彙整IT環境所有日誌檔案,且內建各種功能項目輔助執行威脅獵捕、透過API整合呼叫實體設備或端點啟動資料蒐集與執行回應。近幾年SIEM平台亦開始增添機器學習演算技術解析使用者行為,藉此建立主動回應事件機制,IBM QRadar同樣也不例外,當告警事例出現,抑或是由SOAR平台如Resilient判定為Incident時,皆會觸發派工(Ticket)指定負責人處理,讓SOC(資安維運中心)第一線成員依據過往經驗進行調查以釐清問題。

實務上常見的問題是,對於尚未經過訓練的SOC團隊成員而言,通常根本不知從何著手。每種資安技術都有其主要用途,當功能特性過多時,反而不知該從何開始。再加上同時得處理多種類型的事例,若能以單一介面協助統整所有資料,釐清優先處理順序以及執行步驟,如此一來,不僅可引導新加入的SOC成員完成任務,亦可藉由自動化機制降低學習曲線。

「前述正是SOAR平台最初研發時想要解決的問題,藉由銜接SIEM平台所彙整的資料,設計了簡單直覺的操作介面,讓資安或IT維運人員得以一目了然派工事項清單,只要點擊開始處理,即可依照指示功能的確認項目,逐步執行調查。」郭澄祐說。其流程是依照事件回應標準作業程序所設計,畢竟對於技術人員來說,即便是早已相當熟悉的工作流程,仍難免可能出錯,特別是工作任務過多時,因此SOAR提供任務清單引導執行優先順序,更具備自動化機制,可輔助第一線資安人員提高效率且避免出錯。

標準化工具降低人員技能落差

從近幾年爆發的重大資安新聞事件可發現,即便是投入大量資源部署各式先進技術,也未必能抵禦外敵,畢竟在資安防禦中,人、流程、工具三者缺一不可。特別是專業資安人力的缺口並非短時間內得以補齊,即便從企業內部培養也常難以留住人才,現階段大多得仰仗資安廠商研發更易於上手的工具來輔助強化。

回應處理程序的關鍵在於事先制定計畫,以Resilient為例,假設IT人員對於資安已經有基本認知,遇到勒索軟體時,首先可依據檔案的Hash值進行搜查,先掌握內部流向,一旦發現惡意檔案流動便立即阻斷並重建作業系統。問題是,資安事件回應過程中常有許多例外,例如當釣魚郵件發生在高階管理層時,嚴重等級勢必較一般員工來得更高,因為可能代表攻擊者已完成鎖定。此時的回應程序已無法依據規範按表操課,必須活用領域知識,並且累積許多處理例外狀況的經驗,再依據產業特性適時調整因應措施。

由此看來資安事件偵測與回應只有執行原則,無法制定出固定步驟,如此情況下,也就難以基於Workflow來自動運行,而是必須改為設計Playbook,讓維運者有所依循,調整設計合適的工作流程。郭澄祐指出,例如參考美國系統與網路安全協會(SANS Institute)等單位所提出的資安事件回應計畫,運用Playbook來定義執行階段、檢討改進、逐步改善。

簡單易於上手為工具設計的首要精神,因此Resilient提供以拖拉放的方式定義Playbook自動化流程來執行事件回應,讓每天在處理資安事件的人員,得以基於任務清單引導執行。

Resilient三大核心主軸

事件應變、協調與自動化、威脅情資分析可說是Resilient三大核心主軸。事件應變的作法就如同IT人員熟知的派工系統,管理者可指派相關技術人員處置,操作執行過程全數予以記錄就算完成。難度最高的當屬協調與自動化機制,SOAR平台是以案例模式把所有資訊加以彙整,透過拖拉放的方式設計Workflow,以自動化方式處理主要任務。例如釣魚郵件可說是最頻繁的攻擊手法,複雜度不高,但在資安維運中心SIEM平台告警數量最多,若未能釐清恐因此提高資安風險。此時設計以Playbook自動化辨識與先行處置即可降低維運負擔。

Resilient擁有豐富的威脅情資奠定辨識基礎,除了安裝IBM自家的X-Force Exchange,同時可餵入Cisco Threat Grid、iSIGHT、SANS網際網路風暴中心(ISC)資料庫、VirusTotal等第三方資料。以釣魚郵件為例,可檢查寄件者名稱與位址、收件者、主旨、內文連結與附加檔案,一旦偵查到可疑的環節,Resilient會主動提出要求使用者上傳郵件樣本,運用自動化流程拆解各種檢查項目,以及保留可被追蹤的資訊。

IBM大中華軟體研發實驗室開發經理郭澄祐(左)與IBM資訊安全部資深技術顧問劉泰興(右)指出,SIEM平台的發展已相當成熟,有需求的企業與組織多已導入,而Resilient可支援包括QRadar在內的主流SIEM平台,同時亦提供Cloud Pak for Security雲平台方案,為全新應用場景打造完整安全性。

從釣魚郵件中取出屬性值之後,Resilient接下來可能產生的工單是從LDAP取得收件人資料,維運人員無須實際下指令執行,只要在Resilient操作平台上點選即可自動完成。郭澄祐進一步說明,以往維運人員著手調查時,必須請系統管理員手動執行LDAP查詢收件者與該群組的相關資訊,跨團隊溝通往往需要時間,如今基於Resilient則只要點選執行即可自動化完成。

「協調整合運行的資料來源種類更多樣化之後,有助於SOAR平台上設置自動化機制,大幅縮短維運人員深度追蹤與調查潛在惡意事件所耗費的時間,更重要的是藉此讓具備資安知識,但不熟練各式交換器指令、防火牆規則等操作方式的IT人員或資安人員,同樣可順利執行任務。」 Playbook設計的工作流程可讓大部分的任務以自動化方式完成,對於特定需要人力介入判斷的環節,Playbook亦得以動態調整執行任務。延續前述的釣魚郵件處理案例,假設經過LDAP查詢,該郵件已進入五名員工的收件匣,其中有三人已經點選開啟惡意附加檔案,並且端點偵測及回應(EDR)代理程式已詳細記錄影響範圍。此時Playbook工作流程中查詢Hash值發現遭受感染的端點包含高階管理層,被歸類於高風險事件,便可觸發法務部門與第二線資安團隊共同加入應變,並且動態地變更至另一套處理流程,以因應更高等級的風險。

 


追蹤我們Featrue us

本站使用cookie及相關技術分析來改善使用者體驗。瞭解更多

我知道了!