AI-alapú fenyegetésészlelés és UEBA

Mit állítunk be konkrétan

A végpontokon EDR-t telepítünk, amely a folyamatindításokat, fájlműveleteket és jogosultság-változásokat figyeli. A hálózaton NDR-szerű észlelést állítunk be a szokatlan forgalmi mintákra. Ezekre épül az UEBA-alapréteg: minden felhasználóhoz és szerverhez alap-viselkedési mintát rendelünk, és azt jelezzük, amikor valami jelentősen eltér tőle, például szokatlan időpontban történő tömeges adatlekérés. A három réteg együtt ad teljes képet: az EDR a gépen történteket látja, az NDR a hálózaton mozgó adatot, az UEBA pedig a hosszabb távú mintázatot köti össze mindkettővel.

• EDR a végpontokon: folyamat-, fájl- és jogosultság-figyelés
• Hálózati anomáliadetektálás a szokatlan forgalmi mintákra
• UEBA-alapréteg felhasználónként és szerverenként
• Honeytoken csapdák, amelyek csak jogosulatlan hozzáférésnél szólalnak meg

Az AI-kor: gépi triázs a riasztásözön ellen

Ahogy nő a naplóforrások száma, úgy nő a riasztások száma is, és egy emberi csapat gyorsan elmerül bennük. Gépi triázzsal csoportosítjuk a hasonló eseményeket, kiemeljük a MITRE ATT&CK szerint gyanúsabb láncokat, és a Sigma-szabályokkal folyamatosan bővítjük a detekciós szabálykészletet az újonnan megismert támadási technikákra. Ez nem helyettesíti az elemzőt, de a figyelmét a valódi eseményre irányítja a rutinriasztások helyett. Ugyanez a gépi előszűrés jellemzi a támadó oldalt is: LLM-ügynökök gyorsan végigpróbálnak sok mintát, ezért a detekciós oldalnak legalább ilyen ütemben kell frissülnie.

Honeytoken és korai jelzés

A honeytoken egy csali: egy fájl, adatbázis-bejegyzés vagy API-kulcs, amelyet soha nem használ jogosult folyamat. Ha valaki hozzáér, az szinte biztosan illetéktelen hozzáférést jelent, és a riasztás azonnal, hamis pozitívok nélkül érkezik. Kritikus rendszereknél ezt is beépítjük a védelmi rétegek közé, mert korai, megbízható jelzést ad egy behatolás elején. Több csalit helyezünk el a hálózat különböző pontjain, hogy egy támadó oldalirányú mozgása közben szinte biztosan belefusson legalább egybe, mielőtt a valódi célhoz érne.

Hogyan dolgozunk

1. Alapállapot felmérése

   Feltérképezzük a felhasználói és szerverviselkedést, hogy legyen mihez viszonyítani az anomáliadetektáláshoz, és meghatározzuk a kritikus rendszereket.

2. Észlelési réteg kiépítése

   Beállítjuk az EDR-t a végpontokon, a hálózati anomáliadetektálást és az UEBA-alapréteget felhasználónként, szerverenként, az egyeztetett hatókörben.

3. Riasztási triázs

   Beállítjuk a gépi előszűrést és a MITRE ATT&CK szerinti kategorizálást, hogy a csapat a valódi eseményre fókuszáljon.

4. Folyamatos finomhangolás

   A havi órák terhére frissítjük a Sigma-szabályokat és a viselkedési alapmintákat, ahogy a rendszereid és a fenyegetési kép változik.

Felhasználási esetek

Technológiák

• Wazuh EDR
• Suricata NDR
• UEBA modellek
• Sigma szabályok
• Honeytoken
• MITRE ATT&CK
• SOAR

Gyakori kérdések

• Mi az UEBA, és miben más, mint egy hagyományos riasztási szabály?

  Az UEBA (felhasználói és entitás-viselkedéselemzés) minden felhasználóhoz és szerverhez saját alapmintát épít, és az attól való eltérést jelzi, nem egy előre rögzített szabálylistát követ. Így olyan anomáliát is észrevesz, amire nem írtunk explicit szabályt.

• Mi az a honeytoken, és hogyan segít?

  A honeytoken egy csali erőforrás, amelyet jogosult folyamat soha nem használ. Ha valaki hozzáfér, az gyakorlatilag biztos jele az illetéktelen hozzáférésnek, és a riasztás hamis pozitívok nélkül, korán érkezik, mielőtt a támadó tovább mozogna a hálózaton.

• Az EDR és a hagyományos vírusirtó ugyanaz?

  Nem. A vírusirtó ismert kártevő-aláírásokat keres. Az EDR folyamatokat, fájlműveleteket és jogosultság-változásokat figyel viselkedés alapján, és visszamenőlegesen is vizsgálható, hogy egy incidens pontos lefolyását rekonstruálni lehessen, olyan fenyegetésnél is, amire még nincs ismert aláírás.

• Mennyi idő alatt épül fel egy megbízható viselkedési alapminta?

  Néhány hét megfigyelés általában elég ahhoz, hogy a normál mintázat kirajzolódjon, utána a rendszer folyamatosan finomodik. Ez idő alatt is fut az EDR és a hálózati észlelés, csak az UEBA-riasztások érzékenysége nő fokozatosan.

• Csökkenti-e ez a riasztásfáradtságot?

  Igen, ez az egyik fő célja: a gépi triázs csoportosítja a hasonló eseményeket, és a MITRE ATT&CK szerint gyanúsabb láncokat emeli ki, így a csapat kevesebb, de relevánsabb riasztást kap ahelyett, hogy minden egyedi eseményt külön kellene átnéznie.