نوشته‌ها

 

 

ارکستراسیون امنیتی یا SOAR همانطور که برای برخی شناخته شده است اما هنوز در حال توسعه میباشد، بنابراین تصورات نادرستی در مورد دامنه استفاده و اثربخشی آن برای یک تیم SOC وجود دارد.

در اینجا به 5 باور اشتباه درباره آن میپردازیم:

ابزارهای اتوماسیون امنیتی کار ما را انجام می دهند

در این مورد این اصل اساسی را میبایست در نظر بگیرید که : همه تهدیدها یکسان ایجاد نمی‌شوند. در حالی که برخی از تهدیدها ذاتاً پیچیده نیستند، اما به دلیل حجم و دامنه خود می توانند سازمان را تحت تأثیر قرار دهند.

حملات فیشینگ یک مثال است. اتوماسیون به ارتباطات کاربر نهایی، شناسایی اهداف مخرب یا موارد نادرست، قرنطینه و حذف ایمیل‌های مشکوک می‌پردازد. این امر نیاز به مشارکت انسان را به شدت کاهش می دهد و بسیاری از روال های خسته کننده را از حجم کار روزانه یک تحلیلگر انسانی خارج می کند.

البته، برخی از وظایفی که توسط یک تحلیلگر انجام می شود، می تواند منسوخ شود، اما با توجه به کمبود کارشناس ماهر در حوزه امنیت سایبری، فعالیت‌های بسیار زیادی برای این افراد وجود دارد.

هر فرآیند امنیتی می تواند خودکار شود.

عملیات خودکار ممکن است یک حرکت بازاریابی خوب باشد، اما هر فرآیند یا اقدام امنیتی نمی تواند خودکار شود. وظایف همچنان نسبت به اتوماسیون بدون مراقبت بسیار حساس خواهند بود و نیاز به فرآیندهای تایید دستی دارند. حتی با استفاده از فیشینگ که ذکر شد، یک سازمان می تواند تعادلی بین اتوماسیون ماشین محور و تصمیم گیری انسانی انتخاب کند. تصمیم برای تأیید اعتبار مخرب بودن ایمیل می تواند توسط یک انسان انجام شود، در حالی که وظایف اولیه و کارهای قرنطینه نهایی می توانند خودکار باشند.

ارکستراسیون امنیتی فقط یک نام فانتزی برای SIEM است.

در این مرحله، ممکن است بگویید، “من یک ابزار مدیریت اطلاعات امنیتی و رویداد  یا SIEM دارم که همین کار را انجام می دهد، اما این صحبت درست نیست. در حالی که SIEM و ابزارهای هماهنگ‌سازی امنیتی شباهت‌هایی در ویژگی‌های سطحی مانند اتوماسیون در عمل، ادغام محصول و همبستگی داده‌ها دارند، اما فرض اینکه یک ابزار می‌تواند کار دیگری را انجام دهد نادرست است.

هماهنگ سازی امنیتی و اتوماسیون امنیتی یک چیز هستند.

برای ما در صنعت امنیت، این اصطلاحات معانی مختلفی دارند.

اتوماسیون امنیتی ماشین‌ها را وادار می‌کند «کار انسانی» وظیفه‌محور انجام دهند. هماهنگی امنیتی در مورد اتصال محصولات مختلف و خودکار کردن وظایف در سراسر آن محصولات از طریق گردش کار، علاوه بر امکان نظارت و تعامل کاربر نهایی است.

اتوماسیون امنیتی زیر مجموعه ای از هماهنگ سازی امنیتی است. هماهنگ سازی امنیتی شامل ترکیب افراد، فرآیندها و فناوری برای بهبود وضعیت امنیتی سازمان است. اتوماسیون امنیتی بیشتر بر جنبه فناوری متمرکز است.

هماهنگی امنیتی فقط برای شرکت های بزرگ است.

احتمالاً این فرض وجود دارد که فقط شرکت‌های بزرگ با SOCهای مشخص و طیف گسترده‌ای از محصولات ، ارزشی را از سازمان‌دهی امنیتی استخراج می‌کنند. اما با گزارش بررسی‌های نقض داده‌های Verizon در سال 2021 نشان می‌دهد که تعداد قربانیان نقض داده‌ها در کسب‌وکارهای کوچک بسیار نزدیک به تعداد سازمان‌های بزرگ است، بنابراین نیاز به پاسخ‌های خودکار و تکرارپذیر حوادث بدون توجه به اندازه کسب‌وکار آشکار است.

دقیق ترین معیاری که باید در مورد هماهنگی امنیتی در نظر گرفت این است که سازمان شما باید با حجم بالایی از هشدارها و حوادث سر و کار داشته باشد و یا دارای یک محیط پویا با تغییرات مداوم باشد. تحت این شرایط، حتی اگر یک تیم کوچک SOC با سه تا پنج تحلیلگر امنیتی و تعداد انگشت شماری ابزار داشته باشید، از طریق فرآیندهای کاملاً تعریف شده، افزایش بهره وری کارکنان و پیکربندی SOC برای مقیاس ممکن، از هماهنگی امنیتی بهره مند خواهید شد.

 

 

به دنبال کمپین جاسوسی سایبری SolarWinds در سال 2020، که در آن هکرهای روسی به روز رسانی های آلوده را به یک پلتفرم مدیریت فناوری اطلاعات که به طور گسترده مورد استفاده قرار می گیرد، منتقل کردند، یک سری حملات بیشتر را در زنجیره تامین نرم افزار همچنان بر نیاز فوری به قفل کردن زنجیره های نرم افزاری تاکید می کند. و این موضوع به‌ویژه در منبع باز، جایی که پروژه‌ها ذاتاً غیرمتمرکز هستند و اغلب به‌صورت موقتی تلاش می‌کنند، شدیدتر است.

GitHub که خود متعلق به مایکروسافت است، اعلام کرد که قصد دارد از امضای کد، نوعی مهر و موم دیجیتال، برای بسته‌های نرم‌افزاری npm با استفاده از پلتفرم امضای کد Sigstore پشتیبانی کند. این ابزار از همکاری بین صنعت نشأت گرفت تا برای منبع باز بسیار آسان تر شود تا تأیید کنند که کدی که ایجاد می کنند همان کدی است که در نهایت به بسته های نرم افزاری می رسد که واقعاً توسط افراد در سراسر جهان بارگیری می شود.

جاستین هاچینگز، مدیر محصول GitHub می گوید: در حالی که اکثر بسته های npm منبع باز هستند، در حال حاضر هیچ تضمینی وجود ندارد که بسته ای در npm از همان کد منبع منتشر شده ساخته شده باشد. حملات زنجیره تامین در حال افزایش است و افزودن اطلاعات ساخت امضا شده به بسته‌های منبع باز که تأیید می‌کند نرم‌افزار از کجا آمده و چگونه ساخته شده است، راهی عالی برای کاهش سطح حمله است.

به عبارت دیگر، همه چیز در مورد ایجاد یک بازی تلفنی تایید شده رمزنگاری شده و شفاف است.

دن لورنک، مدیر عامل Chainguard، که Sigstore را توسعه می دهد، تأکید می کند که اگرچه GitHub تنها جزء اکوسیستم متن باز نیست، اما یک میدان شهری کاملاً حیاتی برای جامعه است زیرا اکثریت قریب به اتفاق پروژه ها در آنجا ذخیره و منتشر می شوند.

با ارائه Sigstore به مدیران ، شفافیت بسیار بیشتری در هر مرحله از سفر نرم افزار وجود دارد، و ابزار Sigstore به توسعه دهندگان کمک می کند تا بررسی های رمزنگاری و الزامات را هنگام حرکت نرم افزار در زنجیره تامین مدیریت کنند.

Sigstore توسط بنیاد لینوکس، گوگل، رد هت، دانشگاه پردو و Chainguard توسعه داده شده است. پلتفرم توسعه نرم افزار منبع باز Kubernetes اکنون از Sigstore پشتیبانی می کند و یک ابزار رسمی برای امضای توزیع بسته های Python با استفاده از Sigstore وجود دارد.

Hutchings GitHub می گوید: “روش های سنتی مدیریت کلیدهای امضا به اندازه جامعه منبع باز به خوبی مقیاس نمی شوند و بینشی در مورد نحوه ساخت نرم افزار ارائه نمی دهند.” یکی از چیزهایی که ما در مورد Sigstore دوست داریم این است که که پیکربندی آن برای کاربران نهایی صفر است، بنابراین ما می‌توانیم این را با اکوسیستم توسعه‌دهنده خود بدون توجه به محل زندگی کد منبع، افزایش دهیم.»

مشابه تلاش‌های عظیم صنعت برای ترویج رمزگذاری وب HTTPS، که تا حد زیادی با ابزارهایی مانند Let’s Encrypt از گروه تحقیقاتی امنیت اینترنت غیرانتفاعی امکان‌پذیر شد، Sigstore برای تشویق به پذیرش رایگان بودن و استفاده آسان متکی است.

Hutchings GitHub می‌گوید: «ما می‌خواهیم جهانی را ببینیم که در نهایت تمام مصنوعات نرم‌افزار امضا شده و به کد منبع پیوند داده می‌شوند. به همین دلیل بسیار مهم است که یک فناوری open source مانند Sigstore بسازیم که سایر مخازن بسته بندی نیز بتوانند از آن استفاده کنند.