Diseñe XDR para ahorrar dinero y proteger la salud de su SOC

El enfoque del modelo del Centro de Operaciones de Seguridad Cibernética (SOC) ha cambiado a Detección y Respuesta Extendida (XDR). Cuando se diseña correctamente, XDR ejerce menos presión y reduce los costes en el sistema de gestión de eventos e información de seguridad (SIEM) para correlacionar alertas de seguridad complejas. También es más adecuado como interfaz central para emisión de tickets, alertas y orquestación de automatización y respuesta.

XDR es una oportunidad real para reducir los costos de la plataforma y mejorar la detección, pero requiere un compromiso con algunos principios que están en desacuerdo con el pensamiento general sobre los SOC.

Las canalizaciones de datos inteligentes y los lagos de datos son una necesidad

Conclusión: una canalización de datos de seguridad puede eliminar el desperdicio de registros antes del almacenamiento y enrutar los registros a la ubicación más adecuada.

La gestión inteligente de su flujo de datos de seguridad puede tener un gran impacto en el control de gastos al preprocesar cada registro y eliminar el desperdicio excesivo, especialmente cuando su principal generador de costos es GB por día. Considere el siguiente ejemplo, que muestra el tamaño anterior y posterior de los registros de Active Directory (AD) de Windows.

El evento de entrada promedio tenía 75 campos y tenía un tamaño de 3,75 KB. Después de eliminar los campos superfluos e innecesarios, el registro tiene 30 campos y un tamaño de 1,18 KB. Eso es una reducción del 68,48 % en los costos de almacenamiento SIEM.

Igualmente importante es la aplicación de un análisis de valor similar al lugar donde envía cada registro. ¡No todos los registros deben enviarse al SIEM! Solo los registros que resulten en una detección conocida deben enviarse a SIEM. Todos los demás que se utilizan para respaldar las investigaciones, el enriquecimiento y la búsqueda de amenazas deben ir al lago de datos de seguridad. Una canalización de datos inteligente puede tomar decisiones de enrutamiento sobre la marcha para cada protocolo, lo que reduce aún más sus costos.

Centrar la detección y la prevención en la amenaza más cercana a la amenaza

Conclusión: Los reconocimientos nativos del producto han mejorado significativamente; El SIEM debería ser una última línea de defensa.

SIEM solía ser una de las pocas herramientas que podía correlacionar y analizar registros sin procesar e identificar alertas que necesitaban remediación. Esto se debió en gran parte al hecho de que otras herramientas tenían un solo propósito y, en general, eran malas para identificar los problemas por sí mismas. Así que tenía sentido enviar todo al SIEM y crear reglas de correlación complejas para separar la señal del ruido.

El panorama actual ha cambiado con las herramientas de detección y respuesta de punto final (EDR). La EDR moderna es esencialmente SIEM en el punto final. Tiene las mismas capacidades para escribir reglas de detección en puntos finales que SIEM, pero elimina la necesidad de enviar cada bit de datos de telemetría a SIEM.

Los proveedores de EDR han mejorado significativamente en la creación y el mantenimiento de detecciones listas para usar. Hemos visto constantemente una disminución significativa en los esfuerzos de detección y prevención atribuidos a SIEM en el transcurso de nuestro año. equipo morado Compromisos con herramientas como EDR y firewalls de última generación (NGFW). Hay excepciones como Kerberoasting (para lo cual el AD local no ofrece mucha cobertura). A medida que pasa a solo en la nube para AD, incluso estos tipos de detecciones serán manejadas por herramientas «perimetrales» como Microsoft Defender para Endpoint.

Juega con tu fuerza SIEM

Conclusión: un proceso consciente para medir y mejorar continuamente sus capacidades de detección es mucho más valioso que una herramienta SIEM dedicada en el mercado.

La colaboración de Purple entre industrias y ecosistemas de detección nos ha permitido comprender la eficacia de muchas herramientas modernas de EDR, NGFW, SIEM y otras. Evaluamos y comparamos los resultados del equipo morado y creamos una tendencia de mejoras a lo largo del tiempo. Durante los últimos cinco años, descubrimos que el SIEM que compró no tiene una asociación medible con los resultados del equipo púrpura. Todo se reduce al proceso, ajuste y prueba.

Las herramientas SIEM tienen diferencias arquitectónicas que pueden hacer que se adapten mejor o peor a su entorno. Sin embargo, comprar una herramienta SIEM específica para mejorar significativamente sus capacidades de detección no valdrá la pena. En su lugar, concentre sus esfuerzos en paneles y correlaciones que respalden la búsqueda de amenazas y la respuesta a incidentes.

Alinee EDR, SIEM y SOAR en su arquitectura XDR

Conclusión: la automatización de la seguridad y el triaje mejorado con inteligencia artificial (IA) son el futuro, pero deben abordarse con precaución. No toda automatización tiene que excluir toda participación humana.

El futuro de XDR está ligado a tecnologías de Orquestación, Automatización y Respuesta de Seguridad (SOAR) estrechamente integradas. Los conceptos XDR reconocen que realmente importa No se trata de qué tan rápido puede detectar una amenaza, se trata de qué tan rápido puede neutralizar una amenaza. «Si esto – entonces aquello» Los métodos de automatización SOAR no son efectivos en escenarios del mundo real. Uno de los mejores enfoques que hemos visto en la automatización XDR es:

• Realice un ejercicio de equipo morado para identificar qué eventos de detección recientes están optimizados (tasas de falsos positivos muy bajas) y podrían beneficiarse de una respuesta automatizada.
• Cree un libro de jugadas para respuestas automatizadas, pero incluya pasos de intervención humana para ganar confianza antes de entregarlo por completo a la automatización. A esto lo llamamos «semiautomatización» y es un primer paso inteligente.

XDR es una palabra de moda, pero independiente de la tecnología, tiene buenos cimientos. Donde es más probable que las organizaciones fracasen es en la aplicación de filosofías de gestión SIEM obsoletas a las arquitecturas XDR modernas. Es probable que estas filosofías de diseño de programas mejoren sus habilidades y reduzcan sus costos.

Sobre el Autor

Mike Pinch se unió a Security Risk Advisors en 2018 después de desempeñarse seis años como director de seguridad de la información en el Centro Médico de la Universidad de Rochester. Mike es reconocido a nivel nacional como líder en el campo de la seguridad cibernética, ha hablado en conferencias como HITRUST y H-ISAC, y ha contribuido a los estándares nacionales de atención médica y los marcos de seguridad cibernética en el sector de la salud pública. Mike se centra en la seguridad de GCP, AWS y Azure, y ayuda específicamente a los equipos de SOC a mejorar sus habilidades. Mike es un desarrollador activo y actualmente disfruta incorporando tecnologías modernas de inteligencia artificial en desafíos comunes de ciberseguridad.