O korzyściach z wdrożenia rozwiązań klasy NDR (Network Detection and Response) rozmawiamy z Dariuszem Szuszkiewiczem z GREYCORTEX oraz Łukaszem Żurawskim z Integrity Partners.
Co to jest system NDR?
Systemy NDR, czyli platformy monitorujące ruch sieciowy w czasie rzeczywistym, stają się coraz popularniejsze. Skąd to wynika? Czy nie wystarczają inne systemy bezpieczeństwa stosowane w przedsiębiorstwach?
Dariusz Szuszkiewicz, Country Manager Polska, GREYCORTEX: Systemy NDR stają się standardem w zakresie monitorowania i zarządzania siecią. Przede wszystkim dlatego że zapewniają pełną widoczność tego, co jest przesyłane w ruchu sieciowym zarówno w obszarze IT, jak i OT. To z kolei zdecydowanie przyspiesza rozwiązywanie problemów. Informacje, które uzyskujemy dzięki tym rozwiązaniom, dotyczą problemów, błędów czy incydentów związanych z cyberbezpieczeństwem. Nawet jeśli mamy zabezpieczony styk sieci z Internetem oraz urządzenia końcowe, do monitorowania pozostaje całe spektrum ruchu, który pojawia się w sieci lokalnej i to tam tak naprawdę dzieją się najciekawsze rzeczy z punktu widzenia bezpieczeństwa. Dodatkowo firmy coraz częściej decydują się na tego typu rozwiązania, bo ich stosowanie wymuszają wchodzące regulacje, choćby dyrektywa NIS2.
Łukasz Żurawski, Network Security Engineer w Integrity Partners: Nowe regulacje, które są obecnie wprowadzane, nie są już nakierowane na samo IT, czyli komputery i użytkowników, ale też na środowisko OT i jego urządzenia. A w tym zakresie wykrywanie i monitorowanie tego, co się dzieje, jest kluczowe.
Patrząc na historię zabezpieczeń, trzeba zauważyć, że zaczynaliśmy od ochrony brzegu sieci. Bezpieczeństwo opierało się głównie na firewallach stawianych na brzegu sieci. Później zaczęliśmy schodzić niżej, wprowadzając rozwiązania do kontroli tego, co dzieje się wewnątrz sieci, i ochronę stację końcowych.
Natomiast w wielu przypadkach, nie da się niczego zainstalować bezpośrednio na sterownikach, które odpowiadają za pracę konkretnego urządzenia. Zatem analizowanie ruchu sieciowego, tego, co jest w nim przesyłane, staje się kluczową kwestią. Pozwala bowiem nie tylko na wykrywanie różnego rodzaju zagrożeń, ale także błędów konfiguracyjnych oraz innych elementów, które mogą powodować dodatkowe ryzyka.
Zatem systemy NDR wspomagają bezpieczeństwo przedsiębiorstw. Jakie jeszcze korzyści firmy mogą osiągnąć, wdrażając tego typu rozwiązania?
DSz: Systemy NDR odgrywają niezwykle ważną rolę w części operacyjnej działalności przedsiębiorstwa. Codziennego zarządzania ruchem, konfiguracjami i tym, co w naszej sieci się pojawia. Jak to działa w praktyce? Weźmy za przykład kopalnię. Identyfikacja ruchu pochodzącego z urządzeń sterujących, możliwość identyfikacji, zobaczenia tych urządzeń sprawia, że jesteśmy w stanie reagować na różnego typu zdarzenia związane z błędami konfiguracyjnym czy awariami, które skutkują zanikiem komunikacji. Dobrze jest o tym wiedzieć już na poziomie ruchu sieciowego. NDR-y wnoszą zatem ogromną wartość do zarządzania operacjami IT, zwłaszcza w takich przedsiębiorstwach technologicznych, i ułatwiają codzienną pracę.
Analiza umożliwia nam także faktyczną weryfikację tego, czy polityki na firewallu są poprawnie ustawione i urządzenia są odpowiednio skonfigurowane. To tylko ona może nam na 100% powiedzieć, że jakaś polityka przepuszcza dany ruch lub go blokuje. Jest to więc element dodatkowy, który pozwala zdecydowanie ułatwić proces hardeningowania sieci. Posiadając takie narzędzie, jesteśmy w stanie lepiej panować nad tym procesem i lepiej zabezpieczać sieć w stosunku do zmieniającego się środowiska.
ŁŻ: To nie wszystko. Analiza ruchu sieciowego pozwala nam wykryć, że jakieś urządzenie przestaje się komunikować. Ale też informuje nas o tym, że w sieci pojawia się nowe urządzenie. Z kolei dzięki uczeniu maszynowemu systemy NDR potrafią zidentyfikować różnego rodzaju anomalie – podpowiedzą nam zatem, że konkretne urządzenie zmieniło sposób swojej komunikacji. A to powinno wzbudzić podejrzenia. Dzięki profilowi zachowania danego sprzętu możemy łatwo wychwycić niepożądane działania, które mogą wpływać zarówno na bezpieczeństwo, jak i na funkcjonowanie maszyn oraz ciągłość działania przedsiębiorstwa.
Dodatkowo analiza ruchu sieciowego i rozumienie tego, co jest przesyłane do warstwy danych, pomagają wykryć wszelkie zmiany w konfiguracji w obszarze OT. To jest niezwykle ważne, biorąc pod uwagę fakt, że zdarzały się przypadki fałszowania przez cyberprzestępców wyników w oprogramowaniach do wizualizacji tego, co dzieje się na sterownikach. Samo takie oprogramowanie zatem nie dawało odpowiedniego poziomu ochrony. Z NDR-em mamy większą kontrolę nad tym, co się dzieje, a to pozwala nam reagować z wyprzedzeniem, zanim ewentualny problem stanie się poważniejszy.
Systemy NDR wykrywają anomalie w funkcjonowaniu urządzeń. Czy wspomagają także widoczność działań ludzkich, w tym cyberprzestępców?
ŁŻ: Oczywiście. Należy pamiętać, że istotną częścią każdej sieci OT są operatorzy, czyli ludzie. W ich przypadku także wykorzystując mechanizmy profilowania, ustalając i opisując, co dany operator robi, możemy nauczyć system jego standardowego trybu pracy. Osoba ta zwykle zajmuje się jakąś częścią infrastruktury, obsługuje kilka maszyn. To jej zwyczajowe działanie. Jeśli nagle będzie próbowała konfigurować inne maszyny, system to wykryje i automatycznie wzbudzi odpowiedni alert. Oczywiście ten alarm może być fałszywy (false positive), ale w zdecydowanej większości przypadków taka zmiana zachowania użytkownika jest podejrzana.
DSz: To bardzo ważny element systemu NDR związany z cyberbezpieczeństwem. Coraz częściej zdarzają się sytuacje, że dostępy do stacji i dostępy do sieci są sprzedawane osobom z zewnątrz przez pracowników organizacji. Kiedy ktoś przejmie w taki sposób kontrolę nad naszą stacją końcową, to jedynym elementem, który pozwala nam wykryć tego typu zdarzenie i zareagować, jest właśnie identyfikacja nietypowego ruchu.
ŁŻ: Tym bardziej że atakujący zazwyczaj zaciera za sobą ślady po przejęciu stacji roboczej. Choćby usuwa logi lub kasuje inne ślady swojej działalności. Jeżeli firma korzysta z systemu NDR, to atakujący nawet nie jest świadomy, że ktoś monitoruje ruch. Dodatkowo nie może w żaden sposób wpłynąć na to, co zostało zarejestrowane. Nie może tego skasować, zmodyfikować ani dostać się do takich informacji. To daje firmie dużą przewagę na polu detekcji zagrożenia i reakcji na nie.
Nie bez przyczyny te systemy są nazywane systemami świadomości sytuacyjnej. Pokazują, co się naprawdę dzieje w sieci i dają nam szansę na to, aby zareagować i podjąć jakieś działania. A to oznacza, że możemy zapobiec jakiemuś poważnemu zdarzeniu, np. masowej propagacji malware’u czy zaszyfrowaniu danych przez ransomware w całej organizacji.
Gromadzenie danych dotyczących ruchu sieciowego, analiza behawioralna, wykrywanie anomalii, alarmowanie… NDR to wszechstronne narzędzie.
DSz: A to jeszcze nie wszystko. NDR daje kopalniom znacznie więcej. Pozwala zrozumieć, jak działają różnego rodzaju systemy, jakie mają czasy odpowiedzi czy przesyłania danych, jak funkcjonują aplikacje. Jeśli czasy reakcji są dłuższe niż zwykle, możemy szybko to zauważyć i zidentyfikować źródło problemu. Czy jest nim sieć, czy serwer. Zatem NDR to nie tylko security. To także pomoc w codziennym zarządzaniu infrastrukturą. Widzimy wydajność, niepożądane zjawiska, problemy w sieci IT, opóźnienia w pracy aplikacji. To wszystko wpływa w sposób zasadniczy na płynność prowadzenia biznesu i na zdolność operacyjną przedsiębiorstwa.
Bardzo ciekawym aspektem stosowania systemów NDR w przedsiębiorstwach jest możliwość współdzielenia informacji między różnymi działami. NDR jest w zasadzie platformą, która pozwala osobom z różnych departamentów, w tym operacji, zarządzania sieciami, bezpieczeństwa, automatyki czy zarządzania aplikacjami, dzielić się doświadczeniami. Wszystkie te osoby korzystają z tych samych danych, ale patrzą nad nie pod różnymi kątami, z punktu widzenia innych potrzeb. Możliwość wymiany swoich spostrzeżeń może być bardzo wartościowa dla firmy i jej bezpieczeństwa oraz funkcjonowania.
Jak wybrać dobre rozwiązanie klasy NDR? Na co zwrócić uwagę, badając rynek? Które elementy systemów NDR są dziś niezbędne, by odpowiednio monitorować ruch sieciowy?
DSz: Przede wszystkim trzeba pamiętać, że dzisiejsze systemy NDR analizują cały ruch sieciowy. Nie są oparte – jak starszej generacji rozwiązania, na protokołach statystycznych (typu NetFlow, sFlow), ale na pełnej kopii ruchu. To jest bardzo istotne, zwłaszcza z punktu widzenia bezpieczeństwa, dlatego że pominięcie nawet pojedynczego pakietu może skutkować tym, że nie będziemy w stanie zidentyfikować incydentu bezpieczeństwa. Szukamy zatem rozwiązań, które dają nam pełną kopię ruchu.
Po drugie, bardzo ważne jest wykorzystanie wielu mechanizmów służących do detekcji zagrożeń. Dobrej klasy system NDR powinien być wyposażony w sygnatury, dlatego że jest to jeden z najszybszych mechanizmów detekcji różnego typu zagrożeń, ale też w elementy analizy statystycznej, analizy behawioralnej. Powinien dostarczać bazę wiedzy o zagrożeniach, ale też umożliwiać zaciągnięcie tych informacji z innych komercyjnych czy ogólnie dostępnych systemów, czasami zbudowanych przez organizacje.
Po trzecie, należy zwracać uwagę na możliwości skalowania rozwiązania. Jeśli chcemy wdrożyć NDR w większej organizacji, musi on mieć taką architekturę, która umożliwi zastosowanie wielu różnego typu sond o różnej wydajności, które będą analizowały i pobierały ruch do analizy.
I na koniec warto wspomnieć o uczeniu maszynowym. Ilość danych, z którymi obecnie pracujemy, jest niemożliwa do przetworzenia dla człowieka. Zajmują się nimi właśnie algorytmy uczenia maszynowego. Najważniejsza jest jakość wprowadzanych, wytworzonych na początku danych. W naszym rozwiązaniu są to po prostu metadane wytwarzane z pełnej kopi ruchu, ale zawierające prawie 1000 parametrów opisujących całą komunikację, którą widzimy. Ta szczegółowość sprawia, że diagnostyka, detekcja i analiza są realizowane bardzo szybko i na odpowiednim poziomie dokładności.
Wybór rozwiązania to dopiero połowa sukcesu. Jak wdrożyć system NDR, by efektywnie korzystać z jego możliwości?
ŁŻ: Istotnym elementem, który zaważy na sukcesie wdrożenia rozwiązania w przedsiębiorstwie, jest posiadanie odpowiedniego wsparcia. Jakiego partnera technologicznego wybrać? Warto pamiętać o tym, że system klasy NDR nigdy nie funkcjonuje jako samotna wyspa. Potrzebuje do swojego działania także innych rozwiązań. Zatem kluczowe jest zaproszenie do współpracy partnera, który ma doświadczenie i wiedzę nie tylko w zakresie narzędzi NDR, ale także innych, zwłaszcza w obszarze bezpieczeństwa.
W Integrity Partners mamy duży zespół specjalistów z różnych dziedzin, ekspertów od różnych rozwiązań, doświadczonych inżynierów. Prawdą jest, że każda sieć jest inna. Nawet firmy z tej samej branży, zajmujące się podobnymi rzeczami, budują swoje sieci IT na różne sposoby. Tym bardziej że są one tworzone stopniowo, przez wiele osób. To dlatego tak istotne jest to, by w zespole wdrażającym NDR znalazły się osoby z dużym i szerokim doświadczeniem w konfiguracji, integracji i obsłudze wielu systemów.
To liczy się właściwie już na poziomie Proof of Concept, kiedy instalujemy system. Wtedy wiedza i kompetencje są potrzebne do tego, żeby rozmawiać z klientem na odpowiednim poziomie, zrozumieć jego infrastrukturę, jego sieć i być w stanie prawidłowo zaimplementować rozwiązanie.
DSz: Jeszcze na koniec wspomniałbym o elastyczności. Przy wyborze zarówno producenta, jak i integratora warto zwracać uwagę na to, na ile są elastyczni i reagują na potrzeby firmy. Wsłuchiwanie się w klientów, możliwość dostosowania produktu czy jego rozwoju ma ogromne znaczenie, zwłaszcza wśród dużych organizacji. Wybór osób, które się nie tylko znają, ale i liczą ze zdaniem klienta, może być kluczowy dla powodzenia wdrożenia systemu NDR.
Jesteś zainteresowany/a przedstawionym rozwiązaniem? Skontaktuj się z Integrity Partners – sprawdzonym integratorem rozwiązań cybersecurity, cloud i identity security.
Zarezerwuj termin w Microsoft Teams!
Napisz do nas: marketing@integritypartners.pl
