Angriffsketten: Die vollständige Geschichte hinter jeder Bedrohung

Jeden Tag ertrinkt Ihr SOC in isolierten Warnmeldungen – ein verdächtiger Anmeldeversuch hier, ein ungewöhnlicher Prozessstart dort, eine seltsame ausgehende Verbindung irgendwo anders. Einzelne erscheinen wie Lärm. Gemeinsam könnten sie das frühe Anzeichen einer koordinierten Gegnervorgehensweise sein, die sich bereits in Ihrer Umgebung entfaltet. Das Problem ist nicht ein Mangel an Daten – es ist ein Mangel an Verbindung.

Attack Chains ändert diese Gleichung. Anstatt Ihre Analysten zu bitten, dutzende von Signalen mit niedriger Zuverlässigkeit manuell zusammenzufügen, erledigt Attack Chains dies automatisch für sie – indem es historische Scan-Ergebnisse über Ihr SIEM, EDR/XDR und Data Lake (Prime Hunt), oder Echtzeit-Ereignisströme, während sie generiert werden, bevor diese Daten überhaupt Ihr SIEM erreichen (Prime Detect). So oder so, es korreliert nicht gegen eine statische, generische Regelmenge – es korreliert gegen Active Threats: neu identifizierte, reale Bedrohungen, wie sie veröffentlicht werden, um potenzielle Angriffsketten zu erkennen, bevor sie zu bestätigten Vorfällen werden. Das bedeutet, dass Ihre Erkennungslogik immer nur so aktuell ist wie die Bedrohungslandschaft selbst. 

Wo zu finden: Attack Chains lebt als eigener Reiter sowohl in Prime Hunt and Prime Detect. Wenn Sie mit historischen Daten arbeiten, gehen Sie zu Prime Hunt → Attack Chains. Wenn Sie Echtzeit-Korrelation möchten, bevor Daten Ihr SIEM erreichen, gehen Sie zu Prime Detect → Attack Chains.

Immer auf der Suche nach Neuem

Sobald Sie in Attack Chains sind, zeigt der Tab Überwachte Bedrohungen jede Aktive Bedrohung, gegen die Ihre Umgebung korreliert wird. Attack Chains bleibt aktuell, ohne dass Sie etwas tun müssen. Sobald eine neue Bedrohung in freier Wildbahn identifiziert wird, ist sie bereits Teil dessen, gegen das Ihre Umgebung überprüft wird – ohne auf ein Regel-Update zu warten, ohne manuellen Forschungszyklus. Sie entscheiden weiterhin, was für Ihre Organisation am wichtigsten ist, indem Sie die Korrelation auf die Bedrohungen konzentrieren, die für Ihre Branche oder Ihr Risikoprofil am relevantesten sind.

Aktivieren oder deaktivieren Sie individuelle Bedrohungen oder wenden Sie Sammelaktionen an, um mehrere auf einmal zu verwalten – direkt aus der Liste überwachte Bedrohungen – damit Ihr Korrellationsumfang immer das widerspiegelt, was für Ihre Organisation tatsächlich wichtig ist.

Und wenn eine Bedrohungserkennung nicht tatsächlich funktioniert – sei es, dass sie noch nicht gescannt wurde oder eine Regel nicht richtig verbunden ist – sehen Sie es sofort, anstatt es im Nachhinein herauszufinden. So sieht das aus:

Ein grünes Häkchen bedeutet, dass die Bedrohungserkennung vollständig vorhanden ist. Ein Standortfehlerkennzeichen weist auf eine Lücke hin – klicken Sie darauf, um genau zu sehen, was fehlt.

Das Bild, das Attack Chains Ihnen gibt

Sobald sich eine Kette bildet, ist es nicht nur ein korreliertes Ereignisbündel – es ist eine untersuchungsbereite Geschichte, sowohl auf Programm- als auch Fallbasis.

Auf einen Blick gibt Ihnen die Attack Chains Übersicht einen Echtzeitüberblick über Ihre Gesamtaussetzung: wie viele Ketten erstellt wurden, wie viele aktive Bedrohungen derzeit beobachtet werden, wie viele Hosts beteiligt sind und wie viel Ihrer Erkennungsabdeckung tatsächlich ausgeführt wird. Es ist die Art von Zusammenfassung, die die Frage „werden wir gezielt angegriffen?“ in eine Zahl verwandelt, die in Sekunden überprüft werden kann.

Klicken Sie in eine einzelne Kette aus dem Tab Attack Chains , und Ihr Team erhält:

• Eine KI-generierte Zusammenfassung der erkannten Aktivitäten, sodass Analysten sofortigen Kontext erhalten 
• Eine visuelle Zeitleiste der gegnerischen Techniken, die genau zeigt, wie der Angriff Schritt für Schritt fortschritt – mit Techniken, die bereits durch Erkennungsregeln bestätigt wurden, plus Aktivitäten, die durch verschwommenes Musterabgleichen (Prime Hunt) erfasst wurden 
• Bedrohungsakteur- und Technikzuordnung, zu industrieweiten Standards zugeordnet, damit Scoping und Kontextbildung sofort beginnen, anstatt von Grund auf neu
• Eine klare Übereinstimmung, die zeigt, wie eng die Aktivitäten mit einem bekannten Angriffsmuster übereinstimmen – damit Ihr Team genau weiß, wie ernst es zu nehmen ist
• Vollständiger Asset- und Umgebungskontext — welcher Host, welcher Teil Ihrer Infrastruktur und welche Ihrer Datenquellen es erkannt haben — sodass kein Rätselraten erforderlich ist, wo als nächstes nachzuschauen ist
• Ein direkter Weg zurück zu Ihren vorhandenen Tools, sodass Analysten direkt zu den zugrunde liegenden Ereignissen wechseln können, ohne Zeit oder Kontext zu verlieren
• Ein eingebauter Untersuchungspfad, der den Status der Angriffskette vom ersten Erkennen bis zur vollständigen Lösung verfolgt und nichts durch die Maschen fällt

Geräusche mit niedriger Zuverlässigkeit werden von der KI herausgefiltert, sodass das, was Ihr Team standardmäßig erreicht, tatsächlich Wert auf ihre Aufmerksamkeit legt – mit der Option, sich jederzeit in alles andere einzugraben, wann immer sie wollen.

Alles Zusammenbringen: Konfigurieren von Angriffsketten-Korrelation

Mit der Bedrohungsintelligenz und dem daraus resultierenden Bild im Kopf, hier wie Sie Attack Chains genau sagen, wie es zu korrelieren ist:

1. Setzen Sie die Schwelle zum Kettenbilden — der Mindestprozentsatz der Techniksequenz einer Bedrohung, die übereinstimmen muss, bevor Attack Chains gebildet werden
2. Definieren Sie das Korrellationsfenster — wie nah beieinander die Ereignisse zeitlich auftreten müssen, um korreliert zu werden
3. Definieren Sie das Rückblickfenster — wie lange der Motor zurückblickt, wenn es nach zusammenhängenden Ereignissen sucht (Prime Hunt nur)
4. Wählen Sie Ihre Datenquellen — schließen Sie die Datenquellen des SIEM, EDR/XDR und Data Lake ein oder aus (Prime Hunt) oder Themen (Prime Detect), die Korrellation zuführen, und melden Sie optional neue automatisch an, wenn sie hinzugefügt werden
5. Überprüfen Sie die Datenschutzeinstellungen — Hostname-Daten müssen für die Funktion von Korrelation übermittelt und gespeichert werden, was möglicherweise eine ausdrückliche Zustimmung erfordert (Prime Hunt)
6. Speichern und auf Ausführen klicken — Die Überwachung der Angriffskette wird ab diesem Zeitpunkt live durchgeführt und überprüft Ihre Umgebung kontinuierlich gegen die neuesten Bedrohungen, wenn sie auftreten
   

Proof of Value