Segui
Ogni giorno, il tuo SOC è sommerso da allerta isolate: un accesso sospetto qui, un avvio di processo strano lì, una connessione in uscita insolita altrove. Individualmente, ciascuno sembra rumore. Insieme, potrebbero essere il segnale precoce di una campagna avversaria coordinata già in corso nel tuo ambiente. Il problema non è la mancanza di dati, ma la mancanza di connessione.
Attack Chains cambia questa equazione. Invece di chiedere ai tuoi analisti di unire manualmente dozzine di segnali a bassa fiducia, Attack Chains lo fa automaticamente per loro, correlando i risultati delle scansioni storiche attraverso il tuo SIEM, EDR/XDR e Data Lake (Prime Hunt), o flussi di eventi in tempo reale mentre vengono generati, prima che questi dati raggiungano persino il tuo SIEM (Prime Detect). In entrambi i casi, non correla contro un set di regole statico e generico, ma correla contro le Minacce Attive: minacce reali, appena identificate non appena vengono pubblicate per rilevare potenziali catene di attacco prima che diventino incidenti confermati. Ciò significa che la tua logica di rilevamento è sempre aggiornata quanto lo stesso panorama delle minacce.
Dove trovarlo: Attack Chains vive come una scheda a sé stante sia all’interno di Prime Hunt and Prime DetectSe stai lavorando con dati storici, vai a Prime Hunt → Attack ChainsSe vuoi una correlazione in tempo reale prima che i dati raggiungano il tuo SIEM, vai a Prime Detect → Attack Chains.
Sempre attento alle novità
Una volta che sei in Attack Chains, la scheda Minacce Monitorate mostra ogni Minaccia Attiva contro cui il tuo ambiente viene correlato. Attack Chains rimane attuale senza alcuno sforzo da parte tua. Nel momento in cui una nuova minaccia viene identificata nel mondo reale, è già parte di ciò contro cui viene controllato il tuo ambiente, senza dover aspettare un aggiornamento delle regole o un ciclo di ricerca manuale. Decidi comunque ciò che conta di più per la tua organizzazione, concentrando la correlazione sulle minacce più rilevanti per la tua industria o profilo di rischio.
Abilita o disabilita minacce individuali, o applica azioni in blocco per gestirne diverse contemporaneamente, direttamente dalla lista delle Minacce Monitorate, così il tuo ambito di correlazione riflette sempre ciò che conta effettivamente per la tua organizzazione.
E se la copertura di rilevamento di una minaccia non funziona effettivamente, sia che non sia ancora stata scansionata o che una regola non sia correttamente collegata, lo vedrai immediatamente, invece di scoprirlo dopo. Ecco come appare:
Un segno di spunta verde significa che la copertura di rilevamento di una minaccia è completamente implementata. Un’etichetta problema segnala un gap, clicca per vedere esattamente cosa manca.
L’immagine che ti offrono gli Attack Chains
Una volta formata una catena, non è solo un ammasso correlato di eventi: è una storia pronta per l’investigazione, sia a livello di programma che caso per caso.
A colpo d’occhio, la tua Panoramica Attack Chains ti offre un polso in tempo reale sull’esposizione complessiva: quante catene sono state costruite, quante minacce attive sono attualmente monitorate, quanti host sono coinvolti e quanto della tua copertura di rilevamento è effettivamente operativa. È il tipo di riepilogo che trasforma “siamo sotto attacco?” in un numero che puoi controllare in pochi secondi.
Clicca su qualsiasi catena individuale nella scheda Attack Chains , e il tuo team ottiene:
- Un riepilogo generato dall’IA dell’attività rilevata, così gli analisti ottengono immediatamente il contesto
- Una timeline visiva delle tecniche avversarie, che mostra esattamente come l’attacco è progredito passo dopo passo, con tecniche già confermate dalle regole di rilevamento, più attività catturate tramite fuzzy pattern matching (Prime Hunt)
- Attribuzione di attore di minaccia e tecnica, mappata a framework standard del settore, così lo scoping e la costruzione del contesto iniziano immediatamente invece che da zero
- Una chiara corrispondenza, che mostra quanto strettamente l’attività si allinea a un modello di attacco noto, così il tuo team sa esattamente quanto seriamente trattarla
- Contesto completo degli asset e dell’ambiente — quale host, quale parte della tua infrastruttura e quale delle tue fonti di dati lo ha rilevato, quindi non c’è incertezza su dove cercare dopo
- Un percorso diretto ai tuoi strumenti esistenti, che permette agli analisti di passare direttamente agli eventi sottostanti senza perdere tempo o contesto
- Un trail di investigazione integrato, che traccia lo stato della Attack Chain dalla prima rilevazione fino alla completa risoluzione, e niente sfugge attraverso le crepe
Il rumore a bassa fiducia viene filtrato dall’IA, quindi ciò che raggiunge il tuo team per impostazione predefinita è ciò che merita effettivamente la loro attenzione, con l’opzione di approfondire tutto il resto ogni volta che lo scelgono.
Mettere tutto insieme: configurare la correlazione delle Attack Chain
Con l’intelligence sulle minacce e l’immagine che produce in mente, ecco come indicare ad Attack Chains esattamente come correlare:
- Imposta la soglia di formazione delle catene — la percentuale minima della sequenza di tecniche di una minaccia che deve corrispondere prima che le Attack Chains vengano formate
- Definisci la finestra di correlazione — quanto vicini devono verificarsi nel tempo gli eventi per essere correlati
- Definisci la finestra di ricerca — quanto indietro nel tempo il motore cerca quando caccia eventi correlati (Prime Hunt solo)
- Scegli le tue fonti di dati — includi o escludi le fonti SIEM, EDR/XDR e Data Lake (Prime Hunt) o argomenti (Prime Detect) alimentando la correlazione, e opzionalmente iscrivi automaticamente nuove fonti non appena vengono aggiunte
- Rivedi le impostazioni di condivisione dei dati — i dati dell’hostname devono essere trasmessi e memorizzati affinché la correlazione funzioni, il che potrebbe richiedere un consenso esplicito (Prime Hunt)
-
Salvare e cliccare su Esegui — il monitoraggio delle Attack Chain è attivo da quel momento in poi, controllando continuamente il tuo ambiente rispetto alle minacce più recenti man mano che emergono
