Deter os invasores. A caça a ameaças e a pesquisa sobre evolução do SOC. evolution-soc.html

Transcrição

1 Deter os invasores A caça a ameaças e a pesquisa sobre evolução do SOC evolution-soc.html

2 Relatório: Deter os invasores: arte ou ciência? Objetivo da pesquisa Quais são as melhores práticas, atuais e futuras, para caça a ameaças em organizações de diferentes níveis de maturidade? Impacto da automação, inteligência artificial e autoaprendizagem Consolidação de táticas específicas dos caçadores nas operações fundamentais do SOC O papel da tecnologia de área restrita (sandbox) Ferramentas essenciais para realização da caça a ameaças O papel da inteligência contra ameaças 2

3 Objetivo da pesquisa e especificações do estudo Especificações do estudo 727 entrevistas Os dados foram coletados por meio de entrevistas on-line As entrevistas ocorreram em maio de 2017 Fonte da amostragem Clientes da McAfee, compreendendo o Security Product Advisory Council (SPAC) Clientes de todo o mundo e falantes de inglês Amostragem genérica de mercado EUA, Canadá, Reino Unido, Alemanha, Austrália, Nova Zelândia, Singapura Público-alvo As organizações devem ter mais de funcionários. Os entrevistados devem dedicar pelo menos 20% de seu tempo à caça a ameaças. E precisam dispor de sandbox e SIEM para se qualificarem. Teste de significância Diferenças entre segmentos (sejam tamanho da empresa, país etc.), conforme indicadas neste relatório, baseiam-se em testes bilaterais com um nível de significância de 95%. Quando as descobertas em um determinado segment são significativamente maiores que em outro segmento, isso é indicado. exemplo 3

4 Público-alvo Bases suficientemente amplas na América do Norte, Europa e Ásia N⁰ de entrevistas por região Tamanho da empresa (com base no número de funcionários) 31% 30% % 13% 6% 5% País EU CA RU AU AL IN NZ SG Outros 1k-2,5k 2,5k-5k 5k-10k 10k-50k 50k-100k > 100k Comerciais Corporações 34% 8% 21% 8% 4% 7% 19% 5% 1% 4% 2% 3% 10% 3% 27% - 4

5 Os entrevistados foram solicitados a qualificar sua organização em um dentre cinco níveis Hunting Maturity Model (modelo de maturidade da caçada),desenvolvido por David Bianco, caçador de ameaças e tecnólogo de segurança da Sqrrl 5

6 Modelo de maturidade As empresas QUEREM melhorar Quase metade (45%) das organizações consultadas gostariam de estar no nível 4 daqui a três anos. Em que nível a sua empresa está hoje? Em que nível gostaria de estar daqui a três anos? Nível 0 - Inicial 3% Nível 1 - Mínimo 1% Nível 1 - Mínimo 11% Nível 1 - Mínimo 4% Nível 2 - Procedimental 32% Nível 2 - Procedimental 16% Nível 3 - Inovação 40% Nível 3 - Inovação 34% Nível 4 - Liderança 14% Nível 4 - Liderança 45% 6

7 Principais descobertas: os SOCs avançados proporcionam resultados comprovadamente melhores Aumente a velocidade e a profundidade das investigações 71% encerram investigações em menos de uma semana 4,5 vezes mais causas raízes encontradas 45% mais valor com o uso avançado de sandbox 71% dos SOCs mais avançados encerram investigações de incidentes em menos de uma semana e 37% encerram em menos de 24 horas. Os caçadores de ameaças das organizações mais avançadas verificam a causa raiz 4,5 vezes mais (90% contra 20%) do que os caçadores de ameaças nos níveis mais baixos da curva de maturidade. No cômputo geral, os SOCs avançados obtêm até 45% mais valor quando utilizam sandboxes, economizando tempo e dinheiro, aprimorando os fluxos de trabalho e relevando informações que de outra forma não estariam disponíveis. 7

8 Então, como os SOCs avançados obtêm esses resultados? Descubra o que funciona e, então, automatize: combinação homem/máquina 68% afirmam que vão melhorar por meio de melhor automação e melhores procedimentos de caça a ameaças. Os SOCs mais maduros são duas vezes mais propensos a automatizar. A maturidade resulta em um melhor equilíbrio entre processos extraordinários e ordinários, embora ambos ainda coexistam a ferramenta certa para o trabalho. 80% 70% 60% 50% 40% 30% 20% 10% 0% Qual percentual do processo é automatizado? Nível 0/1 Nível 2 Nível 3 Nível 4 Qual percentual do processo você consideraria ideal para automação? 8

9 Eles usam sandboxes para investigar mais a fundo O melhor é quando você pode fazer testes de vulnerabilidade e prever a ameaça antes que ela ocorra. Sandboxing é útil nessa situação. Caçador de ameaças entrevistado durante as sessões qualitativas da pesquisa sobre caçadores de ameaças da McAfee, maio de 2017 Proliferação de ferramentas! Complexidade do ambiente! Conforme as equipes dos SOCs amadurecem, as razões para o uso de sandboxes evoluem, da dependência de automação e da consolidação de ferramentas à realização de análises sofisticadas de ameaças avançadas N⁰ médio de investigações com sandbox 42 Aumento de 50% 63 Os SOCs mais maduros utilizam várias sandboxes e vão além da condenação, investigando e validando ameaças em arquivos. Vamos descompactar o código! 35 Nível 0/1 Nível 2 Nível 3 Nível 4 9

10 Eles assimilam canais de inteligência contra ameaças de acordo com suas necessidades e compram o que falta Os SOCs de nível 0/1 dependem de canais públicos de inteligência contra ameaças 50% mais do que de qualquer outro tipo de canal sobre ameaças. Em comparação, os SOCs de nível 4 são 2 vezes mais pro-pensos a pagar por inteligência contra ameaças especializada e quase 50% mais inclinados a usar canais personalizados. Nível 0/1 Nível 4 Canais de TI públicos Personalizado Interno Pagam por canais de TI Pagam por canais de TI Personalizado Interno Canais de TI públicos

11 Percentual dos entrevistados Horas Eles fazem mais personalização Quanto tempo é despendido na pesquisa e personalização de ferramentas para caça a ameaças? 60% 20 40% 15 Os SOCs maduros investem 70% mais tempo em personalização, utilizando scripts e código 20% 10 5 aberto mais intensivamente. 0% 0 Nível 1 Nível 2 Nível 3 Nível 4 Menos de 5 horas por mês 5 a 10 horas por mês 10 a 20 horas por mês Mais de 20 horas por mês Horas em média 11

12 Uma boa caçada não precisa ser um trabalho duro para render resultados reais As organizações maduras de caça a ameaças mantêm os bons hábitos de: Identificar quais processos podem ser automatizados Utilizar as ferramentas à mão para investigar mais a fundo Assimilar inteligência de acordo com suas necessidades Personalizar e adaptar para obter insights mais detalhados 12

13 Acompanhe a evolução do SOC! Faça download do relatório, de resumos e de infográficos em Mantenha-se atualizado assinando o boletim bimestral McAfee SIEM Insider: Fique ligado e ouça o Dr. Peter Stephenson, editor de tecnologia da SC Magazine, e Michael Leland, da McAfee, discutirem Finding Context in Advanced Threat Hunting (Como encontrar contexto na caça a ameaças avançada). Inscreva-se no webcast em 13

14