Во второй части нашей беседы господин Сото рассказывает о том, как выглядит ESET MDR, когда теория становится реальностью: от веб-шеллов и ночных расследований до экспертных отчетов, которые помогают клиентам точно понять, что произошло.
О том, что представляет собой услуга ESET MDR, читайте в первой части.
О том, что представляет собой услуга ESET MDR, читайте в первой части.
BT: Теперь мы подошли к моменту, когда что-то действительно происходит. Мне очень интересно узнать, с чем вы сталкиваетесь, руководствуясь большой командой безопасности. Самое безумное происшествие в инфраструктуре клиента на вашей памяти?
MS: [смеется] Самое безумное, что мне доводилось видеть? Давайте подумаем… В одном конкретном случае, кажется, у клиента был неправильно настроен сервер, что позволило злоумышленнику внедрить веб-шеллы в их среду, фактически пытаясь установить удаленный доступ. Работая с одним из наших аналитиков всю ночь, они смогли идентифицировать проблему, все уладить, а затем вернуть их [сервер/клиент] в рабочее состояние.
Здесь было интересно сразу по нескольким причинам. Во-первых, сам факт того, что мы смогли поработать с клиентом посреди ночи, привлечь нескольких членов их команды и довольно быстро предложить им решение. Во-вторых, мы смогли провести цифровую криминалистическую экспертизу в инфраструктуре клиента, предоставив ему полный отчет об анализе всего, что произошло на этом конкретном устройстве, чтобы дать ясное представление о хронологии событий. Так что это был, пожалуй, один из самых интересных случаев, потому что клиент воочию увидел и напрямую ощутил пользу от различных видов деятельности, которые охватывает эта услуга.
Когда вы говорите «работать всю ночь», это несколько аналитиков из разных часовых поясов или выделенная команда, которая просто не ложится спать, пока дело не будет сделано?
В этом конкретном случае с ними всю ночь работал выделенный аналитик, то есть один конкретный специалист, который дежурил в то время, но это было похоже на продолжающееся расследование.
В определенный момент произошла передача смены, когда этому аналитику нужно было заканчивать свой рабочий день. Поэтому, когда заступал следующий аналитик, он смог синхронизироваться с ним, передать информацию, и после этого они продолжили общение с клиентом. Конечно, это предполагало общение через нашу субплатформу ESET Services — обмен сообщениями туда-сюда, а также многочисленные звонки с клиентом и его командой. И по ходу дела к указанным звонкам подключались и другие члены нашей собственной команды, продолжая работать с клиентом до тех пор, пока дело не было полностью разрешено.
Что касается конечного результата, вы упомянули отчет о криминалистической экспертизе. Не могли бы вы объяснить или суммировать, что получил клиент в результате этого процесса реагирования?
Конечно. Клиент получил отчет об анализе, в котором по сути содержался список артефактов, обнаруженных на зараженном сервере, хронология событий с точки зрения нашей бэкенд-команды, занимающейся цифровой криминалистикой, что дало ему полную картину всего произошедшего и гарантировало принятие правильных мер по устранению последствий. Кроме того, в него вошел список дополнительных рекомендаций, которые клиенты могут выполнить для укрепления своей инфраструктуры, чтобы красиво оформить все материалы и позволить им взглянуть на инцидент с высоты птичьего полета.
Некоторые люди сравнивают ESET MDR с айсбергом. Есть видимая часть над водой (аналитики безопасности), есть сам сервисный пакет, но под всем этим скрывается огромный объем организационных знаний, таких как данные об угрозах, телеметрия и команда обслуживания клиентов, обеспечивающая постоянную связь. Можете ли вы рассказать, что это значит?
С моей точки зрения, верхушкой айсберга можно назвать обнаружения, которые клиент видит в ESET PROTECT или ESET Inspect. Но на стороне бэкенда, как вы и упомянули, у нас есть все данные телеметрии. Это все вместе, плюс знания аналитиков, способных видеть типичное поведение и события в самых разных средах, чего у одного конкретного клиента может и не быть.
Наше понимание того, как выглядит типичное поведение в клиентской среде, облегчает нам обнаружение аномалий, которые могут быть связаны с инцидентом. И с другой стороны, у нас также есть исследователи, у которых есть доступ к данным телеметрии на бэкенде, и иногда они видят что-то очень тревожное, поэтому они обращаются к нашей команде и говорят: «Эй, мы видим, что у одного из ваших клиентов в сети проявляются признаки активности APT-группировки. Было бы полезно предупредить их и помочь».
Такое случалось несколько раз, в результате чего мы связывались с клиентом и помогали ему нейтрализовать угрозу до того, как она стала слишком серьезной. В конце концов, благодаря этому они даже повысили уровень обслуживания у нас.
Наверное, это выходит за рамки обычных отчетов об угрозах, которые рассылаются со встроенными обнаружениями. По крайней мере, это более проактивно. Так ли это?
Да, это то, что они видят на бэкенде, и активно заявляют, что мы должны довести это до сведения клиента как можно скорее, поскольку это происходит в его среде прямо сейчас.
У каждого клиента свои особенности поведения. Можете ли вы рассказать о случае, когда в инфраструктуре клиента произошло то, что где-то в другом месте вызвало бы инцидент, но для их рабочего процесса это был просто вторник?
Определенно. В разных организациях у администраторов часто есть свои методы управления сетями, и эти рабочие процессы могут сильно различаться. Некоторые вещи, которые могут выглядеть как аномалия или казаться подозрительными в инфраструктуре одного из наших клиентов, на самом деле могут оказаться действиями администратора, использующего, например, PSExec и какие-то крайне необычные скрипты для выполнения обычной административной функции.
Однако прелесть здесь в том, что у нас есть опросные листы, которые клиенты заполняют во время подключения к MDR, поэтому мы получаем представление о том, какие именно инструменты они будут использовать, и если что-то требует подтверждения, мы связываемся с ними, чтобы убедиться: «Эй, это вы действительно делаете или нам нужно на это реагировать и предпринимать какие-то дальнейшие действия?»
Искусственный интеллект, очевидно, также меняет ландшафт безопасности, включая то, как злоумышленники готовят, автоматизируют или маскируют часть своей деятельности. С точки зрения MDR, не усложняет ли это уже работу аналитиков?
Да, с точки зрения MDR ландшафт угроз постоянно меняется. На самом деле использование ИИ может повлиять на сложность повседневной работы аналитиков в самых разных аспектах.
Например, используя ИИ, злоумышленники теперь имеют возможность создавать более изощренные фишинговые электронные письма. Аналогичным образом они могут ускорять атаки, повышая свою квалификацию с помощью ИИ, что позволяет этим усовершенствованным с помощью ИИ навыкам помогать в выявлении новых эксплойтов нулевого дня.
Кроме того, выявление аномалий у некоторых более сложных пользователей, таких как разработчики, порой может быть сложной задачей. Использование ИИ конечными пользователями может изменить поведение стандартного пользователя так, что оно будет зеркально отражать активность разработчиков на их конечных точках, что затрудняет работу аналитиков.
С точки зрения работы аналитика, ИИ дает преимущества, помогая снизить объем ручного труда и сузить фокус за счет агрегирования связанных индикаторов в один инцидент. Тем не менее, каждый инцидент по-прежнему требует тщательного анализа и проверки, поскольку аналитики должны убедиться в точности и релевантности данных ИИ, прежде чем предпринимать какие-либо действия.
Вы когда-нибудь участвовали в инциденте, когда у вас возникало ощущение того, как вел себя злоумышленник, и он делал что-то особенно впечатляющее? Или все они выглядят довольно посредственно, средне?
Я полагаю, в одном из случаев мы столкнулись с довольно продвинутым шифрованием и обфускацией, из-за чего нам пришлось эскалировать проблему до команды третьего уровня, и даже у них возникли определенные трудности с тем, чтобы полностью деобфусцировать и расшифровать все элементы и понять, что на самом деле делал вредоносный исполняемый файл.
Затем иногда мы наблюдаем сценарии, в которых злоумышленники действуют на очень базовом уровне квалификации. Возможно, у них уже есть удаленный доступ, и они пытаются выполнить какие-то команды, но делают опечатки. Мы уже сталкивались с ситуациями, когда активность выглядит так, будто ее осуществляет менее квалифицированный злоумышленник, а затем, со временем, все становится действительно сложным, и ситуация начинает стремительно набирать обороты.
Не могли бы вы привести пример, когда вы видели, как клиент делает что-то умное — или, может быть, даже не очень умное?
По большей части, я бы сказал, некоторые действия клиентов, которые они не должны совершать, связаны с тем, что их порты открыты для интернета. Например, у них может быть открыт протокол рабочего стола (RDP) в интернет и при этом даже не настроена многофакторная аутентификация (MFA). Это те вещи, которые мы фиксируем со своей стороны и незамедлительно предоставляем рекомендации.
Что касается чего-то разумного в действиях клиентов, я думаю, главный вывод заключается в том, что до тех пор, пока они поддерживают с нами связь и делают это довольно быстро, это лучшее, что они могут сделать. Если мы даем им набор рекомендаций, то чем быстрее они смогут отреагировать, внедрить их и подтвердить внесение изменений, тем лучше, поскольку возможности нашего контроля с нашей стороны ограничены.
Поэтому, если мы даем им набор рекомендаций, а они им не следуют, это может легко перерасти в действительно худший сценарий.
Многие малые и средние предприятия считают, что MDR для них недоступен из-за финансовых затрат или технических препятствий. Каковы причины тех, кто выбирает MDR, и что вы можете сказать компаниям, которые рассматривают такую возможность?
Предприятия малого и среднего бизнеса, с которыми я общаюсь, хотят быть уверенными в том, что у них есть прозрачность в отношении того, как события фактически происходят в их среде, чтобы продолжать защищаться. Есть и ряд других вопросов, таких как соблюдение требований нормативных актов, или же в прошлом они могли столкнуться с каким-то другим инцидентом, который и подталкивает их к разговору с нами; кроме того, это может быть ИТ-администратор, ориентированный на безопасность, который понимает истинную пользу и ценность наличия команды MDR на своей стороне.
Что касается тех, кто ищет MDR, лучший ответ, который я могу им дать, заключается в том, что при обнаружении угроз они видят лишь часть картины. Да, что-то могло быть обнаружено, и да, мы заявили, что остановили атаку. Но откуда она на самом деле взялась, как возникла и попала на это конкретное устройство — это то «окно», которое все еще остается открытым и с которым им нужно разобраться. Закрыть его, чтобы злоумышленник не попытался использовать другую технику для повторного проникновения в их среду.
Вы упомянули обнаружение угроз, что подводит меня к людям, стоящим за MDR: аналитикам, занимающимся реагированием, криминалистикой, отчетностью и общением с клиентами. В чем заключается ценность человеческого фактора в услуге MDR с точки зрения людей, которых она привлекает для поддержки клиента?
О, ценность человеческого фактора определенно очень важна. Это живой человек, с которым у клиента будет возможность поговорить, поработать вместе, пообщаться, переводя технические термины на язык, понятный клиенту.
Кроме того, речь идет не об одном аналитике, а о целой команде. В нашем распоряжении имеются несколько уровней служб безопасности, которые фактически находятся в распоряжении клиента, избавляя его от необходимости обучать кого-то в собственной штатной команде. ESET MDR — это не просто наличие специалиста, готового и доступного 24/7, но и возможность обратиться к нему, просто позвонить и пообщаться… получив реальный человеческий ответ по поводу активного инцидента.
Каково это — помочь клиенту в ситуации, когда он попал в неприятности, атака в разгаре, а вы спасли положение? Что вы чувствуете, когда завершаете такую работу?
Лично я считаю, что наибольшая заслуга принадлежит нашим аналитикам. Именно они находятся на передовой, останавливая эти угрозы, созваниваясь с клиентом, подробно объясняя, что произошло, и помогая разобраться, как была остановлена угроза.
Будучи руководителем группы, я считаю это потрясающим, потому что мне довелось видеть реакцию клиентов, то, насколько они довольны сервисом и насколько отчетливо они видят его ценность. Но в конечном итоге все сводится к аналитикам, особенно к аналитикам первого уровня. Всякий раз, когда они могут вмешаться и смягчить последствия угрозы, это невероятное чувство. Мы всегда стараемся признавать и поощрять это, потому что работа, которую они делают, действительно имеет значение.
Мицуюки, огромное спасибо за это интервью. Думаю, мне в какой-то момент придется похитить кого-то из ваших коллег… судя по всему, у вашей команды припасено множество историй!
Конечно, спасибо еще раз за приглашение. Рад пообщаться в любое время.
Возможно, именно в этом ценность MDR проявляется наиболее ярко. За каждым обнаружением, отчетом и ночным звонком стоят аналитики, которые помогают клиентам разобраться в происходящем, устранить уязвимости, которыми злоумышленники могут попытаться воспользоваться снова, и вернуться к работе с гораздо большей уверенностью, чем раньше.
Подробнее о том, как ESET MDR поддерживает клиентов, читайте в первой части нашей беседы с Мицуюки Сото.
Подробнее о том, как ESET MDR поддерживает клиентов, читайте в первой части нашей беседы с Мицуюки Сото.
