Un aperçu de l’impressionnante plateforme de simulation de violations et d’attaques de NetSPI

Dans cette interview d’Assistance Internet Security, Scott Sutherland, vice-président de la recherche chez NetSPI, se penche sur les subtilités de leur plateforme de simulation de violations et d’attaques (BAS) et explique comment elle offre des fonctions distinctes – des procédures personnalisables aux procédures sophistiquées. jeux– qui aident les organisations à maximiser leur retour sur investissement.

Cette interview explore également la fonction vitale des indicateurs de performance clés (KPI) dans le suivi de l’efficacité des mesures de sécurité. Il nous offre un aperçu des tableaux de bord en temps réel de NetSPI, conçus pour modifier la manière dont les spécialistes de la sécurité interagissent avec les données.

Pouvez-vous fournir un résumé de haut niveau de la plateforme de simulation de violations et d’attaques de NetSPI ? et qu’est-ce qui le rend unique ?

Nous proposons une plate-forme centrale de contrôle des enquêteurs qui permet aux organisations de produire et d’effectuer des traitements personnalisés en utilisant une innovation spécialement conçue et des testeurs humains experts. Simulez des comportements d’attaque réels, pas seulement des IOC, et mettez vos enquêteurs à l’épreuve d’une manière qu’aucune autre organisation ne peut faire.

Pouvez-vous expliquer comment les entreprises peuvent envisager le retour sur investissement via la plate-forme NetSPI ?

Les solutions de simulation de violations et d’attaques devraient contribuer à générer un retour sur investissement de différentes manières :

• Les options de licence doivent fournir des informations sur les lacunes de votre enquêteur et du contrôle préventif afin que vous puissiez faire des options intelligentes. sur où investir votre argent en matière de sécurité. Cela devrait inclure des rapports ponctuels et des heures supplémentaires pour valider ou confirmer les investissements financiers de manière significative. Cela devrait inclure des visualisations révélant comment les investissements financiers dans de nouvelles sources de données peuvent augmenter la couverture des alertes pour les comportements d’attaque typiques. Un autre exemple serait d’imaginer l’augmentation de la protection des directives de détection résultant de l’ajout d’un autre ingénieur de détection.
• L’embauche, la formation et l’éducation des équipes pentest et SOC peuvent nécessiter du temps et de l’argent. La plupart des outils de licence doivent consister en du matériel pédagogique que vos groupes peuvent utiliser pour comprendre comment exécuter et trouver les habitudes d’attaque courantes au sein de l’application. Cela peut permettre d’économiser du temps et de l’argent à long terme.
• Il existe des centaines, voire des milliers, d’outils de piratage. Les examiner, les installer et les exécuter pour imiter les dernières habitudes néfastes peut être long et dangereux si les systèmes sont bien mieux compris. Les solutions de niveau licence peuvent alléger cette tâche de votre groupe afin qu’il puisse se concentrer sur le travail de simulation, d’ingénierie de détection et de validation/réglage des contrôles.
• Le suivi des modèles moyens de ransomware peut aider les gens à estimer le coût possible d’un rançongiciel moyen. les occurrences de ransomware que les solutions BAS sont conçues pour aider à prévenir et à détecter.

Comment la plateforme permet-elle aux organisations de créer, de configurer et d’exécuter des procédures personnalisées ? Pourriez-vous nous expliquer un cas d’utilisation normal ?

La plateforme NetSPI BAS fournit de nombreuses fonctions de personnalisation pour satisfaire les cas d’utilisation quotidiens.

Les jeux peuvent être utilisés dans la plateforme pour automatiser l’exécution des comportements attendus et des traitements utilisés par les adversaires du monde réel. Tous ont des options de modification.

Jeux avancés offrent aux utilisateurs une flexibilité supplémentaire, donc s’ils peuvent en rêver, ils peuvent le faire. Les charges de lecture avancées offrent aux utilisateurs les méthodes nécessaires pour effectuer de nombreuses choses, notamment, mais sans s’y limiter, supprimer des charges utiles, exécuter des commandes arbitraires, exécuter du code approximatif et même rejouer les captures de paquets via des représentants déployés.

Playbooks permettent aux utilisateurs d’effectuer des jeux dans l’ordre de leur choix. Cela leur permettra de simuler des TTP pour une étoile de danger particulière ou de mettre en œuvre les habitudes nécessaires à leurs cas d’utilisation de groupe violet ou rouge.

Quelles habitudes d’attaque réelles peuvent être simulées à l’aide de la plate-forme NetSPI ?

Nous avons en fait passé beaucoup de temps à enquêter sur les procédures d’attaque des acteurs malveillants à chaque étape de la chaîne MITRE ATT&CK Eliminate et d’autres structures. Nous avons en fait tiré les leçons découvertes et les avons exploitées pour nous concentrer sur le développement des procédures et des jeux que nous mettons dans la plateforme afin qu’ils soient plus importants pour nos clients. En conséquence, nos clients peuvent reproduire une myriade d’habitudes réelles des acteurs du risque et les aider à se préparer à la prochaine vague de groupes de hackers qui utiliseront probablement certains des mêmes « hackers » que leurs prédécesseurs.

Pourriez-vous discuter du rôle des KPI dans le suivi et l’évolution de l’efficacité des contrôles de sécurité ?

De nombreux groupes SOC s’appuient grandement sur leur temps d’action moyen comme l’un de leurs principaux KPI. Néanmoins, ils ne mesurent pas si leur pile d’innovation fournit la couverture de surveillance/alerte nécessaire pour découvrir les comportements nuisibles de base dans leur environnement. Dans la plupart des cas, le groupe de réponse peut être aussi efficace que les signaux de son tableau de bord. Ainsi, l’un de leurs KPI doit être connecté à la question « Les informations idéales apparaissent-elles ? ». Faute de savoir quels doivent être ces critères, de nombreuses entreprises finissent par faire confiance sans réserve à leurs fournisseurs de sécurité, sans aucune reconnaissance. Les options BAS devraient avoir la capacité d’offrir des mesures significatives pour suivre si des comportements nuisibles typiques parviennent à vos tableaux de bord IR.

Que vous suiviez la couverture internationale ou le niveau de protection fourni par vos fournisseurs, nous vous recommandons de vous concentrer sur sur les éléments suivants :

1. Variété de protection des TTP courants par étape MITRE ATT&CK progressivement, non seulement au niveau de la stratégie, mais au niveau de la procédure. Suivez les niveaux de journalisation, de signalisation, d’évitement et de réponse de chaque traitement.
2. Nombre de TTP typiques généralement liés aux ransomwares avec le temps, non seulement au niveau de la stratégie, mais au niveau du traitement. Suivez également les niveaux de tickets de journalisation, d’alerte, de prévention et de réponse de chaque procédure.
3. La variété de nouveaux traitements présentés dans le temps sur la base de l’intelligence des dangers.

Pouvez-vous examiner le contrôle en temps réel des panneaux ? Quels types de détails fournissent-ils et dans quelle mesure ces informations sont-elles exploitables pour les experts en sécurité ?

La plateforme vous offre la possibilité de développer des opérations qui peuvent être organisées par système, région, système d’organisation, etc. Les rapports peuvent s’étendre à ces opérations pour fournir une vue à un moment donné de l’endroit où se trouve votre couverture de détection aujourd’hui et de la manière dont elle s’est améliorée au fil du temps. Nous ajoutons également des fiches de rapport des fournisseurs qui seront publiées plus tard dans l’année afin que vous puissiez approfondir l’efficacité de vos investissements en matière de fournisseurs de sécurité.

Quels conseils donneriez-vous aux entreprises qui envisagent de porter intégrer la simulation de violation et d’attaque dans leur posture de sécurité ?

Assurez-vous de bien comprendre ce que vous essayez de laisser à nos services de simulation de violations et d’attaques et abordez votre discussion avec le fournisseur avec une liste détaillée d’exigences que vous pouvez respecter. Cela contribuera à garantir le positionnement et à obtenir ce dont vous avez besoin du service ou du produit.

Vous trouverez ci-dessous quelques-uns des objectifs typiques dont nous discutons avec les clients :

• Nous voulons comprendre où nos espaces de détection nous permettent de faire de meilleurs choix lorsque nous investissons dans le personnel et les fournisseurs de sécurité.
• Nous voulons comprendre le degré de couverture de détection/prévention dont nous disposons pour nos catégories de propriétés de base, nos régions et nos unités commerciales.
• Nous souhaitons aider à informer et permettre à notre groupe interne d’ingénierie de détection des rouges, des violets et des détections via le TTP intégré à l’application.
• Nous souhaitons des KPI bien meilleurs et plus significatifs pour permettre et responsabiliser notre SOC.
• Nous voulons une bien meilleure méthode pour évaluer nos fournisseurs de sécurité.
• Nous souhaitons effectuer une validation de contrôle continu pour les contrôles de détection/préventifs que nous avons déjà.
• li>