تیم آبی به ما اجازه می دهد تا حملات هدفمندی را که توسط ابزارها و نرم افزارهای امنیتی رایج شناسایی نمی شوند، شناسایی کنیم. شکار تهدید یک فرآیند در حال تکامل است، نه یک فناوری. ما دانش کاملی از حملات در دنیای واقعی و تکنیک های نفوذ داریم. ما روش های مهاجمان را تشریح می کنیم تا بتوانیم آنها را مستقل از ابزارهای مورد استفاده برای انجام آنها شناسایی کنیم. علاوه بر این، میتوانیم از دادههای بهدستآمده در راستای اطلاعات تهدید و CTI (هوش تهدید سایبری) استفاده کنیم.
- ما میدانیم که چگونه به طور مؤثر علائم حمله و حضور یک متجاوز را در زیرساخت یک سازمان تشخیص دهیم. این کار را میتوان توسط یک شکارچی تهدید انجام داد که یک نرمافزار اختصاصی (مانند HoneyPot) اجرا میکند یا ترافیک DNS و گزارشهای ورودی را در یک شبکه بهدنبال فعالیتهای مخرب نظارت میکند.
- تجزیه و تحلیل آنتروپی درخواست های مختلف DNS و مقایسه دامنه ها با نشانگرهای حمله یا (IoC) دریافتی از هوش تهدید و … از طرفی تحلیل log در این مورد محدود به نظارت بر رویدادهای سیستم نیست، بلکه به معنای تجزیه و تحلیل عمیق در فرآیندها و توسط آن است. بررسی ارتباط فرآیندها با بسیاری از منابع، که می تواند نشان دهنده به خطر افتادن یکپارچگی باشد.
- حفاظت فعال باید از تست های امنیتی موجود و اقدامات برای شناسایی نقاط ضعف و اجرای کامل ممیزی های امنیتی و همچنین ارزیابی آسیب پذیری های موجود از طریق خدمات تست نفوذ به عنوان مکمل استفاده کند. موارد جدیدتر مانند: ارزیابیهای امنیت ابری و مهندسی اجتماعی و شبیهسازیهای تیم قرمز برای ایجاد حفاظت فعال خاصتر خواهند بود.
- ارزیابیهای امنیتی مبتنی بر کشف آسیبپذیری فعال، شکل دیگری از حفاظت فعال است، به این معنی که تیم آبی باید همیشه گزارشهای سیستم را در مورد آسیبپذیریهای منتشر شده بهروزرسانی کند.
- شناسایی فعال بدین معنی است که کارشناس تیم آبی بر اساس اکتشافات مخازن رویدادها بهصورت دستی اقدام به طراحی امضا های فعال در خصوص فایل های مخرب کرده و مخازن امضای مکانیزم های شناسایی کننده را همواره بروز رسانی نماید.
- شناسایی فعال به ارتباطات و بهرهبرداری هایی که از پروتکل ها می شود هم نظارت دارد و اگر تکنیک های Exfiltration موجود در مستندات MITRE ATT&CK توسط کارشناسان مشاهده شود سریعا اقدام به رهگیری و داده کاوی ارتباط کرده و در صورت نا معتبر بودن ارتباط را از بین خواهند برد. این امر همواره یکی از مؤثر ترین روش های شکار تهدیدات بوده و داده های تراکنش شده مبهم را براحتی نمایان میسازد.
- گزارش فعال یکی از عوامل مؤثر در رصد های دقیق و کامل مبحث گردآوری خوشه رویداد ها میباشد که میتوان در خصوص هر یک از سرویس های تحت شبکه، Endpoint، روترها، فایروال ها و غیره… از آن استفاده کرد. این رویدادها از طریق یک مدیریت یکپارچه بواسطه موتورهای جستجوگری مانند Elasticsearch قابل پالایش میباشند.
- در راستای تولید هوشمند پیامهای اضطراری میتوان از محصولاتی مانند Splunk که یک پویشگر امضاء های امنیتی است استفاده کرد، همچنین از پتانسیل های سیستم عامل، مانند Event Tracing Windows که یک ماژول در سطح کرنل است میتوان استفاده کرد تا تمامی رخدادهای سیستم عامل را ضبط و گرد آوری نمود.
معماری و مهندسی امنیت
ارزیابی بلوغ مستقل برنامه، امنیت سایبری سازمان شما را در چهار زمینه اصلی فراهم می کند: حاکمیت امنیت، معماری امنیتی، دفاع سایبری و مدیریت ریسک امنیتی. ما پس از تجزیه و تحلیل عمیق برنامه فعلی شما، بر اساس مشخصات خطر پذیری خاص و سطح بلوغ امنیتی بهترین توصیه های عملی را برای بهبود وضعیت امنیتی شما ارائه می دهیم. نیاز سنجی و ارزیابی میدانی سازمان شما، نقشه طراحی معماری و مهندسی امنیت سایبری، طبق سطح خدمات و مراودات ارتباطی تایین خواهد شد.
مدیریت ریسک سایبری
برنامه مدیریت ریسک سایبری موجود را از نظر نقاط قوت و ضعف امنیتی ارزیابی کنید. خطرات سایبری مربوط به سازمان خود را شناسایی و رویکرد تجاری خود را برای مدیریت ریسک اینترنتی و تصمیم گیری مؤثر و کاهش ریسک پیش بینی کنید. دستورالعمل های مناسبی در خصوص واکنش های سریع در راستای مدیریت ریسک تعریف کرده و سعی بر سخت کردن فضای سایبری کنید. متخصصان ما این یافته ها را می گیرند تا نقایص برنامه را شناسایی کنند و به نوبه خود توصیه های عملی، فنی، استراتژیک و اولویت بندی شده را برای ایجاد یا بهبود برنامه مدیریت ریسک سایبری شما و دستیابی به یک وضعیت امنیتی بالغ و در نهایت کاهش خطرات آینده و سطح تأثیر آنها بر تجارت شما تهیه کنند.
امنیت فضای ابری
تکنیک های امنیتی و سخت افزاری موجود خود را برای محبوب ترین دارایی های مبتنی بر فضای ابر از جمله Microsoft Office 365 ،Microsoft Azure ،Amazon Web Services و Google Cloud Platform ارزیابی کنید. تهدیدها و کنترل های امنیتی مربوط به محیط ابری خود را درک کنید. توانایی خود را در شناسایی، بررسی و پاسخ به فعالیت مهاجم در تمام مراحل چرخه حیات حمله نشان دهید. پیکربندی و کنترل های امنیتی که به طور مداوم اجرا می شوند و نقاط ضعف بالقوه را شناسایی می کنند را بررسی کنید همچنین از گزارش دهی که شامل توصیه های دقیق عملی برای سخت کردن فضای ابری، افزایش دید و شناسایی و بهبود فرایندها است، برای کاهش خطر احتمالی استفاده کنید.
اطلاعات متن باز
ما با استفاده از OSINT (Open-Source Intelligence) اطلاعات قابل توجهی درباره سازمان هدف در اینترنت جمعآوری می کنیم. از اطلاعات به دست آمده می توان برای شناسایی دارایی های آسیب پذیر و نقاط ضعفی که تهدید کنندگان هدف قرار می دهند، استفاده کرد. اطلاعات بازیابی شده با استفاده از تکنیک های OSINT، شامل جزئیاتی درباره کارمندان، ساختار سازمان، دارایی های فیزیکی، زیرساخت IT و موارد دیگر است.
اطلاعات امنیتی و مدیریت رویدادها
از CTI برای بروزرسانی مداوم اطلاعات از منبع خارجی در مورد یک سازمان معین استفاده می شود. این خدمات از دو قسمت اصلی تشکیل شده است: اطلاعات مربوط به تیم های امنیتی و IOC (شاخص سازش) که بیشتر برای داده کاوی خودکار داده ها به منظور نظارت داخلی با سیستم های SIEM ،IPS (سیستم پیشگیری از نفوذ) یا IDS / NIDS / HIDS (سیستم تشخیص نفوذ ، شبکه) انجام میشود. سادهترین مثال برای چنین داده کاوی ای، میتواند کسب اطلاعات آدرس های IP از شبکه honeypot مورد استفاده توسط مهاجمان یا تشخیص تغییرات پورت های باز در زیرساخت های شرکت باشد. ما از یک نرمافزار اختصاصی استفاده می کنیم که بسته به نیاز مشتری به طور خودکار به دنبال تهدیدات احتمالی است. ما از نظارت بر زیرساخت با داده های CTI که به ما امکان شناسایی حملات هدفمند به طور مداوم میدهد پشتیبانی می کنیم.
