Störenfriede stören. Umfrage zum Thema Bedrohungssuche und Weiterentwicklung der Sicherheitskontrollzentren (SOC)

Transkript

1 Störenfriede stören Umfrage zum Thema Bedrohungssuche und Weiterentwicklung der Sicherheitskontrollzentren (SOC) evolution-soc.html

2 Bericht: Störenfriede stören Kunst oder Wissenschaft? Forschungsziel Welche empfohlenen Vorgehensweisen für die Bedrohungssuche werden derzeit in den verschiedenen Reifegraden in Unternehmen angewandt und welche werden vorhergesagt? Auswirkungen von Automatisierung, künstlicher Intelligenz und Machine Learning Konkrete Taktiken von Bedrohungsjägern, die bei grundlegenden SOC-Abläufen Anwendung finden Rolle der Sandbox-Technologie Wichtige Tools für die Bedrohungssuche Rolle der Bedrohungsdaten 2

3 Forschungsziel und Daten zur Umfrage Daten zur Umfrage 727 Interviews Daten wurden über Online-Interviews erfasst Interviews fanden im Mai 2017 statt Stichprobenquelle McAfee-Kunden aus dem Security Product Advisory Council (SPAC) Englisch sprechende Kunden aus der ganzen Welt Allgemeiner Markt der Stichprobe USA, Kanada, Großbritannien, Deutschland, Australien, Neuseeland, Singapur Voraussetzungen für Umfrageteilnehmer Unternehmen mit mehr als Mitarbeitern Teams verbringen mindestens 20 % ihrer Arbeitszeit mit Bedrohungssuchen Einsatz von Sandbox und SIEM Signifikanztest In diesem Bericht genannte Unterschiede zwischen Segmenten (z. B. in Bezug auf Unternehmensgröße oder Land) basieren auf zweiseitigen Tests mit einem Signifikanzniveau von 95 %. Wenn die Ergebnisse für ein Segment signifikant höher ausfallen als für ein anderes Segment, wurde darauf hingewiesen. Beispiel 3

4 Umfrageteilnehmer Umfassende Basis für Nordamerika, Europa und Asien Anzahl der Interviews nach Region Unternehmensgröße (basierend auf Anzahl der Mitarbeiter) 31 % 30 % % 13 % 6 % 5 % Land bis bis bis bis bis Mehr als USA Kanada Großbritannien Australien Deutschland Indien Neuseeland Singapur Andere Mittlere Unternehmen Große Unternehmen 34 % 8 % 21 % 4 % 19 % 1 % 2 % 10 % 4

5 Die Umfrageteilnehmer wurden gebeten, den Reifegrad ihres Unternehmens einzuschätzen Das vom Sicherheitstechnologie-Experten und Bedrohungsjäger David Bianco (Sqrrl) entwickelte Hunting Maturity Model (Reifegradmodell für die Bedrohungssuche) 5

6 Reifegradmodell: Unternehmen WOLLEN sich verbessern Fast die Hälfte (45 %) der befragten Unternehmen möchten in drei Jahren Reifegrad 4 erreichen. Wo steht Ihr Unternehmen heute? Wo möchten Sie gern in drei Jahren stehen? Reifegrad 0 Grundlegend 3 % Reifegrad 0 Grundlegend 1 % Reifegrad 1 Minimal 11 % Reifegrad 1 Minimal 4 % Reifegrad 2 Prozedural 32 % Reifegrad 2 Prozedural 16 % Reifegrad 3 Innovativ 40 % Reifegrad 3 Innovativ 34 % Reifegrad 4 Führend 14 % Reifegrad 4 Führend 45 % 6

7 Die Fakten: Hochentwickelte SOCs ermöglichen messbar bessere Ergebnisse Höhere Geschwindigkeit und tiefergehende Untersuchungen 71 % benötigen weniger als eine Woche 4,5 x so häufig Ursachen gefunden 45 % mehr Vorteile durch hochentwickelte Sandboxes 71 % der fortschrittlichsten SOCs schlossen Zwischenfall- Untersuchungen in weniger als einer Woche ab; in 37 % der Fälle sogar in weniger als 24 Stunden. In Unternehmen mit ausgereifteren Ansätzen war es 4,5-mal wahrscheinlicher (90 % im Vergleich zu 20 %), dass Bedrohungsjäger die Ursache finden konnten. Hochentwickelte SOCs steigern durch die Nutzung von Sandbox- Analysen den Wert um 45 %, da Zeit und Kosten gespart, Workflows verbessert und wichtige Informationen bereitgestellt werden. 7

8 Aber wie erzielen hochentwickelte SOCs diese Ergebnisse? Erkenntnisse zu möglichen Schritten und deren Automatisierung: Zusammenarbeit von Mensch und Maschine. 68 % gaben an, dass bessere Automatisierung und Prozesse für die Bedrohungssuche zu Verbesserungen führen werden. Ausgereiftere SOCs nutzen doppelt so häufig Automatisierung. Ausgereiftheit führt zu einem besseren, ausgeglichenen Mix aus Ad-hoc- und koordinierten Prozessen der richtigen Waffe für diese Aufgabe. 80 % 70 % 60 % 50 % 40 % 30 % 20 % 10 % 0 % Zu welchem Anteil ist der Prozess automatisiert? Welcher Anteil des Prozesses ist optimal für Automatisierung geeignet? Reifegrad 0/1 Reifegrad 2 Reifegrad 3 Reifegrad 4 8

9 Sie verwenden Sandbox-Analysen, um noch genauer zu suchen. Am besten ist es, wenn Sie Schwachstellentests durchführen und Bedrohungen schon im Vorfeld abfangen können. Sandbox-Analysen sind dabei hilfreich. Befragter Bedrohungsjäger, qualitative Sitzungen, McAfee-Umfrage unter Bedrohungsjägern, Mai 2017 Tool-Einsatz Komplexität der Umgebung Wenn SOCs sich weiterentwickeln, wechseln die Gründe für die Sandbox-Nutzung von der Automatisierung und Tool-Konsolidierung zu komplexen Analysen hochentwickelter Bedrohungen Durchschnittliche Anzahl von Untersuchungen mit Sandbox 42 Zunahme um 50 % 63 Ausgereiftere SOCs verwenden mehrere Sandboxes, um Bedrohungen in Dateien nicht nur erkennen, sondern auch untersuchen und validieren zu können. Entpacken des Codes 9

10 Sie verarbeiten Bedrohungsdaten-Feeds gezielt und nutzen kostenpflichtige Feeds, um Lücken zu schließen SOCs mit Reifegrad 0/1 verlassen sich 50 % mehr auf öffentliche Bedrohungsdaten-Feeds als auf alle anderen Feeds. Im Vergleich dazu bezahlen SOCs mit Reifegrad 4 doppelt so häufig für Bedrohungsdaten von Spezialisten und nutzen in 50 % mehr Fällen individuelle Feeds. Reifegrad 0/1 Reifegrad 4 Öffentliche Feeds Individuell Intern Kostenpflichtige Feeds Kostenpflichtige Feeds Individuell Intern Öffentliche Feeds

11 Anteil der Befragten Stunden Mehr Anpassungen Wie viel Zeit wenden Sie für die Suche nach Tools und das Anpassen von Tools für die Bedrohungssuche auf? 60 % % Ausgereifte SOCs verbringen 70 % mehr Zeit mit Anpassungen und nutzen Skripts und Open Source intensiver. 20 % 0 % Reifegrad 1 Reifegrad 2 Reifegrad 3 Reifegrad Weniger als 5 Stunden pro Monat 5 bis 10 Stunden pro Monat 10 bis 20 Stunden pro Monat Über 20 Stunden pro Monat Durchschnitt 11

12 Gute Bedrohungssuchen müssen nicht mit schwerer Arbeit verbunden sein, um greifbare Ergebnisse zu erhalten Für Unternehmen mit ausgereifter Bedrohungssuche gilt Folgendes: Sie identifizieren Prozesse, die automatisiert werden können. Sie nutzen vorhandene Tools, um genauer nachzuforschen. Sie setzen Bedrohungsdaten gezielt ein. Sie setzen auf Anpassungen, um bessere Erkenntnisse zu erhalten. 12

13 Halten Sie mit der Entwicklung der Sicherheitskontrollzentren Schritt! Laden Sie den Bericht, die Kurzfassung und die Infografiken hier herunter: Halten Sie sich auf dem Laufenden, indem Sie unseren alle zwei Monate erscheinenden Newsletter McAfee SIEM Insider abonnieren: Sehen Sie sich die Webcast-Aufzeichnung von Dr. Peter Stephenson, technischer Redakteur des SC Magazine, und Michael Leland von McAfee zum Thema Finding Context in Advanced Threat Hunting (Kontextsuche bei der Jagd auf hochentwickelte Bedrohungen) an. Registrieren Sie sich hier: 13

14