تحديد موضع خلاصات التهديدات وIPS وEDR وSIEM بشكل صحيح

لا يعد موجز التهديدات بديلاً عن سياسات IPS أو EDR أو أمان DNS أو WAF أو SIEM أو جدار الحماية النظيف. إنها تؤدي مهمة مختلفة: إعداد البنية التحتية النشطة المعروفة حتى تتمكن وظائف الإنفاذ الحالية من استخدامها في وقت مبكر في المحيط.

القيمة ليست في اكتشاف كل أسلوب هجوم. تكمن القيمة في إزالة البنية التحتية للمهاجم المتكررة والتي تمت ملاحظتها بالفعل من تدفق حركة المرور العادي في وقت سابق.

ما هو الدور الذي تلعبه خلاصة التهديد

إن موجز تهديدات جدار الحماية عبارة عن طبقة سمعة وتصفية مسبقة. فهو يوفر عناوين IP أو المجالات أو عناوين URL التي تم تقييمها من إشارات متعددة باعتبارها ذات صلة بسياسات الإنتاج. يمكن لجدار الحماية بعد ذلك استرداد هذه المؤشرات من خلال وظائف القائمة الأصلية واستخدامها في القواعد.

تشمل حالات الاستخدام النموذجية ما يلي:

• تقليل الماسحات الضوئية المعروفة والبنية التحتية لشبكة الروبوتات في وقت سابق
• حظر أو تسجيل البنية التحتية للأوامر والتحكم أو التصيد الاحتيالي أو البرامج الضارة
• تقليل الضوضاء المحيطة المتكررة قبل التحكم في المصب
• تزويد سياسات جدار الحماية الحالية بمزيد من المعلومات المتعلقة بالتهديدات الحالية

هذا لا يحول جدار الحماية إلى نظام كشف كامل. فهو يوفر لجدار الحماية بيانات قرار أفضل ومحدثة باستمرار.

ما الذي لا تزال تفعله IPS وEDR وSIEM

تعمل IPS وEDR وSIEM على طبقات أخرى. فهي تكتشف أنماط الاستغلال، أو سلوك العملية، أو نشاط نقطة النهاية، أو ارتباط السجل، أو الحالات الشاذة، أو تقنيات الهجوم الملموسة. تظل عناصر التحكم هذه مهمة، خاصة بالنسبة للهجمات الجديدة أو المستهدفة أو التي لم يتم ملاحظتها بعد.

يكمل Cybora هذه الطبقات:

• ترى IPS وWAF عددًا أقل من الزيارات المتكررة المعروفة عندما يتم تقليل بعض حركة المرور في وقت سابق.
• يظل EDR مسؤولاً عن سلوك نقطة النهاية والتنفيذ والحركة الجانبية.
• يحتفظ كل من SIEM والتسجيل بدورهما في الارتباط والتتبع والاستجابة للحوادث.
• يظل DNS وأمن الويب ملائمين للمستخدم والمتصفح وسياق التطبيق.

وبالتالي فإن موجز التهديد ليس منافسًا لهذه الأنظمة. فهو يقلل من البنية التحتية المعروفة حيث يمكن لجدار الحماية اتخاذ القرارات بالفعل.

كيف يبدو التنفيذ الجيد

يتم التحكم في التنفيذ الجيد والتحقق منه. لا ينبغي للمسؤولين تنشيط القائمة بشكل أعمى ويأملون أن يكون كل شيء مناسبًا. يعد الطرح خطوة بخطوة مفيدًا:

1. استرجع عنوان URL للخلاصة وتحقق من حالة HTTP.
2. تحقق من الاستيراد وقائمة السكان على جدار الحماية.
3. قم بالإشارة إلى الخلاصة أولاً في سياسة محددة النطاق بوضوح.
4. مراقبة التسجيل والمطابقات لفترة ذات معنى.
5. في حالة حدوث مشكلات، قم بالتمييز بين التنسيق والاستقصاء والترخيص والسياسة والإيجابية الخاطئة.

تم توثيق تفاصيل هذه العملية في التحقق من الصحة واستكشاف الأخطاء وإصلاحها.

ما لم يعد عمدا

لا توجد خلاصة تمنع كل هجوم. لا يمكن تقييم البنية التحتية الجديدة أو الحملات شديدة الاستهداف أو الهجمات التي ليس لها نشاط يمكن ملاحظته مسبقًا إلا بمجرد وجود الإشارات. يجب أيضًا التعامل مع البنية التحتية الشرعية بحذر لأن الاستضافة المشتركة والمنصات السحابية وشبكات CDN وخدمات SaaS يمكن أن تسبب أضرارًا جانبية.

وبالتالي، لا يقوم Cybora بتحسين الحد الأقصى لحجم القائمة، ولكن من أجل التنظيم الجاهز لجدار الحماية. تم توثيق المزيد حول تقييم المخاطر التشغيلية في ثقة السياسة.