Oblasť kybernetickej bezpečnosti
Network Security
Network Security chráni komunikáciu medzi používateľmi, aplikáciami, dátovými centrami, pobočkami, cloudom, partnermi a internetom.
Slovník skratiek
Prehľad vysvetľuje skratky použité v tejto časti, aby bolo jasné, ktorú bezpečnostnú funkciu označujú.
- NGFW
- Next-Generation FirewallFirewall novej generácie, ktorý kombinuje riadenie aplikácií, IPS, VPN, používateľský kontext a bezpečnostné funkcie.
- IDS
- Intrusion Detection SystemSystém na detekciu podozrivej alebo škodlivej sieťovej aktivity bez priameho blokovania prevádzky.
- IPS
- Intrusion Prevention SystemSystém na detekciu a aktívne blokovanie škodlivej sieťovej aktivity v dátovej ceste.
- NDR
- Network Detection and ResponseDetekcia a reakcia založená na sieťovej prevádzke, metadátach a anomáliách v komunikácii.
- VPN
- Virtual Private NetworkŠifrovaný sieťový tunel pre vzdialený prístup alebo prepojenie sietí.
- ZTNA
- Zero Trust Network AccessPrístupový model, ktorý overuje identitu, kontext a oprávnenie pred prístupom ku konkrétnej aplikácii.
- DDoS
- Distributed Denial of ServiceDistribuovaný útok na dostupnosť služby, ktorý ju zahlcuje prevádzkou alebo požiadavkami.
- CDR
- Content Disarm and ReconstructionTechnológia, ktorá odstraňuje aktívny alebo rizikový obsah zo súborov a vytvára bezpečnejšiu verziu dokumentu.
Čo táto oblasť rieši
Network Security chráni komunikáciu medzi používateľmi, aplikáciami, pobočkami, dátovými centrami, cloudom, partnermi a internetom. Sieť už nie je jednoduchý perimeter, ale súbor prepojení medzi lokálnou infraštruktúrou, SaaS službami, vzdialenými používateľmi, API rozhraniami, OT prostredím a externými partnermi.
Prečo je dôležitá
Hodnota sieťovej bezpečnosti je v kontrole toku komunikácie a v schopnosti pochopiť, čo sa v sieti deje. Firewall, IDS/IPS, NDR, VPN/ZTNA, segmentácia, DDoS ochrana, sandboxing a detekcia zero-day hrozieb riešia rôzne typy rizika. Niektoré technológie blokujú prevádzku v dátovej ceste, iné pasívne sledujú správanie a poskytujú kontext pre bezpečnostné tímy.
Ako sa v oblasti orientovať
Sieťová bezpečnosť kombinuje riadenie prístupu, segmentáciu, monitoring, detekciu anomálií a ochranu dostupnosti. Dôležité je posúdiť, či má technológia presadzovať pravidlá v dátovej ceste, pasívne analyzovať telemetriu alebo slúžiť ako analytická vrstva pre bezpečnostné tímy. V hybridnom prostredí treba počítať aj so ZTNA, cloud konektivitou, laterálnym pohybom a DDoS odolnosťou.
Základnou otázkou je, či organizácia potrebuje presadzovať pravidlá, získať viditeľnosť, chrániť dostupnosť alebo obmedziť pohyb útočníka po sieti. NGFW a segmentácia riešia riadenie komunikácie, NDR hľadá anomálie a laterálny pohyb, DDoS chráni dostupnosť služieb a VPN/ZTNA rieši bezpečný prístup používateľov a partnerov.
Zoznam technológií nižšie slúži ako mapa oblasti Network Security. Najprv je vhodné pomenovať konkrétny bezpečnostný problém, potom vybrať najbližšiu technologickú kategóriu a až následne porovnávať výrobcov. Takýto postup pomáha oddeliť podobne znejúce riešenia a znižuje riziko, že sa do architektúry pridá ďalší nástroj bez jasnej úlohy.
Technická schéma sekcie
Otázky pri výbere riešenia
- Kde sú najdôležitejšie body kontroly: perimeter, pobočky, cloud, dátové centrum alebo remote access?
- Má technológia prevádzku blokovať, analyzovať alebo iba dopĺňať viditeľnosť?
- Je potrebná ochrana dostupnosti pred DDoS alebo skôr segmentácia a detekcia laterálneho pohybu?
- Ako sa budú sieťové udalosti prepájať so SIEM, SOAR, XDR, NDR alebo cloud telemetriou?
Ako používať túto sekciu
Každá technologická stránka rozvíja samostatnú kategóriu, vysvetľuje jej miesto v architektúre a uvádza výrobcov z portfólia SecTec, ktorí s danou oblasťou súvisia. Sekčná stránka preto funguje ako vstupný bod pre orientáciu, zatiaľ čo detailné stránky pomáhajú pri konkrétnom mapovaní na riešenia.
Výrobcovia z portfólia SecTec
Pokrytie útokov a obranný kontext
MITRE ATT&CK® Enterprise verzie 19.1 používame ako referenčný model. Mapovanie je odbornou interpretáciou SecTec a neznamená schválenie alebo odporúčanie zo strany MITRE.
Praktické typy útokov
- Phishing a zneužitie identityÚtočník manipuluje používateľa, získava prihlasovacie údaje alebo zneužíva dôveryhodný účet na vstup do prostredia.
- Krádež prihlasovacích údajovÚtočník získava heslá, tokeny, relácie alebo iný autentifikačný materiál a používa ho na rozšírenie prístupu.
- Zneužitie verejnej aplikácie alebo APIÚtočník využíva zraniteľnú webovú aplikáciu, API, klientsky kód alebo dodávateľský komponent na prvotný prístup a vykonanie kódu.
- Kompromitácia cloudu a SaaSÚtočník zneužíva cloudové identity, oprávnenia, konfigurácie alebo aplikačné integrácie na prístup k službám a dátam.
- Pohyb útočníka v internej sietiPo prvotnom prístupe útočník objavuje systémy, účty a služby a presúva sa k hodnotnejším aktívam.
- Malware a Command and ControlŠkodlivý kód sa spúšťa, udržiava prístup a komunikuje s infraštruktúrou útočníka cez bežné alebo skryté kanály.
- Ransomware a narušenie dostupnostiÚtočník šifruje alebo manipuluje dáta, zastavuje služby, blokuje obnovu a spôsobuje prevádzkový dopad.
- Dodávateľský reťazec a dôveryhodný prístupÚtočník zneužíva dodávateľa, softvérovú závislosť, externý prístup alebo dôveryhodný vzťah na obídenie bežnej ochrany.
- Útoky na OT a IoT prostredieÚtočník objavuje priemyselné alebo pripojené zariadenia, zneužíva vzdialený prístup a sieťové služby a ohrozuje dostupnosť prevádzky.
- Prieskum a mapovanie útočnej plochyÚtočník zhromažďuje informácie o ľuďoch, systémoch, cloudových službách a verejne dostupnej infraštruktúre a hľadá vhodnú cestu k prvotnému prístupu.
- Business Email Compromise a prevzatie schránkyÚtočník prevezme alebo napodobní dôveryhodnú e-mailovú identitu a zneužije komunikáciu na podvod, zmenu platobných údajov, zber dát alebo ďalší phishing.
- Eskalácia oprávnení a perzistenciaÚtočník rozširuje oprávnenia, vytvára alebo mení účty a politiky a buduje si opakovaný prístup k systémom, identitám alebo cloudovému prostrediu.
- Obchádzanie ochrany a oslabovanie kontrolÚtočník skrýva aktivitu, odstraňuje stopy, maskuje kód alebo oslabuje bezpečnostné nástroje, šifrovanie, firewall a mechanizmy obnovy.
- Insider hrozba a zneužitie oprávneného prístupuInterný používateľ alebo útočník s platným účtom zneužíva legitímne oprávnenia na vyhľadávanie, kopírovanie, manipuláciu alebo odoslanie citlivých dát.
- DDoS a vyčerpanie zdrojovÚtočník zahlcuje sieť, aplikáciu, API alebo koncový systém a vyčerpáva kapacitu, spojenia alebo výpočtové zdroje s cieľom obmedziť dostupnosť služby.
- Vyčerpanie API zdrojov a nákladovÚtočník zneužíva náročné API operácie, veľké vstupy alebo platené služby a vyčerpáva CPU, pamäť, úložisko, konektivitu alebo finančný limit.
- Zneužitie citlivých business procesov a botovAutomatizovaný útočník zneužíva legitímnu funkcionalitu, napríklad nákup, rezerváciu, registráciu, hlasovanie, komentovanie alebo obnovu účtu.
- SSRF – Server-Side Request ForgeryÚtočník prinúti server alebo API načítať ním zvolenú adresu a získa prístup k interným službám, metadátam cloudu alebo chráneným sieťovým cieľom.
- Shadow a zombie API bez riadeného inventáraNeznáme, zabudnuté alebo staré verzie API zostávajú dostupné bez aktuálnych kontrol, vlastníka, dokumentácie a monitorovania.
- Credential stuffing a password sprayingÚtočník automatizovane skúša uniknuté dvojice mena a hesla alebo malé množstvo bežných hesiel proti veľkému počtu účtov.
- Injection a vykonanie príkazuNedôveryhodný vstup zmení význam príkazu, dotazu alebo šablóny a umožní čítanie dát, obídenie logiky alebo vykonanie kódu.
- Škodlivý upload a nebezpečná deserializáciaAplikácia prijme alebo spracuje škodlivý súbor či serializovaný objekt a umožní vykonanie kódu, obídenie kontrol alebo kompromitáciu ďalších používateľov.
Relevantné techniky ATT&CK
- T1018 · Remote System DiscoveryDetect, Respond
- T1021 · Remote ServicesDetect, Prevent, Respond
- T1027 · Obfuscated Files or InformationDetect, Prevent, Validate
- T1040 · Network SniffingDetect, Respond
- T1046 · Network Service DiscoveryDetect, Prevent, Respond
- T1059 · Command and Scripting InterpreterDetect, Prevent, Validate
- T1071 · Application Layer ProtocolDetect, Prevent, Respond
- T1078 · Valid AccountsDetect, Prevent
- T1090 · ProxyDetect, Respond
- T1095 · Non-Application Layer ProtocolDetect, Prevent, Respond
- T1105 · Ingress Tool TransferDetect, Prevent, Respond, Validate
- T1133 · External Remote ServicesDetect, Prevent
- T1189 · Drive-by CompromiseDetect, Prevent, Validate
- T1190 · Exploit Public-Facing ApplicationDetect, Prevent, Respond, Validate
- T1204 · User ExecutionDetect, Prevent, Validate
- T1210 · Exploitation of Remote ServicesDetect, Prevent, Respond
- T1498 · Network Denial of ServiceDetect, Prevent, Respond
- T1499 · Endpoint Denial of ServiceDetect, Prevent, Respond
- T1550 · Use Alternate Authentication MaterialDetect, Prevent
- T1557 · Adversary-in-the-MiddleDetect, Respond
- T1573 · Encrypted ChannelDetect, Respond
- T1686 · Disable or Modify System FirewallDetect, Prevent, Respond