Výrobca z portfólia SecTec
Kentik
Kentik je network intelligence a observability platforma pre moderné infraštruktúrne tímy, ktorá prepája sieťové toky, device telemetry, cloud, BGP, syntetické testy, DDoS, AI asistenciu a výkonové dáta.
Zameranie výrobcu
Kentik poskytuje hlbokú sieťovú viditeľnosť pre NMS, multi-cloud observability, SD-WAN monitoring, syntetické testovanie, peering/interconnection, network security and compliance, DDoS pohľad a Kentik AI/AI Advisor workflow.
Pre zákazníkov je relevantný najmä v témach Network Security, NDR, DDoS Protection, Security Visibility, Attack Surface, Cloud Event Harvesting a rýchle vyšetrovanie sieťových problémov.
Riešenia a produkty
Kentik Network Intelligence Platform
Analýza flow dát, routingu, výkonnosti, latencie, dostupnosti služieb a sieťových anomálií v jednom observability modeli.
Kentik NMS
SaaS network monitoring systém spájajúci device metrics a obohatenú flow telemetriu.
Cloud and Multi-Cloud Observability
Viditeľnosť nad AWS, Azure, Google Cloud, VPC/VNet, interconnectmi a hybridnou konektivitou.
Kentik Synthetics
Syntetické testy a path analysis pre overenie konektivity a používateľskej skúsenosti.
Network Security and Compliance / DDoS Visibility
Detekcia anomálií, DDoS visibility, compliance pohľad a podpora reakcie v hybridných sieťach.
Kentik AI / AI Advisor
AI asistované vyšetrovanie, dotazovanie nad telemetriou a odporúčania pre sieťové a bezpečnostné tímy.
Typické scenáre použitia
- poskytovateľ služieb alebo veľký enterprise potrebuje jednotnú sieťovú pravdu
- cloudová, internetová a BGP konektivita musí byť merateľná a vyšetrovaná v kontexte
- tím potrebuje rýchlo odhaliť DDoS, anomálie alebo problém v trase
Pokrytie útokov a obranný kontext
MITRE ATT&CK® Enterprise verzie 19.1 používame ako referenčný model. Mapovanie je odbornou interpretáciou SecTec a neznamená schválenie alebo odporúčanie zo strany MITRE.
Praktické typy útokov
- Phishing a zneužitie identityÚtočník manipuluje používateľa, získava prihlasovacie údaje alebo zneužíva dôveryhodný účet na vstup do prostredia.
- Krádež prihlasovacích údajovÚtočník získava heslá, tokeny, relácie alebo iný autentifikačný materiál a používa ho na rozšírenie prístupu.
- Zneužitie verejnej aplikácie alebo APIÚtočník využíva zraniteľnú webovú aplikáciu, API, klientsky kód alebo dodávateľský komponent na prvotný prístup a vykonanie kódu.
- Kompromitácia cloudu a SaaSÚtočník zneužíva cloudové identity, oprávnenia, konfigurácie alebo aplikačné integrácie na prístup k službám a dátam.
- Pohyb útočníka v internej sietiPo prvotnom prístupe útočník objavuje systémy, účty a služby a presúva sa k hodnotnejším aktívam.
- Malware a Command and ControlŠkodlivý kód sa spúšťa, udržiava prístup a komunikuje s infraštruktúrou útočníka cez bežné alebo skryté kanály.
- Ransomware a narušenie dostupnostiÚtočník šifruje alebo manipuluje dáta, zastavuje služby, blokuje obnovu a spôsobuje prevádzkový dopad.
- Dodávateľský reťazec a dôveryhodný prístupÚtočník zneužíva dodávateľa, softvérovú závislosť, externý prístup alebo dôveryhodný vzťah na obídenie bežnej ochrany.
- Útoky na OT a IoT prostredieÚtočník objavuje priemyselné alebo pripojené zariadenia, zneužíva vzdialený prístup a sieťové služby a ohrozuje dostupnosť prevádzky.
- Prieskum a mapovanie útočnej plochyÚtočník zhromažďuje informácie o ľuďoch, systémoch, cloudových službách a verejne dostupnej infraštruktúre a hľadá vhodnú cestu k prvotnému prístupu.
- Business Email Compromise a prevzatie schránkyÚtočník prevezme alebo napodobní dôveryhodnú e-mailovú identitu a zneužije komunikáciu na podvod, zmenu platobných údajov, zber dát alebo ďalší phishing.
- Eskalácia oprávnení a perzistenciaÚtočník rozširuje oprávnenia, vytvára alebo mení účty a politiky a buduje si opakovaný prístup k systémom, identitám alebo cloudovému prostrediu.
- Insider hrozba a zneužitie oprávneného prístupuInterný používateľ alebo útočník s platným účtom zneužíva legitímne oprávnenia na vyhľadávanie, kopírovanie, manipuláciu alebo odoslanie citlivých dát.
- DDoS a vyčerpanie zdrojovÚtočník zahlcuje sieť, aplikáciu, API alebo koncový systém a vyčerpáva kapacitu, spojenia alebo výpočtové zdroje s cieľom obmedziť dostupnosť služby.
- Vyčerpanie API zdrojov a nákladovÚtočník zneužíva náročné API operácie, veľké vstupy alebo platené služby a vyčerpáva CPU, pamäť, úložisko, konektivitu alebo finančný limit.
- Zneužitie citlivých business procesov a botovAutomatizovaný útočník zneužíva legitímnu funkcionalitu, napríklad nákup, rezerváciu, registráciu, hlasovanie, komentovanie alebo obnovu účtu.
- SSRF – Server-Side Request ForgeryÚtočník prinúti server alebo API načítať ním zvolenú adresu a získa prístup k interným službám, metadátam cloudu alebo chráneným sieťovým cieľom.
- Chybná konfigurácia API a exponované rozhraniaNezabezpečené predvolené nastavenia, debug endpointy, chybné CORS, detailné chyby alebo chýbajúce hlavičky sprístupnia útočníkovi dáta a funkcie.
- Shadow a zombie API bez riadeného inventáraNeznáme, zabudnuté alebo staré verzie API zostávajú dostupné bez aktuálnych kontrol, vlastníka, dokumentácie a monitorovania.
Relevantné techniky ATT&CK
- T1018 · Remote System DiscoveryDetect, Respond, Validate
- T1021 · Remote ServicesDetect, Respond, Validate
- T1040 · Network SniffingDetect, Respond, Validate
- T1046 · Network Service DiscoveryDetect, Prevent, Respond, Validate
- T1071 · Application Layer ProtocolDetect, Respond
- T1078 · Valid AccountsDetect, Respond, Validate
- T1087 · Account DiscoveryDetect, Validate
- T1090 · ProxyDetect, Respond
- T1095 · Non-Application Layer ProtocolDetect, Respond
- T1098 · Account ManipulationDetect, Respond, Validate
- T1136 · Create AccountDetect, Respond, Validate
- T1190 · Exploit Public-Facing ApplicationDetect, Prevent, Validate
- T1210 · Exploitation of Remote ServicesDetect, Respond, Validate
- T1484 · Domain or Tenant Policy ModificationDetect, Respond, Validate
- T1498 · Network Denial of ServiceDetect, Prevent, Respond
- T1499 · Endpoint Denial of ServiceDetect, Prevent, Respond
- T1526 · Cloud Service DiscoveryDetect, Respond, Validate
- T1557 · Adversary-in-the-MiddleDetect, Respond
- T1573 · Encrypted ChannelDetect, Respond
- T1578 · Modify Cloud Compute InfrastructureDetect, Respond, Validate
- T1592 · Gather Victim Host InformationDetect, Prevent, Validate
- T1595 · Active ScanningDetect, Prevent, Validate