Výrobca z portfólia SecTec
OctoXLabs
OctoXLabs je platforma pre Asset Intelligence a CAASM, dostupná ako on-premise aj cloudové riešenie, ktorá poskytuje kontextový pohľad na digitálne aktíva.
Zameranie výrobcu
OctoXLabs využíva agentless architektúru a viac ako 600 integrácií na prepojenie údajov z existujúcich IT a bezpečnostných riešení do jednotnej platformy. Vytvára centralizovaný Asset Inventory naprieč zariadeniami, používateľmi, aplikáciami, cloudovými službami a ďalšími digitálnymi aktívami.
V oblasti Cyber Asset Attack Surface Management pomáha identifikovať neznáme aktíva, Shadow IT, nesprávne konfigurácie a bezpečnostné medzery. Zároveň koreluje údaje o aktívach, zraniteľnostiach a prevádzkovom kontexte, aby organizácia vedela efektívnejšie prioritizovať riziká.
Pri orientácii v technológiách patrí najmä do Exposure, Attack Surface, Security Visibility, Vulnerability Scanners, Asset Discovery, Cloud Posture/Audit a SOAR/workflow automatizácie.
Riešenia a produkty
Asset Intelligence Console
Jednotná konzola pre centralizovaný prehľad o zariadeniach, používateľoch, aplikáciách, cloudových službách a ďalších digitálnych aktívach.
Users & Devices
Korelácia údajov z identitných, endpointových, cloudových a ďalších systémov pre presný pohľad na používateľov, endpointy, servery a cloudové zdroje.
Application Inventory & License Management
Prehľad používaných aplikácií, verzií, vlastníkov a využívania doplnený o správu softvérových licencií.
Action Center
Automatizácia bezpečnostných a prevádzkových workflow cez integrácie s existujúcimi IT a bezpečnostnými nástrojmi.
Vulnerability Management
Korelácia aktív a zraniteľností pre prioritizáciu najkritickejších medzier a riadenie procesu nápravy.
Typické scenáre použitia
- organizácia nevie presne, aké aktíva a identity má v prostredí
- bezpečnostný tím potrebuje zjednotiť dáta zo scannerov, EDR, IAM, CMDB a cloudov
- zákazník chce merať a znižovať attack surface podľa reálneho inventára
Pokrytie útokov a obranný kontext
MITRE ATT&CK® Enterprise verzie 19.1 používame ako referenčný model. Mapovanie je odbornou interpretáciou SecTec a neznamená schválenie alebo odporúčanie zo strany MITRE.
Praktické typy útokov
- Phishing a zneužitie identityÚtočník manipuluje používateľa, získava prihlasovacie údaje alebo zneužíva dôveryhodný účet na vstup do prostredia.
- Zneužitie verejnej aplikácie alebo APIÚtočník využíva zraniteľnú webovú aplikáciu, API, klientsky kód alebo dodávateľský komponent na prvotný prístup a vykonanie kódu.
- Kompromitácia cloudu a SaaSÚtočník zneužíva cloudové identity, oprávnenia, konfigurácie alebo aplikačné integrácie na prístup k službám a dátam.
- Pohyb útočníka v internej sietiPo prvotnom prístupe útočník objavuje systémy, účty a služby a presúva sa k hodnotnejším aktívam.
- Malware a Command and ControlŠkodlivý kód sa spúšťa, udržiava prístup a komunikuje s infraštruktúrou útočníka cez bežné alebo skryté kanály.
- Exfiltrácia a únik dátÚtočník vyhľadáva, zhromažďuje a odosiela citlivé dáta z koncových zariadení, cloudu, e-mailu alebo interných úložísk.
- Ransomware a narušenie dostupnostiÚtočník šifruje alebo manipuluje dáta, zastavuje služby, blokuje obnovu a spôsobuje prevádzkový dopad.
- Dodávateľský reťazec a dôveryhodný prístupÚtočník zneužíva dodávateľa, softvérovú závislosť, externý prístup alebo dôveryhodný vzťah na obídenie bežnej ochrany.
- Útoky na OT a IoT prostredieÚtočník objavuje priemyselné alebo pripojené zariadenia, zneužíva vzdialený prístup a sieťové služby a ohrozuje dostupnosť prevádzky.
- Prieskum a mapovanie útočnej plochyÚtočník zhromažďuje informácie o ľuďoch, systémoch, cloudových službách a verejne dostupnej infraštruktúre a hľadá vhodnú cestu k prvotnému prístupu.
- Business Email Compromise a prevzatie schránkyÚtočník prevezme alebo napodobní dôveryhodnú e-mailovú identitu a zneužije komunikáciu na podvod, zmenu platobných údajov, zber dát alebo ďalší phishing.
- Eskalácia oprávnení a perzistenciaÚtočník rozširuje oprávnenia, vytvára alebo mení účty a politiky a buduje si opakovaný prístup k systémom, identitám alebo cloudovému prostrediu.
- Insider hrozba a zneužitie oprávneného prístupuInterný používateľ alebo útočník s platným účtom zneužíva legitímne oprávnenia na vyhľadávanie, kopírovanie, manipuláciu alebo odoslanie citlivých dát.
- BFLA – narušená autorizácia na úrovni funkcieBežný alebo neprihlásený používateľ zavolá administrátorskú či privilegovanú API funkciu, ku ktorej nemá mať prístup.
- Zneužitie citlivých business procesov a botovAutomatizovaný útočník zneužíva legitímnu funkcionalitu, napríklad nákup, rezerváciu, registráciu, hlasovanie, komentovanie alebo obnovu účtu.
- Chybná konfigurácia API a exponované rozhraniaNezabezpečené predvolené nastavenia, debug endpointy, chybné CORS, detailné chyby alebo chýbajúce hlavičky sprístupnia útočníkovi dáta a funkcie.
- Shadow a zombie API bez riadeného inventáraNeznáme, zabudnuté alebo staré verzie API zostávajú dostupné bez aktuálnych kontrol, vlastníka, dokumentácie a monitorovania.
Relevantné techniky ATT&CK
- T1018 · Remote System DiscoveryDetect, Validate
- T1021 · Remote ServicesDetect, Respond, Validate
- T1040 · Network SniffingDetect, Validate
- T1041 · Exfiltration Over C2 ChannelDetect, Recover, Respond
- T1046 · Network Service DiscoveryDetect, Prevent, Validate
- T1059 · Command and Scripting InterpreterDetect, Respond
- T1069 · Permission Groups DiscoveryDetect, Prevent, Respond
- T1071 · Application Layer ProtocolDetect, Recover, Respond
- T1078 · Valid AccountsDetect, Prevent, Recover, Respond, Validate
- T1087 · Account DiscoveryDetect, Validate
- T1098 · Account ManipulationDetect, Prevent, Respond, Validate
- T1136 · Create AccountDetect, Prevent, Respond
- T1190 · Exploit Public-Facing ApplicationDetect, Prevent, Recover, Respond, Validate
- T1210 · Exploitation of Remote ServicesDetect, Validate
- T1484 · Domain or Tenant Policy ModificationDetect, Prevent, Respond, Validate
- T1486 · Data Encrypted for ImpactDetect, Recover, Respond
- T1566 · PhishingRecover, Respond
- T1578 · Modify Cloud Compute InfrastructureDetect, Prevent, Validate
- T1580 · Cloud Infrastructure DiscoveryDetect, Prevent, Validate
- T1592 · Gather Victim Host InformationDetect, Prevent, Validate
- T1595 · Active ScanningDetect, Prevent, Validate
- T1685 · Disable or Modify ToolsDetect, Prevent, Respond, Validate