Výrobca z portfólia SecTec
Synapsa
Synapsa Networks poskytuje Synapsa Interconnector pre IT, SecOps a NetOps workflow automatizáciu medzi monitoringom, SIEM, ticketingom a aktívnymi bezpečnostnými prvkami.
Zameranie výrobcu
Synapsa Interconnector spája nástroje cez API, vykonáva overenia voči CTI službám a spúšťa akcie na mitigation zariadeniach bez ručného zásahu.
Platforma je relevantná najmä pre Security Operations, SOAR, Event Correlation, Incident Management Tools, Operational Intelligence a Webhooks automation.
Riešenia a produkty
Synapsa Interconnector
API interconnection platforma medzi monitoringom, SIEM, ticketingom, change managementom a aktívnymi sieťovými alebo bezpečnostnými zariadeniami.
SOAR Use Cases
Automatizácia reakcií na bezpečnostné udalosti, napríklad overenie škodlivej IP voči CTI a blokovanie na mitigácii.
NetOps Automation
Automatizácia opakovaných prevádzkových sieťových zmien a zníženie manuálnych zásahov.
Incident and Change Workflow
Prepojenie alertov, ticketingu, schvaľovania zmien a akcií v jednom automatizovanom procese.
Typické scenáre použitia
- SOC tím chce automatizovať známe a opakované reakcie bez preťažovania analytikov
- SIEM, ticketing a bezpečnostné prvky treba prepojiť cez API a workflow
- NetOps tím potrebuje znížiť manuálne zmeny a riziko chýb pri prevádzke
Pokrytie útokov a obranný kontext
MITRE ATT&CK® Enterprise verzie 19.1 používame ako referenčný model. Mapovanie je odbornou interpretáciou SecTec a neznamená schválenie alebo odporúčanie zo strany MITRE.
Praktické typy útokov
- Phishing a zneužitie identityÚtočník manipuluje používateľa, získava prihlasovacie údaje alebo zneužíva dôveryhodný účet na vstup do prostredia.
- Zneužitie verejnej aplikácie alebo APIÚtočník využíva zraniteľnú webovú aplikáciu, API, klientsky kód alebo dodávateľský komponent na prvotný prístup a vykonanie kódu.
- Kompromitácia cloudu a SaaSÚtočník zneužíva cloudové identity, oprávnenia, konfigurácie alebo aplikačné integrácie na prístup k službám a dátam.
- Pohyb útočníka v internej sietiPo prvotnom prístupe útočník objavuje systémy, účty a služby a presúva sa k hodnotnejším aktívam.
- Malware a Command and ControlŠkodlivý kód sa spúšťa, udržiava prístup a komunikuje s infraštruktúrou útočníka cez bežné alebo skryté kanály.
- Exfiltrácia a únik dátÚtočník vyhľadáva, zhromažďuje a odosiela citlivé dáta z koncových zariadení, cloudu, e-mailu alebo interných úložísk.
- Ransomware a narušenie dostupnostiÚtočník šifruje alebo manipuluje dáta, zastavuje služby, blokuje obnovu a spôsobuje prevádzkový dopad.
- Dodávateľský reťazec a dôveryhodný prístupÚtočník zneužíva dodávateľa, softvérovú závislosť, externý prístup alebo dôveryhodný vzťah na obídenie bežnej ochrany.
- Útoky na OT a IoT prostredieÚtočník objavuje priemyselné alebo pripojené zariadenia, zneužíva vzdialený prístup a sieťové služby a ohrozuje dostupnosť prevádzky.
- Prieskum a mapovanie útočnej plochyÚtočník zhromažďuje informácie o ľuďoch, systémoch, cloudových službách a verejne dostupnej infraštruktúre a hľadá vhodnú cestu k prvotnému prístupu.
- Business Email Compromise a prevzatie schránkyÚtočník prevezme alebo napodobní dôveryhodnú e-mailovú identitu a zneužije komunikáciu na podvod, zmenu platobných údajov, zber dát alebo ďalší phishing.
- Eskalácia oprávnení a perzistenciaÚtočník rozširuje oprávnenia, vytvára alebo mení účty a politiky a buduje si opakovaný prístup k systémom, identitám alebo cloudovému prostrediu.
- Insider hrozba a zneužitie oprávneného prístupuInterný používateľ alebo útočník s platným účtom zneužíva legitímne oprávnenia na vyhľadávanie, kopírovanie, manipuláciu alebo odoslanie citlivých dát.
- Shadow a zombie API bez riadeného inventáraNeznáme, zabudnuté alebo staré verzie API zostávajú dostupné bez aktuálnych kontrol, vlastníka, dokumentácie a monitorovania.
- Nebezpečné spracovanie dát z cudzieho APIAplikácia dôveruje dátam alebo presmerovaniam z partnerského API viac než bežnému vstupu a prenesie kompromitáciu dodávateľa do vlastného prostredia.
Relevantné techniky ATT&CK
- T1021 · Remote ServicesDetect, Respond
- T1041 · Exfiltration Over C2 ChannelDetect, Recover, Respond, Validate
- T1059 · Command and Scripting InterpreterDetect, Respond
- T1071 · Application Layer ProtocolDetect, Recover, Respond, Validate
- T1078 · Valid AccountsDetect, Recover, Respond, Validate
- T1098 · Account ManipulationDetect, Respond, Validate
- T1136 · Create AccountDetect, Respond, Validate
- T1190 · Exploit Public-Facing ApplicationDetect, Recover, Respond, Validate
- T1484 · Domain or Tenant Policy ModificationDetect, Respond, Validate
- T1486 · Data Encrypted for ImpactDetect, Recover, Respond, Validate
- T1526 · Cloud Service DiscoveryDetect, Respond, Validate
- T1566 · PhishingDetect, Recover, Respond, Validate
- T1578 · Modify Cloud Compute InfrastructureDetect, Respond, Validate
- T1595 · Active ScanningDetect, Respond, Validate
- T1685 · Disable or Modify ToolsDetect, Respond