SekciaSecurity Operations
Technologická kategória
Incident Management Tools
Incident Management Tools patrí do oblasti Security Operations. Incident Management Tools pomáhajú riadiť životný cyklus incidentu od detekcie cez eskaláciu, vyšetrovanie, komunikáciu až po uzatvorenie a lessons learned.
Čo technológia rieši
Incident Management Tools pomáhajú riadiť životný cyklus incidentu od detekcie cez eskaláciu, vyšetrovanie, komunikáciu až po uzatvorenie a lessons learned.
Prečo je dôležitá
Dôležitá je evidencia rozhodnutí, zodpovedností, časovej osi a nadväznosti na ticketing alebo SOAR.
V praxi nejde iba o technickú funkciu, ale o schopnosť zaradiť riešenie do širšej bezpečnostnej architektúry. Organizácie často prevádzkujú desiatky konzol a nástrojov, pričom problémom nie je len samotná bezpečnosť, ale aj orientácia v tom, ktorá technológia rieši konkrétny typ rizika.
Táto kategória pomáha presne pomenovať riešený problém, zúžiť výber relevantných riešení a odlíšiť technológie, ktoré sa na prvý pohľad prekrývajú. To je dôležité najmä pre partnerov a zákazníkov, ktorí už kybernetickej bezpečnosti rozumejú, ale potrebujú rýchlo zmapovať trh a dostupné portfólio.
Typické scenáre použitia
Incident Management Tools sa najčastejšie rieši vtedy, keď organizácia potrebuje presnejšiu kontrolu nad konkrétnou vrstvou bezpečnosti v oblasti Security Operations. Môže ísť o doplnenie existujúcej architektúry, nahradenie zastaraného nástroja, rozšírenie viditeľnosti alebo zjednotenie funkcií, ktoré sú dnes rozdelené medzi viacero produktov.
Miesto v architektúre
V širšej architektúre Security Operations treba Incident Management Tools posudzovať podľa toho, ako sa napája na existujúce bezpečnostné a prevádzkové procesy. Praktická hodnota vzniká až vtedy, keď riešenie poskytuje použiteľné dáta, jasné politiky, zrozumiteľný reporting a integrácie s existujúcimi nástrojmi.
Pri mapovaní na výrobcov z portfólia SecTec je preto dôležité vnímať nielen samotnú funkcionalitu, ale aj spôsob nasadenia, licenčný model, úroveň správy, podporované platformy a možnosť prepojenia s ďalšími oblasťami. V konkrétnej architektúre môže byť Incident Management Tools samostatnou platformou, funkciou alebo súčasťou širšieho riešenia.
Ako technológiu posudzovať
Pri výbere riešenia odporúčame sledovať najmä:
- aký problém riešenie pokrýva a kde sú jeho hranice
- či podporuje existujúce prostredie organizácie
- ako sa integruje so SIEM, SOAR, XDR, IAM, cloudom alebo ticketingom
- akú úroveň automatizácie, reportingu a auditovateľnosti poskytuje
- či znižuje prevádzkovú komplexitu alebo iba pridáva ďalšiu izolovanú konzolu
Súvisiace oblasti
Výrobcovia z portfólia SecTec
Pokrytie útokov a obranný kontext
MITRE ATT&CK® Enterprise verzie 19.1 používame ako referenčný model. Mapovanie je odbornou interpretáciou SecTec a neznamená schválenie alebo odporúčanie zo strany MITRE.
Praktické typy útokov
- Phishing a zneužitie identityÚtočník manipuluje používateľa, získava prihlasovacie údaje alebo zneužíva dôveryhodný účet na vstup do prostredia.
- Zneužitie verejnej aplikácie alebo APIÚtočník využíva zraniteľnú webovú aplikáciu, API, klientsky kód alebo dodávateľský komponent na prvotný prístup a vykonanie kódu.
- Kompromitácia cloudu a SaaSÚtočník zneužíva cloudové identity, oprávnenia, konfigurácie alebo aplikačné integrácie na prístup k službám a dátam.
- Malware a Command and ControlŠkodlivý kód sa spúšťa, udržiava prístup a komunikuje s infraštruktúrou útočníka cez bežné alebo skryté kanály.
- Exfiltrácia a únik dátÚtočník vyhľadáva, zhromažďuje a odosiela citlivé dáta z koncových zariadení, cloudu, e-mailu alebo interných úložísk.
- Ransomware a narušenie dostupnostiÚtočník šifruje alebo manipuluje dáta, zastavuje služby, blokuje obnovu a spôsobuje prevádzkový dopad.
- Dodávateľský reťazec a dôveryhodný prístupÚtočník zneužíva dodávateľa, softvérovú závislosť, externý prístup alebo dôveryhodný vzťah na obídenie bežnej ochrany.
- Business Email Compromise a prevzatie schránkyÚtočník prevezme alebo napodobní dôveryhodnú e-mailovú identitu a zneužije komunikáciu na podvod, zmenu platobných údajov, zber dát alebo ďalší phishing.
- Eskalácia oprávnení a perzistenciaÚtočník rozširuje oprávnenia, vytvára alebo mení účty a politiky a buduje si opakovaný prístup k systémom, identitám alebo cloudovému prostrediu.
- Insider hrozba a zneužitie oprávneného prístupuInterný používateľ alebo útočník s platným účtom zneužíva legitímne oprávnenia na vyhľadávanie, kopírovanie, manipuláciu alebo odoslanie citlivých dát.
Relevantné techniky ATT&CK
- T1041 · Exfiltration Over C2 ChannelRecover, Respond
- T1071 · Application Layer ProtocolRecover, Respond
- T1078 · Valid AccountsRecover, Respond
- T1190 · Exploit Public-Facing ApplicationRecover, Respond
- T1486 · Data Encrypted for ImpactRecover, Respond
- T1566 · PhishingRecover, Respond