Kas yra kibernetinių grėsmių analizė ir kodėl ji svarbi?

Kas yra kibernetinių grėsmių analizė?

Kibernetinių grėsmių analizė – tai duomenų apie esamas ar galimas kibernetines grėsmes rinkimas ir analizė. Ji padeda saugumo signalus paversti praktiškai pritaikoma informacija, leidžiančia organizacijoms suprasti, su kokiomis atakomis jos gali susidurti, kas galėtų jas vykdyti, kaip jos galėtų būti vykdomos ir kokių priemonių reikėtų imtis rizikai sumažinti.

Naudinga kibernetinių grėsmių analizė neapsiriboja įtartinų IP adresų, kenkėjiškų programų pavadinimų ar pranešimų apie atakas sąrašu. Ji turėtų padėti suprasti, kas gali tapti atakos taikiniu, kodėl konkreti grėsmė yra svarbi ir kokių veiksmų galima imtis rizikai sumažinti. Pavyzdžiui, saugumo komandai gali būti svarbu žinoti, ar duomenų viliojimo schema nukreipta būtent į jos organizaciją ar auditoriją.

Kodėl kibernetinių grėsmių analizė svarbi?

Kibernetinių grėsmių analizė padeda organizacijoms iš anksto pasirengti galimoms atakoms, o ne tik reaguoti į jau padarytą žalą. Ji leidžia anksčiau aptikti grėsmes, tiksliau nustatyti prioritetus, greičiau tirti incidentus ir efektyviau paskirstyti kibernetiniam saugumui skirtus išteklius.

• Prevencinė apsauga. Kibernetinių grėsmių analizė gali padėti pastebėti duomenų viliojimo veiksmų, kenkėjiškų programų veiklos, nutekintų prisijungimo duomenų ar užpuolikų elgsenos dėsningumus dar prieš jiems padarant didelės žalos. Žinodamos, į kokius požymius atkreipti dėmesį, saugumo komandos gali iš anksto sustiprinti apsaugą ir pašalinti pažeidžiamas vietas.
• Daugiau konteksto. Saugumo įspėjimas gali parodyti tik tai, kad įvyko kažkas neįprasto. Kibernetinių grėsmių analizė padeda suprasti, kas gali būti nusitaikęs į organizaciją, kaip panašios atakos buvo vykdomos anksčiau ir kokią vietą šios rizikos užima platesniame kibernetinių grėsmių kontekste – bendrame įmonę, sektorių ar regioną veikiančių kibernetinių grėsmių paveiksle.
• Greitesnis incidentų tyrimas. Žinodami, kurie grėsmių požymiai, užpuolikų metodai ir atakų modeliai yra svarbiausi, analitikai gali pirmiausia nagrinėti didžiausią riziką keliančius įspėjimus, užuot visus signalus vertinę vienodai. Taip sumažėja klaidingų pavojaus signalų skaičius ir daugiau dėmesio skiriama grėsmėms, kurios iš tiesų gali padaryti žalos.
• Mažesnės sąnaudos. Užkirsti kelią saugumo pažeidimui, užblokuoti žinomą kenkėjišką domeną ar anksti aptikti ataką paprastai kainuoja mažiau nei šalinti duomenų praradimo, veiklos sutrikimų ar teisinių pasekmių padarinius. Derindamos kibernetinių grėsmių stebėseną ir kibernetinių grėsmių analizę, saugumo komandos gali anksčiau priimti geriau pagrįstus saugumo sprendimus.

Kibernetinių grėsmių analizės tipai

Saugumo komandos kibernetinių grėsmių analizę paprastai skirsto pagal tai, kokius sprendimus ji padeda priimti. Galima išskirti penkis pagrindinius jos tipus: strateginę, taktinę, operacinę, techninę ir kontekstinę kibernetinių grėsmių analizę.

Strateginė kibernetinių grėsmių analizė

Strateginė kibernetinių grėsmių analizė padeda vadovams geriau suprasti kibernetines rizikas, grėsmių sukėlėjų motyvus ir ilgalaikes tendencijas. Ji padeda sprendimų priėmėjams įvertinti, kaip tokios grėsmės kaip išpirkos reikalaujančios kenkėjiškos programos, duomenų saugumo pažeidimai, nauji teisės aktų reikalavimai ar su valstybių institucijomis siejamos programišių grupuotės gali paveikti biudžetą, organizacijos politiką ir ilgalaikius saugumo prioritetus.

Taktinė kibernetinių grėsmių analizė

Taktinė kibernetinių grėsmių analizė orientuota į užpuolikų naudojamas taktikas, metodus ir procedūras. Ji gali padėti nustatyti dažniausiai naudojamus atakos vektorius – būdus, kuriais užpuolikai pasiekia savo taikinį. Tai gali būti duomenų viliojimo laiškai, išnaudojamos programinės įrangos spragos, perimtos paskyros ar įtartinas tinklo srautas, galintis rodyti botneto veiklą. Remdamosi šia informacija, saugumo komandos gali koreguoti grėsmių aptikimo taisykles, stiprinti apsaugos priemones ir mokyti darbuotojus atpažinti įtartiną veiklą.

Operacinė kibernetinių grėsmių analizė

Operacinė kibernetinių grėsmių analizė orientuota į konkrečias planuojamas, vykstančias ar neseniai įvykusias atakas. Ji padeda saugumo komandoms suprasti, kas gali būti atsakingas už ataką, į ką ji nukreipta, kada ir kaip užpuolikai gali veikti bei kurios sistemos ar naudotojai gali nukentėti. Tokia informacija dažnai gaunama stebint užpuolikų veiklą, analizuojant nutekintus duomenis, uždarus kibernetinių nusikaltėlių forumus ar pačių užpuolikų skelbiamas žinutes.

Techninė kibernetinių grėsmių analizė

Techninė kibernetinių grėsmių analizė apima techninių požymių, galinčių rodyti įvykusią ar galimą ataką, nagrinėjimą. Tai gali būti įtartini IP adresai, kenkėjiški domenai, failų maišos reikšmės („hashes“), žinomi pažeidžiamumų išnaudojimo būdai ir atakų modeliai. Saugumo komandos šią informaciją naudoja grėsmių aptikimo taisyklėms, blokavimo sąrašams ir kitoms kibernetinio saugumo priemonėms tobulinti.

Kontekstinė kibernetinių grėsmių analizė

Vykdant kontekstinę kibernetinių grėsmių analizę atsižvelgiama į konkretaus sektoriaus, organizacijos ar naudotojų grupės aplinkybes ir jai aktualias grėsmes. Pavyzdžiui, valstybės institucijoms gali būti svarbesnės su kitų valstybių veikla siejamos kibernetinės grėsmės, o mažmeninės prekybos ar prabangos prekių bendrovėms – apsimetimas jų prekės ženklu, sukčiavimas, netikros interneto svetainės ir į klientus nukreiptos apgaulės.

Kibernetinių grėsmių analizės ciklas

Kibernetinių grėsmių analizės ciklo metu surinkti duomenys apie grėsmes analizuojami ir paverčiami informacija, naudinga priimant su saugumu susijusius sprendimus. Šio proceso metu komandos nustato prioritetus, renka ir paruošia duomenis, juos analizuoja, dalijasi išvadomis ir, remdamosi grįžtamuoju ryšiu, tobulina tolesnį darbą.

1. Krypties nustatymas

Apibrėžiama, kokias grėsmes, išteklius, sistemas ar verslo rizikas reikia geriau suprasti. Taip pat gali būti vertinamos vidinės grėsmės – rizika, kurią gali kelti darbuotojai, rangovai, partneriai ar kiti teisėtą prieigą turintys asmenys. Šiame etape nustatoma, kokios informacijos reikia grėsmėms įvertinti ir tinkamiems veiksmams pasirinkti.

2. Duomenų rinkimas

Nustačius tikslus, duomenys apie grėsmes renkami iš vidinių ir išorinių šaltinių. Tai gali būti vidiniai saugumo žurnalai, įrenginių saugumo įspėjimai, tinklo veiklos duomenys, pažeidžiamumų ataskaitos, informacija iš tamsiojo interneto, kenkėjiškų programų duomenų bazės ir atvirųjų šaltinių informacija – viešai prieinami duomenys iš interneto svetainių, forumų, socialinių tinklų, viešųjų registrų ir kitų šaltinių.

3. Duomenų apdorojimas

Neapdoroti duomenys dažnai gaunami skirtingais formatais, o jų patikimumas gali skirtis. Todėl šiame etape jie išvalomi, susisteminami ir filtruojami, pašalinami pasikartojantys įrašai, o duomenims suteikiama vienoda struktūra. Taip analitikai gali lengviau palyginti susijusius grėsmių požymius ir paruošti duomenis tolesnei analizei.

4. Analizė

Analitikai ieško surinktų duomenų dėsningumų ir sąsajų bei vertina jų reikšmę. Šis etapas taip pat gali apimti grėsmių modeliavimą, kuris padeda nustatyti, kaip užpuolikas galėtų atakuoti sistemą ir kokios apsaugos priemonės galėtų sumažinti tokią riziką.

5. Informacijos perdavimas

Analizės rezultatai perduodami tiems, kuriems jų reikia. Saugumo operacijų komandoms gali būti svarbūs kenkėjiški domenai ar įtartini IP adresai, reagavimo į incidentus specialistams – rekomendacijos, kaip suvaldyti grėsmę, o vadovams – aiški verslo rizikos santrauka ir rekomenduojami veiksmai.

6. Grįžtamasis ryšys

Komandos įvertina, ar atlikta analizė atsakė į iš pradžių iškeltus klausimus, padėjo nustatyti rizikų prioritetus ir pagerino saugumo rezultatus. Remiantis grįžtamuoju ryšiu, tikslinami būsimi analizės poreikiai, duomenų šaltiniai, naudojami įrankiai ir rezultatų pateikimo būdai.

Kibernetinių grėsmių analizės įrankiai ir platformos

Saugumo komandos naudoja kibernetinių grėsmių analizės įrankius duomenims rinkti ir analizuoti, galimoms grėsmėms nustatyti bei įspėjimams ir ataskaitoms rengti. Kai kurie įrankiai atlieka konkrečias užduotis, o kibernetinių grėsmių analizės platformos leidžia centralizuotai rinkti ir analizuoti informaciją apie grėsmes, vertinti įtartinos veiklos požymius ir rengti ataskaitas.

Kibernetinių grėsmių duomenų srautai

Kibernetinių grėsmių duomenų srautai („threat intelligence feeds“) – tai automatiškai atnaujinami duomenų apie grėsmes šaltiniai, kuriuos galima integruoti į įvairias saugumo sistemas. Juose dažnai pateikiami galimos kenkėjiškos veiklos požymiai („Indicators of Compromise“, IoC). Tai gali būti įtartini IP adresai, duomenų viliojimo domenai, su kenkėjiškomis programomis susijusios failų maišos reikšmės („hashes“) – unikalūs skaitmeniniai failų „pirštų atspaudai“ – ar URL adresai, siejami su duomenims išvilioti skirtomis interneto svetainėmis ir netikrais prisijungimo puslapiais.

Tokie duomenų srautai gali būti atvirojo kodo arba komerciniai. Nemokami atvirieji šaltiniai gali būti naudingi stebint dažniausiai pasitaikančias grėsmes, tačiau juose pateikiamą informaciją dažnai reikia įvertinti rankiniu būdu. Komerciniai šaltiniai paprastai suteikia daugiau konteksto, filtravimo galimybių ir papildomos informacijos, pavyzdžiui, apie tai, iš kur gautas konkretus grėsmės požymis ir kaip skubiai į jį reikėtų reaguoti.

Nors tokie duomenų srautai naudingi, vien jų nepakanka. Jei įtartinų domenų ar IP adresų duomenys naudojami neįvertinus jų aktualumo konkrečiai organizacijai, saugumo sistemos gali pateikti daug nereikalingų įspėjimų. Tinkami įrankiai padeda palyginti iš išorinių šaltinių gaunamus duomenis su organizacijos sistemose turima informacija, pašalinti pasikartojančius įrašus ir sutelkti dėmesį į svarbiausias grėsmes.

Dirbtiniu intelektu paremta kibernetinių grėsmių analizė

Dirbtiniu intelektu (DI) paremta kibernetinių grėsmių analizė pasitelkia DI ir mašininio mokymosi metodus, kad dideli saugumo duomenų kiekiai būtų apdorojami greičiau. Mašininio mokymosi metodai padeda atpažinti duomenų dėsningumus ir ilgainiui tiksliau aptikti galimas grėsmes. Analizuojant kibernetines grėsmes, tai gali padėti pastebėti neįprastą veiklą, susieti tarpusavyje susijusius įvykius ir nustatyti rizikas, kurių galima nepastebėti atliekant analizę rankiniu būdu.

DI taip pat gali padėti nustatyti galimą sukčiavimą, jei paskyroje aptinkama naudotojui nebūdinga veikla. Pavyzdžiui, sistema gali pažymėti neįprastus prisijungimus, įtartinus bandymus atlikti operacijas ar pasikartojančius prisijungimus iš rizikingomis laikomų vietų. Tokie signalai padeda saugumo komandoms anksčiau pastebėti ir ištirti galimus bandymus perimti paskyras, kol nepadaryta didesnės žalos.

Vis dėlto DI paremta kibernetinių grėsmių analizė nepakeičia žmogaus atliekamos analizės. DI gali greitai apdoroti didelius duomenų kiekius, tačiau specialistai vis tiek turi įvertinti kontekstą, atmesti klaidingus pavojaus signalus ir nuspręsti, kokių veiksmų reikėtų imtis. Tinkamai naudojamos DI grėsmių aptikimo priemonės padeda greičiau įvertinti galimas grėsmes ir atskirti įtartinus signalus nuo realių atakų.

Kaip „NordVPN“ naudoja kibernetinių grėsmių analizę? 

Kibernetinių grėsmių analizė praverčia ne tik rengiant saugumo ataskaitas ar užtikrinant įmonių kibernetinį saugumą. Jos duomenys taip pat gali padėti užtikrinti apsaugą kasdien naršant internete, atsisiunčiant failus, atidarant nuorodas ar jungiantis per VPN.

Kibernetinių grėsmių analizės informacija naudojama „NordVPN“ naujos kartos antivirusinės apsaugos nuo sukčiavimo, duomenų viliojimo ir kenkėjiškų programų funkcijose. Jos gali įspėti apie pavojingas interneto svetaines ir patikrinti atsisiunčiamus failus dar prieš kenkėjiškoms programoms pasiekiant jūsų įrenginį.

„NordVPN“ taip pat naudoja kibernetinių grėsmių analizę VPN saugumui stiprinti – ji padeda analizuoti galimas grėsmes tiek pavieniams naudotojams, tiek visai „NordVPN“ paslaugai.

Be to, „NordVPN“ dalijasi informacija apie kibernetines grėsmes, kad padėtų jums saugiau naudotis internetu. Žinios apie esamas ir naujas kibernetines grėsmes gali padėti laiku atpažinti duomenų viliojimą, kenkėjiškas programas, sukčiavimo schemas ir pavojingas interneto svetaines dar prieš patiriant rimtų nuostolių.

Kam naudinga kibernetinių grėsmių analizė?

Kibernetinių grėsmių analizė dažnai siejama su didelėmis organizacijomis, tačiau ji naudinga ir kasdieniam saugumui internete užtikrinti. Aiški informacija apie užpuolikų elgseną, rizikingą veiklą ir naujai atsirandančias grėsmes padeda saugumo komandoms, vadovams, analitikams ir pavieniams naudotojams sumažinti kibernetinę riziką.

• Kibernetinių grėsmių analitikai. Kibernetinių grėsmių analitikai stebi duomenis apie grėsmes, analizuoja užpuolikų vykdomas atakas, vertina įtartinus požymius ir apibendrina išvadas ataskaitose. Jų darbas padeda saugumo komandoms suprasti, kas vyksta, kas gali būti atsakingas už ataką ir kokių veiksmų reikėtų imtis.
• Saugumo komandos ir saugumo operacijų centro specialistai. Saugumo operacijų centras („Security Operations Center“, SOC) stebi organizacijos sistemas ir ieško galimų kibernetinių atakų požymių. Kibernetinių grėsmių analizė padeda šioms komandoms nustatyti įspėjimų prioritetus, sumažinti klaidingų pavojaus signalų skaičių ir sutelkti dėmesį į veiklą, kuri gali kelti didžiausią pavojų sistemoms, duomenims ar naudotojams.
• Vadovai ir sprendimų priėmėjai. Strateginė kibernetinių grėsmių analizė padeda vadovams suprasti, kokios grėsmės gali paveikti organizaciją, kokio masto riziką jos kelia ir kur labiausiai reikėtų stiprinti saugumą. Ši informacija padeda priimti sprendimus dėl biudžeto, organizacijos politikos, saugumo priemonių ir ilgalaikio rizikos valdymo.
• Jūs. Galbūt patys neskaitote kibernetinių grėsmių ataskaitų ir netikrinate įtartinų domenų, tačiau kibernetinių grėsmių analizės duomenys vis tiek gali būti integruoti jūsų kasdien naudojamose saugumo priemonėse. Jie padeda įspėti apie duomenų viliojimo puslapius, sukčiavimui naudojamas interneto svetaines, kenkėjiškus failus ir kitas grėsmes dar prieš joms padarant žalos.

Kibernetinių grėsmių analizė praktikoje: realūs pavyzdžiai

Kibernetinių grėsmių analizę lengviau suprasti pamačius, kaip ji taikoma praktiškai. Konkretus procesas priklauso nuo organizacijos, tačiau pagrindinis tikslas paprastai išlieka tas pats – kuo anksčiau aptikti aktualias grėsmes, suprasti jų reikšmę ir imtis veiksmų dar prieš joms padarant didesnės žalos.

• APT atakų stebėjimas. Saugumo komandos gali pasitelkti kibernetinių grėsmių analizę stebėdamos pažangias nuolatines grėsmes („Advanced Persistent Threat“, APT) – ilgalaikes tikslines atakas, dažnai siejamas su daug išteklių turinčiomis grupuotėmis. Analizuodami duomenų viliojimo laiškų, kenkėjiškų domenų, kenkėjiškų programų elgsenos ir užpuolikų taikomų metodų sąsajas, analitikai gali nustatyti tarpusavyje susijusią veiklą ir įspėti organizacijas, kurioms gali kilti pavojus.
• Žinomos kenkėjiškos veiklos blokavimas. Kibernetinių grėsmių informacijos srautuose pateikiami duomenys gali būti naudojami žinomiems kenkėjiškiems IP adresams, domenams, failų maišos reikšmėms („hashes“) ir URL adresams atpažinti bei blokuoti. Pavyzdžiui, jei domenas siejamas su duomenų viliojimu ar kenkėjiškomis programomis, ši informacija gali būti panaudota naudotojams įspėti arba prieigai užblokuoti dar prieš jiems susiduriant su grėsme.
• Dalijimasis informacija apie grėsmes tarp skirtingų sektorių. Organizacijos gali dalytis informacija apie kibernetines grėsmes bendradarbiaudamos su patikimais partneriais, kitomis sektoriaus organizacijomis ar kibernetinio saugumo bendruomenėmis. Jei viena įmonė aptinka naują duomenų viliojimo ar kenkėjiškų programų schemą arba neįprastus bandymus prisijungti, pasidalijusi šia informacija ji gali padėti kitoms organizacijoms pasirengti panašioms grėsmėms.

Kaip apsisaugoti nuo kibernetinių grėsmių?

Kibernetinių grėsmių analizė gali būti naudinga net ir patiems neskaitant bei neanalizuojant grėsmių ataskaitų. Keli praktiški įpročiai ir tinkamos saugumo priemonės gali padėti išvengti dažniausiai pasitaikančių grėsmių ir sumažinti galimos atakos žalą.

• Domėkitės aktualiomis kibernetinėmis grėsmėmis. Sekdami kibernetinio saugumo naujienas ir informaciją apie naujausias grėsmes, lengviau atpažinsite naujas sukčiavimo schemas, duomenų viliojimo būdus ir kenkėjiškų programų atakas. Daugiausia dėmesio skirkite grėsmėms, kurios gali paveikti jūsų naudojamus įrenginius, paskyras ir paslaugas.
• Naudokite priemones su integruotomis grėsmių aptikimo funkcijomis. „NordVPN“ naujos kartos antivirusinė programa padeda aptikti atsisiųstus kenkėjiškus failus ir blokuoti interneto svetaines, naudojamas sukčiavimui ar duomenų viliojimui. Jos apsaugos funkcijos remiasi informacija apie žinomas grėsmes, todėl jums nereikia patiems analizuoti techninių jų požymių.
• Reguliariai atnaujinkite programinę įrangą. Programinės įrangos atnaujinimai dažnai ištaiso saugumo spragas, kuriomis gali pasinaudoti kibernetiniai nusikaltėliai. Reguliariai atnaujinkite operacinę sistemą, naršyklę, programėles ir saugumo priemones, kad sumažintumėte galimų atakų riziką ir pašalintumėte žinomus pažeidžiamumus.
• Atsargiai vertinkite gautas žinutes ir nuorodas. Duomenų viliojimo žinutėmis dažnai siekiama priversti veikti skubotai arba apsimetama patikimomis organizacijomis, kad atidarytumėte nuorodą, atsisiųstumėte failą ar atskleistumėte neskelbtiną informaciją. Prieš imdamiesi veiksmų patikrinkite siuntėją ir nuorodos paskirties adresą.
• Prisijungę prie nepatikimų tinklų naudokite VPN. VPN užšifruoja ryšį tarp jūsų įrenginio ir VPN serverio. Tai padeda apsaugoti jūsų interneto srautą prisijungus prie vietinio tinklo ir pakeičia jūsų IP adresą, kai naudojatės viešuoju „Wi-Fi“ ar kitais nepatikimais tinklais.