ศูนย์ปฏิบัติการด้านความปลอดภัย (SOC) สามารถมองเห็นอุปกรณ์ปลายทาง การรับส่งข้อมูลเครือข่าย และสถานะของระบบคลาวด์ได้แบบเรียลไทม์ แต่ในอดีต ความปลอดภัยของข้อมูลประจำตัวถือเป็นจุดบอด Silverfort การผสานรวมเข้ากับ Google Security Operations ช่วยเปลี่ยนแปลงสิ่งนั้นได้
ผู้ใช้งาน Google Security Operations สามารถดึงข้อมูลแบบเรียลไทม์ได้ Silverfort ระบุความเสี่ยงด้านอัตลักษณ์ลงในแผนปฏิบัติการของพวกเขา และผลักดันการอัปเดตความเสี่ยงกลับเข้าไป Silverfort จากการตรวจจับภายนอกและการดำเนินการใดๆ Silverfort นโยบายบัญชีบริการและการตรวจสอบสิทธิ์โดยตรงจากกรณีตอบกลับ ซึ่งรวมถึงการบังคับใช้ในเรื่องดังกล่าวด้วย โปรโตคอลรุ่นเก่า เช่น NTLMรวมถึง Kerberos และ LDAP ซึ่งอาจเป็นเรื่องยากที่จะรักษาความปลอดภัยได้โดยไม่ต้องเขียนแอปพลิเคชันใหม่หรือเปลี่ยนแปลงการใช้งาน
การบูรณาการครอบคลุมสามส่วน Silverfort API (ความเสี่ยง บัญชีบริการ นโยบาย) และการจัดส่งผ่านแคตตาล็อกการผสานรวมพันธมิตรของ Google Cloud สำหรับ Google Security Operations
เหตุใดการระบุตัวตนจึงเป็นปัญหาที่ยากที่สุดของ SOC
การขโมยข้อมูลประจำตัวและการใช้ตัวตนในทางที่ผิด เป็นสิ่งที่พบเห็นได้มากที่สุดในรายงานการละเมิดข้อมูลที่น่าเชื่อถือทุกฉบับ เนื่องจากเป็นช่องทางการโจมตีเริ่มต้นที่สำคัญที่สุด สภาพแวดล้อมขององค์กรส่วนใหญ่ยังคงใช้งานระบบที่มีลักษณะเช่นนี้อยู่ บัญชีบริการหลายพันบัญชี ซึ่งไม่มีเจ้าของคนใดคนหนึ่งต้องรับผิดชอบ
โดยทั่วไปแล้ว SOC จะสามารถมองเห็นรายละเอียดอย่างลึกซึ้งในเกือบทุกอย่าง ยกเว้นชั้นข้อมูลประจำตัวที่ผู้โจมตีใช้ในการเข้าถึงระบบ EDR ครอบคลุมอุปกรณ์ปลายทาง SSE ครอบคลุมเครือข่าย CSPM ครอบคลุมสถานะของระบบคลาวด์ แต่ข้อมูลประจำตัวมักจะมาถึงเป็นลำดับสุดท้ายและมีโครงสร้างน้อยที่สุด เหตุการณ์ Kerberos และ NTLM ดิบๆ จะเข้ามาใน SIEM โดยไม่มีบริบทความเสี่ยง พฤติกรรมของบัญชีบริการจะอยู่เบื้องหลังคอนโซลแยกต่างหาก เมื่อมีการตรวจจับเกิดขึ้น นักวิเคราะห์จะเปลี่ยนไปใช้ผลิตภัณฑ์ข้อมูลประจำตัวเพื่อตรวจสอบว่าผู้ใช้มีความเสี่ยงอยู่แล้วหรือไม่ จากนั้นจึงเปลี่ยนกลับไปใช้การเปลี่ยนแปลงนโยบายซึ่งอาจอยู่ใน IDP อื่นโดยสิ้นเชิง
การผสานรวมนี้ช่วยขจัดจุดเปลี่ยนทั้งสองจุดนั้นออกไปได้ สด Silverfort ความเสี่ยง ความเสี่ยงจากบุคคลที่สาม และสถานะของนโยบายการตรวจสอบสิทธิ์ สามารถดูได้ภายในกรณีเวิร์กโฟลว์การตอบสนอง ควบคู่ไปกับข้อมูลที่นักวิเคราะห์ใช้งานอยู่แล้ว
ข้อมูลไหลเวียนอย่างไร และด้วยวิธีใด
นี่คือการผสานรวมฝั่งตอบสนอง ฝ่ายปฏิบัติการด้านความปลอดภัยของ Google เป็นผู้เริ่มต้นการเรียกใช้งาน; Silverfort ตอบกลับด้วยข้อมูลที่ร้องขอหรือดำเนินการเปลี่ยนแปลงตามที่ร้องขอ
อ่านการกระทำ ดึงข้อมูลแบบเรียลไทม์ Silverfort บริบทของกรณีศึกษาขั้นตอนการตอบสนอง:
- รับความเสี่ยงขององค์กร ฟังก์ชันนี้จะส่งคืนคะแนนความเสี่ยง ระดับความรุนแรง และปัจจัยเสี่ยงในปัจจุบันสำหรับชื่อผู้ใช้หลักหรือชื่อทรัพยากร
- รับบัญชีบริการ และ รายชื่อบัญชีบริการ ส่งคืนข้อมูลบัญชีบริการที่ได้รับการปกป้อง พร้อมตัวเลือกการกรองฟิลด์
- รับนโยบาย และ นโยบายรายการ กลับ Silverfort นโยบายการตรวจสอบสิทธิ์สำหรับการตรวจสอบภายในกรณีเวิร์กโฟลว์การตอบกลับ
เขียนขั้นตอนการดำเนินการและบังคับใช้กฎหมายกลับไป Silverfort:
- อัปเดตความเสี่ยงของหน่วยงาน ตั้งค่าตัวบ่งชี้ความเสี่ยงของผู้ใช้ (กิจกรรม มัลแวร์ การละเมิดข้อมูล หรือแบบกำหนดเอง) ที่ระดับความรุนแรงและช่วงเวลาที่เลือกจากผลลัพธ์ของแผนรับมือ Silverfort จากนั้นนโยบายจะบังคับใช้สถานะใหม่นี้ในการตรวจสอบสิทธิ์ครั้งต่อๆ ไปสำหรับผู้ใช้รายนั้น
- อัปเดตนโยบาย SA อัปเดตบางส่วนของนโยบายบัญชีบริการ ได้แก่ เกณฑ์ความเสี่ยง ขอบเขตโปรโตคอล รายการแหล่งที่มาและปลายทางที่อนุญาต ซึ่งทำให้ SOC มีอำนาจโดยตรงในการควบคุมกลุ่มประชากรที่ยากต่อการควบคุมมาโดยตลอด
- อัปเดตนโยบาย และ เปลี่ยนสถานะนโยบาย แก้ไขการเป็นสมาชิกตามนโยบาย หรือเปิดหรือปิดใช้งานนโยบายระหว่างการตอบสนองต่อเหตุการณ์
แต่ละ Silverfort กลุ่ม API ใช้คู่ข้อมูลประจำตัวเฉพาะของตนเอง ดังนั้นสิทธิ์จึงถูกกำหนดขอบเขตอย่างอิสระสำหรับการดำเนินการด้านความเสี่ยง บัญชีบริการ และนโยบาย เพลย์บุ๊กที่เน้นเฉพาะความเสี่ยงสามารถทำงานได้ด้วยข้อมูลประจำตัวที่เน้นเฉพาะความเสี่ยงเท่านั้น ซึ่งจะช่วยจำกัดขอบเขตความเสียหายและทำให้การตรวจสอบประวัติเป็นไปอย่างชัดเจน
ใช้กรณี
เพิ่มความสมบูรณ์ให้กับการแจ้งเตือนที่ขับเคลื่อนด้วยข้อมูลระบุตัวตนด้วยข้อมูลแบบเรียลไทม์ Silverfort ประเมินความเสี่ยงก่อนตัดสินใจว่าจะทำอะไร ระบบ EDR หรือ SIEM ตรวจพบความผิดปกติในบัญชีผู้ใช้ เพลย์บุ๊กจะเรียกใช้ฟังก์ชัน Get Entity Risk สำหรับผู้ใช้นั้น หาก Silverfort แสดงให้เห็นคะแนนสูงอยู่แล้วพร้อมปัจจัยเสี่ยงต่างๆ เช่น เคอร์เบอโรสติ้งเมื่อพบการเคลื่อนไหวในแนวนอน หรือพฤติกรรมบัญชีบริการที่ผิดปกติ ระบบจะจัดลำดับความสำคัญของกรณีนั้นโดยอัตโนมัติ และนักวิเคราะห์จะเปิดเหตุการณ์พร้อมข้อมูลระบุตัวตนที่ครบถ้วนแล้ว ข้อมูลบริบทที่เคยใช้เวลาหลายนาที สามารถเข้าถึงได้ในไม่กี่วินาที
เพิ่มความเสี่ยงของผู้ใช้ใน Silverfort หลังจากตรวจพบจากภายนอก นโยบายจึงบังคับใช้การควบคุมโดยอัตโนมัติ การโจมตีของมัลแวร์หรือการบุกรุกอุปกรณ์จะเข้าสู่คิว SOAR เพลย์บุ๊กจะเรียกใช้ Update Entity Risk เพื่อเพิ่มระดับตัวบ่งชี้ความเสี่ยงของผู้ใช้ Silverfort โดยมีระดับความรุนแรงและช่วงเวลาที่กำหนดไว้ชัดเจน Silverfort จากนั้นจึงบังคับใช้มาตรการควบคุมที่เข้มงวดมากขึ้นในการตรวจสอบสิทธิ์ทุกครั้งที่ผู้ใช้พยายาม รวมถึงโปรโตคอลรุ่นเก่าอย่าง NTLM และ Kerberos ซึ่งในอดีตไม่สามารถใช้ MFA ได้ ขึ้นอยู่กับนโยบาย นั่นอาจหมายถึงการแจ้งเตือนให้ป้อน MFA การปฏิเสธการตรวจสอบสิทธิ์แบบเดิม หรือการบล็อกโดยเด็ดขาด ขั้นตอนหนึ่งในคู่มือจะช่วยปิดวงจรตั้งแต่การตรวจจับไปจนถึงการบังคับใช้
ล็อกบัญชีบริการที่น่าสงสัยจากภายในเคส SOAR นักวิเคราะห์พบว่าบัญชีบริการทำงานผิดปกติไปจากรูปแบบปกติ คู่มือแนะนำให้ทำการอัปเดตนโยบายบัญชีบริการ (Update SA Policy) เพื่อจำกัดรายการแหล่งที่มาที่อนุญาต ลดขอบเขตของโปรโตคอล หรือเพิ่มเกณฑ์ความเสี่ยง การเปลี่ยนแปลงนี้จะมีผลใน Silverfortและคดีจะบันทึกการกระทำนั้นไว้ บัญชีบริการมักเป็นจุดบอดที่ใหญ่ที่สุดใน SOC สำหรับหลายทีม นี่เป็นครั้งแรกที่พวกเขาจะมีอำนาจในการควบคุมบัญชีเหล่านั้นจากภายใน SOAR
สลับนโยบายการตรวจสอบสิทธิ์ระหว่างการตอบสนองแบบแอคทีฟ เมื่อการควบคุมภัยคุกคามจำเป็นต้องเปิดหรือปิดนโยบาย (เช่น การปฏิเสธการตรวจสอบสิทธิ์ NTLM ชั่วคราวระหว่างการบุกรุกที่เกิดขึ้น) คำสั่ง Change Policy State จะทำการเปลี่ยนแปลงจากภายใน Playbook โดยไม่ต้องสลับคอนโซล การเปลี่ยนแปลงสถานะของนโยบายจะถูกบันทึกไว้ในไทม์ไลน์ของคดีเป็นหลักฐาน
หากคุณยังไม่ได้เปิดบัญชี IQ Option คลิ๊กที่นี่ กรอกรายละเอียดของคุณและมันจะนำไปยังหน้าเพจที่คล้ายด้านล่างนี้
ติดตั้ง Silverfort ผสานรวมผ่านกระบวนการปรับใช้เนื้อหา Google Security Operations มาตรฐานของคุณ และกำหนดค่าการเชื่อมต่อจากหน้าอินสแตนซ์การผสานรวม การกำหนดค่าขั้นต่ำคือ Silverfort API Root, External API Key และข้อมูลประจำตัวผู้ใช้แอปหนึ่งคู่สำหรับกลุ่ม API ที่คุณต้องการทำให้เป็นระบบอัตโนมัติก่อน เรียกใช้ Ping เพื่อตรวจสอบความถูกต้อง จากนั้นเชื่อมโยงการดำเนินการเข้ากับ Playbook การเพิ่มขั้นตอนการเพิ่มความเสี่ยงเพียงขั้นตอนเดียวลงใน Playbook การแจ้งเตือนข้อมูลประจำตัวที่มีอยู่จะเปลี่ยนวิธีการคัดกรองเคสตั้งแต่วันแรก
พารามิเตอร์การกำหนดค่าทั้งหมด ตัวอย่างการป้อนข้อมูลการทำงาน และคุณสมบัติที่รองรับ อยู่ในเอกสารนี้ Silverfort คู่มือการบูรณาการหน้าการผสานรวมของ Google Security Operations สำหรับตัวเชื่อมต่อนี้อยู่ที่ https://docs.cloud.google.com/chronicle/docs/reference/partner-hosted-siem-integrationsหากมีข้อสงสัยหรือต้องการขอทดลองใช้งาน โปรดติดต่อเราได้ที่ ecosystem@silverfort.com.
