事件应对
专家的四个
重要提示

 

去年超过一半的企业受到勒索软件攻击 – 攻击者在 73% 的案件中成功加密文件。1

提示 2：不要过早宣告“任务完成”

应对事件时，仅仅治标还不够。治本也很重要。 

侦测到威胁后，首先解决接下来的攻击。  这可能意味着清理勒索软件可执行文件或银行木马或者阻止数据泄漏。但是，团队通常将阻止初始攻击，而没有意识到他们没有真正解决根本原因。 

成功移除勒索软件和清理提醒并不意味着攻击者已经被驱逐出环境。还可能侦测到的只是攻击者观察防御水平的测试攻击。如果攻击者仍然可以访问，他们很可能将再次发起攻击，但这次更具破坏性。

事件应对团队需要确保他们解决初始事件的根本原因。攻击者是否仍留在环境中？他们是否计划发起第二波攻击？有着丰富攻击应对经验的事件响应操作员知道何时和在哪里更深入调查。他们查找攻击者正在、已经或者可能计划在网络中的任何操作 – 并消除这些威胁。

例如，在一个实例中，Sophos 事件应对专家能够阻止持续 9 天的攻击，发现攻击者用勒索软件攻击企业的三次尝试。   

在第一波攻击尝试中（最后由企业的端点防护解决方案阻止），攻击者使用 Maze 勒索软件将 700 台计算机作为目标，勒索 1500 万美元赎金。目标的安全团队在意识到受到攻击后，联系了 Sophos 托管威胁应对 (MTR) 团队的资深事件应对专家。

Sophos 事件应对专家快速找出受威胁的管理员帐户，找出并移除多个恶意文件，拦截攻击者命令和 C2（指挥控制）通信。然后 Sophos MTR 团队能够防御对手的另外两波攻击。如果攻击者成功，受害者不得不支付赎金，这可能是迄今最昂贵的勒索软件赎金之一。

在另一个示例中，Sophos MTR 团队应对潜在勒索软件威胁，但很快意识到没有勒索软件迹象。这时候，有些团队可能结束案件，转向其他工作。但 Sophos MTR 团队继续调查，发现了以前的银行木马。对这个客户来说幸运的是，威胁不再活跃，但这个示例说明了为什么要在初始症状以外查找以确定完整根本原因，这可能是更广泛攻击的迹象。

SOPHOS MTR 案件簿：

发现以前的银行木马的勒索软件追踪

 

提示 3：完整可见性很关键

导航攻击时，摸索前进带来的企业防御难度最大。必须可以获取合适的高质量数据，能够准确识别潜在攻击迹象，确定根本原因。

有效团队收集合适数据以观察信号，可以分离信号与噪声，知道哪些信号的优先级最重要。

收集信号

环境可见性有限无疑会错过攻击。多年来，许多大数据工具进入市场，试图解决这个具体难题。一些工具依赖以事件为中心的数据，如日志事件，有些则利用以威胁为中心的数据，其他则采用混合方法。无论采用何种方法，目的都一样：收集足够数据产生有意义的情报，调查和应对可能错过的攻击。
从多个来源收集合适的高质量数据确保完全了解攻击者的工具、战术和过程 (TTP)。否则很可能只能看到攻击的一部分。

减少噪声

由于害怕没有掌握攻击全部信息所需的数据，一些企业（以及他们依赖的安全工具）收集所有数据。但是，这并没有减轻大海捞针的难度；反而堆积了更多不必要的信息，增加难度。这不仅增加数据收集和存储成本，而且产生大量噪声，导致提醒疲劳，浪费时间追踪误报。

应用相关环境内容

关于威胁侦测和应对专家有这样一个说法：“内容是王，相关环境内容就是后。” 二者都是运行有效事件应对计划所必需的。应用与信号关联的有意义元数据，分析师可以确定此类信号是恶意还是良性。 

评判最重要的信号是有效威胁侦测与应对的最重要部分之一。确定最重要威胁的最佳方法是组合安全工具提供的上下文（即端点侦测和应对解决方案）、人工智能、威胁情报和操作员的知识库。 

上下文有助于确定信号源头，当前攻击阶段，相关事件，对企业的潜在影响。

提示 4：放心求助

企业都不希望遇到攻击。但是应对事件的体验是无法替代的，这意味着经常面临高压力事件应对工作的 IT 和安全团队被安排到没有相应应对技能的场景；此类场景通常对企业有着巨大影响。

缺乏调查和应对事件的熟练人员是现在网络安全行业面临的最大问题之一。  这个问题非常普遍，据 ESG Research 表示²，“34% 的企业称最大挑战是缺乏熟练人员调查涉及端点的网络安全事件，确定根本原因和攻击链。”

这一困境带来了新的替代方式：托管安全服务。具体来说，托管侦测与应对 (MDR) 服务。MDR 服务是专家团队提供的外包安全操作，是客户安全团队的延伸。这些服务将人主导的调查、威胁追踪、实时监测和事件应对与各种技术相结合，收集并分析情报。据 Gartner 表示，“到 2025 年，50% 的企业将使用 MDR 服务”³，这意味着企业正意识到他们需要帮助来运行完整安全操作和事件应对计划。

对于还没有采用 MDR 服务但正在应对活跃攻击的企业来说，事件应对专家服务是一个很好的选择。安全团队焦头烂额，需要外部专家分类攻击并确保解决对手时，引入事件应对专家。

即使企业拥有熟练安全分析师团队，与事件应对服务协作也有好处，可以弥补覆盖（即晚上、周末、节假日）和应对事件需要的专业角色的不足。