Dati, dati ovunque, ma cosa conservare e utilizzare? Nell'era dei dati quasi totali, i team e gli analisti dei centri operativi di sicurezza (SOC) possono essere sommersi dal loro volume. E questo prima ancora di arrivare al costo dell'ingestione e dell'archiviazione dei dati! In questo blog esploreremo il valore dei metadati di rete e il motivo per cui non è possibile ottenere questo livello di visibilità altrove.
Definizione dei metadati di rete
I metadati di rete sono un registro completo di tutte le comunicazioni che avvengono all'interno di una rete, che cattura i dettagli essenziali di queste interazioni. In particolare, registra il cosa, il quando, il dove e il chi delle comunicazioni di rete, offrendo una visione olistica dell'attività di rete. Questi metadati differiscono dalle catture di rete (pcap), che sono flussi di dati a piena fedeltà che catturano sia le informazioni sulla connessione che sul carico utile. Sebbene i pcap forniscano un resoconto dettagliato, le loro grandi dimensioni li rendono ingombranti e meno pratici per un uso diffuso, spesso limitandoli a scenari altamente mirati.
I metadati di rete, invece, pur offrendo un livello di visibilità simile a quello dei pcap, sono decisamente più scalabili. Questa scalabilità è fondamentale perché facilita il monitoraggio dell'intera rete, anziché limitare l'osservazione ad aree o istanze selezionate. Concentrandosi sui dettagli chiave della comunicazione senza memorizzare il contenuto effettivo dei pacchetti di dati, i metadati di rete consentono un'analisi efficiente e un monitoraggio in tempo reale. Ciò li rende uno strumento prezioso per la cybersecurity, che consente alle organizzazioni di rilevare le anomalie, tracciare il comportamento della rete e rispondere prontamente alle potenziali minacce, gestendo in modo efficiente le risorse di rete.
> Perché le soluzioni PCAP non sono più sufficienti
I vantaggi dei metadati di rete
Sfidare l'approccio "solo firewall" nella sicurezza di rete
La convinzione comune che i registri dei firewall siano sufficienti per la sicurezza della rete è un'idea sbagliata. I firewall, pur essendo fondamentali, servono principalmente come meccanismo di difesa perimetrale. La loro portata è limitata al monitoraggio del traffico che li attraversa direttamente. Questo approccio lascia un punto cieco significativo: una volta che il traffico si sposta oltre il firewall, la visibilità viene meno. Inoltre, i firewall non sono in grado di monitorare il traffico di rete interno, un aspetto cruciale per una sicurezza di rete completa.
Integrazione dei metadati dell'intera rete per un monitoraggio migliore
Per ovviare a queste limitazioni, le soluzioni di metadati dell'intera rete sono sempre più indispensabili. Queste soluzioni utilizzano TAP (Test Access Point) o SPAN (Switched Port Analyzer) per catturare e analizzare il traffico all'interno della rete. Questo metodo consente un'osservazione più approfondita dell'attività di rete, tracciando il traffico non solo quando entra da fonti esterne, ma anche quando si muove all'interno della rete interna, sia che si tratti di traffico in uscita, in entrata o laterale (intra-rete).
Visibilità completa della rete con le soluzioni di metadati
Questo approccio completo garantisce che tutto il traffico, indipendentemente dalla sua origine, sia visibile mentre attraversa la rete. In questo modo, le soluzioni di metadati di rete integrali forniscono un livello di visibilità che i firewall da soli non possono raggiungere. Offrono un quadro più sfumato e completo dell'attività di rete, essenziale per rilevare minacce informatiche sofisticate che potrebbero eludere le difese perimetrali tradizionali. Con i metadati dell'intera rete, le organizzazioni ottengono un potente strumento per migliorare la loro postura di cybersecurity, consentendo loro di identificare e rispondere a potenziali incidenti di sicurezza in modo più efficace e di mantenere una solida salute della rete.
Oltre il rilevamento Endpoint : Il ruolo dei metadati di rete
I sistemi EDR ( Endpoint Detection and Response) e i registri degli eventi sono strumenti preziosi nell'arsenale della cybersecurity, ma non sono in grado di fornire una visibilità completa del traffico di rete interno. I sistemi EDR sono abili nel monitorare e rispondere alle minacce sui dispositivi gestiti e i registri degli eventi offrono dati approfonditi sulle attività del sistema. Tuttavia, questa copertura è limitata ai dispositivi gestiti attivamente e integrati nel sistema EDR. Ciò lascia un vuoto significativo nella visibilità della rete.
Dispositivi non gestiti: La porta d'accesso trascurata per le intrusioni di rete
I dispositivi non gestiti, come i gadget dell'Internet of Things (IoT), le stampanti di rete, le telecamere IP e persino i termostati connessi, spesso operano al di fuori dell'ambito dei sistemi EDR e della registrazione degli eventi. Questi dispositivi possono essere facilmente trascurati, eppure sono spesso i vettori attraverso i quali si verificano le intrusioni di rete. Gli aggressori possono sfruttare questi dispositivi non monitorati e non protetti per ottenere un accesso persistente alla rete, spostandosi lateralmente per compromettere sistemi e dati critici.
Andare oltre la sicurezza reattiva: La necessità di un monitoraggio completo della rete
L'affidamento esclusivo all'EDR e ai registri degli eventi dei dispositivi gestiti crea una postura di sicurezza reattiva, simile a una partita di whack-a-mole. I team di sicurezza si trovano in una battaglia costante per identificare e neutralizzare le minacce, spesso senza una chiara comprensione del punto di ingresso o del movimento dell'attaccante all'interno della rete. Questa situazione sottolinea la necessità di un approccio più olistico al monitoraggio della rete, che includa la sorveglianza dei dispositivi non gestiti e offra una visione più ampia e integrata dell'intera rete. Questo approccio garantisce la sorveglianza di tutti i potenziali punti di ingresso e percorsi all'interno della rete, consentendo misure di sicurezza più proattive ed efficaci.
> Perché il rilevamento Endpoint non è più sufficiente
Vectra AI: migliorare la sicurezza con i metadati di rete
Monitoraggio completo su tutti i dispositivi
Vectra AI nostri metadati di rete completano i nostri rilevamenti comportamentali dell'intera rete, consentendovi di indagare a fondo e di intraprendere azioni decisive per sradicare gli aggressori.
Integrazione perfetta con i metadati formattati da Zeek
I metadati di rete Vectra AI sono formattati Zeek (alias Bro), in modo da poter migrare rapidamente e facilmente i carichi di lavoro Zeek esistenti. Anche ripartire da zero con i metadati di rete di Vectra AI è facile e veloce, poiché si può facilmente sfruttare il contenuto creato dalla grande comunità di Zeek.
Miglioramenti di AI e ML nei metadati di rete di Vectra AI
Vectra AI ha migliorato in modo sostanziale i metadati della rete con l'aggiunta di concetti come Hosts. Incorporiamo anche arricchimenti AI e ML per comprendere e contestualizzare meglio i dati. Vectra investe continuamente in questi miglioramenti in collaborazione con i nostri ricercatori di sicurezza e team di data science di livello mondiale.
Gestione avanzata dei metadati di rete
Vectra Stream è un prodotto data-pipeline che consente di archiviare questi dati nel SIEM, nel data lake o nel cloud storage. Vectra Recall è una piattaforma di dati in hosting che garantisce la disponibilità e l'operatività dei dati e ne libera ulteriore valore. L'utilizzo di Recall e/o Stream consente di indagare, ricercare, analizzare e soddisfare gli scenari di conformità e audit.
Cybersecurity proattiva con i metadati di rete potenziati dall'AI
I metadati di rete di Vectra, estremamente potenti e potenziati da AI e ML, consentono di:
- Condurre indagini dettagliate e approfondite per seguire gli aggressori mentre si muovono attraverso la rete.
- Cercare gli aggressori all'interno della rete utilizzando la propria esperienza o le conoscenze specifiche del dominio.
- Monitorare la superficie di attacco e mantenere i requisiti di conformità individuando i protocolli deprecati, i codici cifrati deboli e le configurazioni non corrette.
- Conservare un registro dei dati per i requisiti probatori di audit e conformità.
- Assicuratevi che la vostra azienda rimanga online monitorando i certificati in uso prossimi alla scadenza.
Inoltre, è possibile sfruttare Vectra Recall per:
- Creare rilevamenti automatici per le cose che vi interessano nei metadati di rete, sfruttando l'ampio contenuto di Vectra per darvi un vantaggio.
- Accelerate le vostre indagini con gli insight in-context curati da Vectra a partire dai metadati di rete, ottenendo risultati migliori e più rapidi per qualsiasi indagine di sicurezza.
Siete pronti a migliorare la vostra strategia di cybersecurity con le soluzioni avanzate di metadati di rete di Vectra? Guardate i nostri video dimostrativi per saperne di più e fate il primo passo verso una visibilità e una protezione della rete senza precedenti.