Benvenuti nel blog di Vectra

Il ransomware moderno è stato pesantemente armato, ha un ampio raggio d'azione ed è uno strumento fondamentale nell'arsenale degli aggressori. In una chiamata alle armi, cloud e le organizzazioni aziendali di tutto il mondo si stanno adoperando per rilevare e rispondere tempestivamente agli attacchi ransomware.

All'inizio di questo mese è stata pubblicata la Gartner Market Guide for Intrusion Detection and Prevention Systems, che descrive la definizione del mercato e la direzione dei requisiti che gli acquirenti dovrebbero cercare nella loro soluzione IDPS, nonché i principali casi d'uso che guidano gli IDPS oggi.

In un blog precedente abbiamo parlato dell'importanza degli arricchimenti di sicurezza nei metadati di rete. Questi servono come base per i cacciatori di minacce e gli analisti per testare e interrogare le ipotesi durante un processo investigativo.

Le fasi di un cyberattacco attivo sono molteplici e ognuna di esse rappresenta un pericoloso anello di una complessa catena di morte che offre ai criminali l'opportunità di spiare, diffondere e rubare informazioni critiche nei carichi di lavoro nativi e ibridi di cloud e nei dispositivi utente e IoT.

Mentre la trasformazione dell'assistenza sanitaria attraverso le nuove tecnologie mediche continua a progredire, le organizzazioni sanitarie devono rimanere attente a quali tecnologie sono presenti, come vengono utilizzate e quando si verificano azioni non autorizzate.

Oggi sono entusiasta di condividere la notizia che Vectra ha completato un round di finanziamento Series E da 100 milioni di dollari guidato da TCV, una delle più grandi società di growth equity che sostengono aziende tecnologiche private e pubbliche.

Vectra I clienti e i ricercatori di sicurezza rispondono ad alcune delle minacce più gravi al mondo. E ci dicono che c'è una serie coerente di domande a cui devono rispondere quando indagano su un determinato scenario di attacco. Partendo da un avviso di Cognito Detect, da un altro strumento di sicurezza o dalla loro intuizione, gli analisti formulano un'ipotesi su ciò che sta accadendo.

In un blog precedente abbiamo parlato dei vantaggi offerti dai metadati in formato Zeek. Questo blog si basa su questo filo conduttore e illustra i motivi per cui i nostri clienti si rivolgono a noi come soluzione aziendale per supportare le loro implementazioni Zeek.d

Sebbene NDR e EDR possano fornire una prospettiva su questo aspetto, NDR è più importante perché fornisce una prospettiva laddove EDR non può farlo. Ad esempio, gli exploit che operano a livello del BIOS di un dispositivo possono eludere l'EDR.

La raccolta e l'archiviazione dei metadati di rete rappresentano un equilibrio perfetto per i data lake e i SIEM. I metadati consentono ai team operativi di sicurezza di creare query che interrogano i dati e conducono a indagini più approfondite.

Nel valutare come attrezzare i vostri team di sicurezza per identificare i comportamenti di movimento laterale, vi invitiamo a valutare l'efficacia dei vostri processi e strumenti per identificare e rispondere rapidamente ai 5 principali comportamenti di movimento laterale che osserviamo comunemente.

Esiste un nuovo tipo di architettura di sicurezza senza SIEM che consente alle aziende di sfruttare persone intelligenti con esperienza informatica generale per diventare la prossima generazione di analisti di sicurezza.

Immaginate di avere uno strumento di sicurezza che pensa nel modo in cui gli insegnate a pensare, che agisce quando e come lo avete addestrato ad agire. Non dovrete più adattare le vostre abitudini di lavoro a regole generiche scritte da terzi e chiedervi come colmare le lacune di sicurezza che le regole non vi hanno indicato.

Gli Stati Uniti non sono stati colpiti da un cyberattacco paralizzante alle infrastrutture critiche come quello che ha messo fuori gioco l'Ucraina nel 2015. Quell'attacco ha messo fuori uso la rete elettrica ucraina, lasciando al buio più di 700.000 persone.

Microsoft ha presentato la Azure Virtual Network TAP e Vectra ha annunciato il suo vantaggio come partner di sviluppo e la dimostrazione della sua piattaforma Cognito che opera in ambienti ibridi Azure cloud .

Di recente, Vectra ha pubblicato l'edizione 2018 di Black Hat del rapporto di settore sul comportamento degli attaccanti, che copre il periodo da gennaio a giugno 2018. Sebbene esistano numerosi rapporti di ricerca sulle minacce, questo offre approfondimenti unici sui comportamenti reali dei cyberattaccanti riscontrati in cloud, nei data center e nelle reti aziendali.

Nonostante la recente esplosione della ricerca sull'apprendimento automatico e sull'intelligenza artificiale (AI), non esiste un metodo o un algoritmo unico che funzioni al meglio in tutti i casi. Questa nozione è stata formalizzata e dimostrata matematicamente in un risultato noto come teorema di No Free Lunch (Wolpert e Macready 1997).

Recentemente abbiamo fatto una scoperta allarmante: gli hacker utilizzano tunnel nascosti per penetrare e rubare nelle aziende di servizi finanziari! È chiaro che si tratta di un affare serio, se si tratta di malintenzionati che mirano a ingenti quantità di denaro e informazioni private. Ma con cosa abbiamo a che fare esattamente? Cerchiamo di capire cosa sono i tunnel nascosti e come li trovo per scoprire la risposta.

L'apprendimento profondo si riferisce a una famiglia di algoritmi di apprendimento automatico che possono essere utilizzati per l'apprendimento supervisionato, non supervisionato e con rinforzo. Questi algoritmi stanno diventando popolari dopo molti anni di abbandono. Il nome deriva dalla consapevolezza che l'aggiunta di un numero crescente di strati in una rete neurale consente al modello di apprendere rappresentazioni sempre più complesse dei dati.

Gli analisti di cybersecurity sono sommersi da eventi di sicurezza che devono essere gestiti, analizzati, correlati e classificati come prioritari. Se siete analisti, probabilmente avete delle capacità incredibili ma siete frenati da un lavoro manuale e noioso.

Esistono numerose tecniche per creare algoritmi in grado di apprendere e adattarsi nel tempo. In linea di massima, possiamo organizzare questi algoritmi in una delle tre categorie: apprendimento supervisionato, non supervisionato e con rinforzo.

"La domanda iniziale "Le macchine possono pensare? credo sia troppo priva di significato per meritare una discussione. Tuttavia, credo che alla fine del secolo, l'uso delle parole e l'opinione generale degli studiosi saranno talmente cambiati che si potrà parlare di macchine che pensano senza aspettarsi di essere contraddetti". - Alan Turing

Le macchine possono pensare? La domanda in sé è ingannevolmente semplice, in quanto la capacità umana di introspezione ha reso ognuno di noi intimamente consapevole di cosa significhi pensare.

Mentre gli attacchi ransomware come NotPetya e WannaCry facevano notizia (e soldi) nel 2017, il mining di criptovalute stava silenziosamente guadagnando forza come erede quando si tratta di comportamenti opportunistici per il guadagno monetario.

Esplora i contributi pionieristici di Alan Turing all'intelligenza artificiale, la Macchina di Turing e le sue prospettive sullo sviluppo dell'informatica moderna.

Nel mio ultimo blog ho parlato di un cliente del settore finanziario che effettuava pen test e di come ho aiutato il team blu a individuare il team rosso mentre effettuava un attacco. Oggi sono di nuovo qui con un'altra storia dalla trincea.

Vectra® è stato recentemente posizionato come unico Visionario nel Magic Quadrant di Gartner 2018 per i sistemi di rilevamento e prevenzione delle intrusioni (IDPS). Nel corso degli anni, i sistemi di rilevamento delle intrusioni (IDS) sono confluiti nei sistemi di prevenzione delle intrusioni (IPS) e i due sono ora noti collettivamente come IDPS.

Esplora una guida completa a TensorForest in TensorFlow, compresi i metodi di foresta casuale, l'implementazione e i confronti con scikit-learn.

Cisco recently <a href="https://newsroom.cisco.com/press-release-content?type=webcontent&articleId=1854555" target="_blank">announced</a> the term "intent-based networking" in a press release that pushes the idea that networks need to be more intuitive. One element of that intuition is for networks to be more secure without requiring a lot of heavy lifting by local network security professionals.

Scoprite come Vectra AI rileva e risponde al ransomware WannaCry e alle sue varianti utilizzando l'analisi comportamentale e il monitoraggio continuo.

Un attacco ransomware si sta diffondendo molto rapidamente tra i sistemi Windows senza patch in tutto il mondo. Questa mattina si pensava che l'attacco fosse inizialmente rivolto al Servizio Sanitario Nazionale del Regno Unito, ma nel corso della giornata è emerso che si tratta di un attacco globale.

Sembra che una nuova variante o vittima di ransomware faccia notizia ogni giorno. Fa notizia perché funziona molto bene e provoca una distruzione diffusa. Così, quando la recente ondata di notizie ha riguardato PetrWrap, una variante del noto ransomware Petya, è stato facile non coglierne l'importanza. La narrazione "senza onore per i ladri" ha fatto passare in secondo piano la sua vera importanza.

L'integrazione riduce i costi e aumenta l'efficacia. Per questo motivo, Vectra è adattabile per design. Tutto ciò che facciamo tiene conto di come aiutare i nostri clienti a combattere gli attacchi in modo più efficiente e veloce. A volte si tratta di determinare dove fornire informazioni sofisticate sulle minacce al di là di Vectra. La collaborazione con Splunk è un ottimo esempio di questa integrazione.

Nel 2012, Shamoon ha paralizzato Saudi Aramco e questa nuova variante sarebbe stata presa di mira dal ministero del lavoro saudita e da diverse aziende di ingegneria e produzione. Nel corso di una recente analisi, Vectra Networks si è imbattuta in un componente dannoso che sembra essere utilizzato in combinazione con i documenti dannosi consegnati tramite spearphishing.

Da sempre le aziende si sono affidate alla prevenzione e ai controlli basati su policy per la sicurezza, implementando prodotti come software antivirus, IDS/IPS e firewall. Tuttavia, come sappiamo e come hanno affermato le società di ricerca del settore, questi prodotti non sono sufficienti per affrontare adeguatamente l'ambiente di minacce odierno, invaso da una serie vertiginosa di attacchi avanzati e mirati.

Nella comunità della sicurezza informatica (InfoSec), l'intelligenza artificiale è comunemente vista come un salvatore, un'applicazione della tecnologia che consentirà alle aziende di identificare e mitigare più rapidamente le minacce, senza dover aggiungere altri esseri umani. Il fattore umano è comunemente visto come un inibitore delle aziende, poiché le competenze e l'esperienza necessarie sono costose e difficili da ottenere.

Questa è la previsione fatta dall'analista di Gartner Avivah Litan nel suo ultimo post sul blog, The Disappearing UEBA Market. Naturalmente ha attirato la nostra attenzione qui a Vectra. Non siamo un'azienda UEBA indipendente, né vogliamo esserlo. Siamo prima di tutto un'azienda di intelligenza artificiale che dà potere ai cacciatori di minacce. Ma spesso ci troviamo a discutere con persone che credono che l'UEBA da sola risolverà i problemi del mondo (e forse farà anche il caffè al mattino).

Le aziende hanno una strategia per criptare tutto. Con questa crittografia, tuttavia, i tentativi di decodifica SSL comportano la necessità di elaborare grandi volumi di dati crittografati.

Vectra I ricercatori di Threat Labs hanno scoperto le attività di un gruppo di individui attualmente impegnati in attacchi mirati contro entità del Medio Oriente. Questi attacchi sono incentrati su questioni politiche mediorientali e la motivazione sembra essere legata allo spionaggio, piuttosto che a intenzioni opportunistiche o criminali.

Posto ai margini della rete e raramente configurato o monitorato per comprometterla attivamente, il firewall è oggi un bersaglio vulnerabile per attacchi persistenti e mirati.

Security researchers with Vectra Threat Labs recently uncovered a critical vulnerability affecting all versions of <a href="https://www.vectra.ai/news/vectra-networks-discovers-critical-microsoft-windows-vulnerability-that-allows-printer-watering-hole-attacks-to-spread-malware">Microsoft Windows</a> reaching all the way back to Windows 95. The vulnerability allows an attacker to execute code at system level either over a local network or the Internet. As a result, attackers could use this vulnerability both to infect an end-user from the Internet, and then spread through the internal network.

Le stampanti rappresentano un caso interessante nel mondo dell'IoT (Internet of Things), in quanto sono un hardware molto potente rispetto alla maggior parte dei dispositivi IoT, ma non sono tipicamente considerate come un "vero" computer dalla maggior parte degli amministratori. In questo caso, studiamo come utilizzare il ruolo speciale che le stampanti hanno all'interno della maggior parte delle reti per infettare effettivamente i dispositivi degli utenti finali ed estendere l'impronta del loro attacco all'interno della rete.

Il ransomware è chiaramente il flagello del 2016. Ogni settimana si registra un nuovo e notevole focolaio a livello aziendale di questa insidiosa classe di malware- che paralizza ed estorce una gamma sempre più ampia di organizzazioni.

Alla luce della risposta di Apple alla richiesta dell'FBI di accedere all'iPhone del killer di San Bernardino Syed Farook, sembra che ci sia un po' di confusione nel collegare questa richiesta dell'FBI con il più ampio dibattito governativo sulla fornitura di backdoor e crittografia.

Come fanno gli aggressori a violare le webcam? Scoprite come le webcam possono essere violate utilizzando una backdoor e come impedire agli aggressori di sfruttarle.

La necessità di bloccare le minacce in pochi millisecondi costringe gli IDS/IPS a utilizzare le firme per i rilevamenti. Sebbene le firme siano in grado di rilevare un'ampia varietà di minacce, si basano su una rapida corrispondenza dei modelli di minacce note.

Recentemente abbiamo appreso che HP DVLabs ha scoperto almeno dieci vulnerabilità nell'estensore di portata Wi-Fi Belkin N300 Dual-Band (F9K1111). Poiché si tratta del primo aggiornamento rilasciato per l'F9K1111 e non sono state rilevate vulnerabilità pubbliche, abbiamo pensato che sarebbe stato interessante dare un'occhiata più approfondita.

Recentemente, Kasperky Labs ha rivelato di essere stata vittima di un sofisticato attacco informatico, che ha chiamato Duqu 2.0. Il team di Kaspersky Labs ha pubblicato un'analisi dettagliata di Duqu 2.0 che vale la pena di leggere.

Aggiornato il 3 giugno 2015 11:00 AM(vedi dettagli)Recentemente una popolare applicazione per la privacy e lo sblocco nota come Hola ha attirato l'attenzione della comunità della sicurezza per una serie di vulnerabilità e pratiche molto discutibili che consentono al servizio di comportarsi essenzialmente come una botnet a pagamento attraverso il suo servizio gemello chiamato Luminati. I ricercatori di Vectra hanno esaminato questa applicazione dopo averla osservata nelle reti dei clienti nelle ultime settimane e i risultati sono sia intriganti che preoccupanti. Oltre alle varie funzioni di attivazione di botnet che sono ormai di dominio pubblico, l'applicazione Hola contiene una serie di caratteristiche che la rendono una piattaforma ideale per l'esecuzione di attacchi informatici mirati.

Le violazioni della sicurezza non hanno smesso di fare notizia negli ultimi mesi e, mentre gli hacker sono ancora alla ricerca dei dati delle carte di credito, la tendenza è quella di arricchire i record di dati e di sfruttare diversi asset chiave all'interno di un'organizzazione. Di conseguenza, le organizzazioni devono sviluppare nuovi schemi per identificare e tracciare le risorse informative chiave. La più grande violazione recente nel settore finanziario si è verificata presso JP Morgan Chase, con una stima di 76 milioni di record di clienti e altri 8 milioni di record appartenenti a imprese rubati da diversi server interni. Presso Morgan Stanley, un dipendente del gruppo di gestione patrimoniale dell'azienda è stato licenziato dopo che sono trapelate le informazioni di un massimo del 10% della clientela più ricca di Morgan Stanley. Ancora più sensibile è stata la più grande violazione del settore sanitario: presso Anthem sono stati esposti oltre 80 milioni di dati contenenti informazioni di identificazione personale (PII), compresi i numeri di previdenza sociale. Meno noto, ma potenzialmente più costoso in termini di danni e cause legali, è il presunto furto di segreti commerciali da parte dell'ex amministratore delegato di Chesapeake Energy (NYSE: CHK).

Evitare che i dati vengano diffusi o danneggiati dagli aggressori informatici è ciò che tiene svegli di notte i CISO, il team esecutivo e i consigli di amministrazione. Per proteggere le organizzazioni, la sicurezza informatica deve essere automatizzata e in tempo reale, deve apprendere in modo contestuale come facciamo noi e deve monitorare le minacce in ogni angolo della rete in un modo che le organizzazioni possono permettersi senza sacrificare la copertura.

Non tutte le violazioni provengono da soggetti malintenzionati esterni. Scoprite tutto sulle minacce interne, gli indicatori comuni e le strategie di prevenzione utili nel nostro blog post.

Mentre la minaccia insider nelle agenzie governative e nelle grandi aziende è un problema noto, con strategie di mitigazione in qualche modo implementate, si sa meno della minaccia insider alle infrastrutture critiche degli Stati Uniti, come la purificazione dell'acqua o le centrali nucleari.

Il 6 giugno, Kashmir Hill, giornalista di Forbes, ha scritto di un ricercatore dell'NSF che ha utilizzato impropriamente le risorse di supercalcolo finanziate dall'NSF per estrarre Bitcoin per un valore compreso tra 8.000 e 10.000 dollari. L'articolo fa riferimento a uno studente dell'Imperial College di Londra e a un ricercatore dell'Università di Harvard che avrebbero usato i computer della loro università per estrarre una moneta virtuale simile, chiamata Dogecoin.

Esplorare i rischi della vulnerabilità Heartbleed nelle reti interne e come mitigare queste minacce.