Trasforma gli avvisi in azioni concrete

Gli aggressori eludono il rilevamento agendo in modi che sembrano attività normali e affidabili, il che permette loro di rimanere nascosti mentre si muovono all'interno dell'ambiente. In genere seguono uno schema costante:

• Utilizza credenziali valide per accedere ai sistemi senza attivare avvisi  

• Operare tramite strumenti amministrativi affidabili e utilità di sistema integrate (LOLBins)  

• Rimanere al di sotto dei limiti di rilevamento basati sulla firma e sulla soglia  

• Con il passare del tempo, mimetizzarsi con il normale comportamento degli utenti e del sistema  

Tra le tecniche più comuni figurano il "living-off-the-land" (LOLBins), il traffico di comando e controllo crittografato e l'abuso graduale e discreto delle credenziali. Poiché gli strumenti tradizionali generano avvisi isolati senza collegare i vari comportamenti, questi attacchi spesso non vengono individuati come parte di una campagna coordinata.

I team SOC sono sommersi dal volume degli avvisi, il che costringe gli analisti a dedicare tempo alla verifica di falsi allarmi invece di concentrarsi sulle minacce reali, aumentando in ultima analisi il rischio per l'organizzazione. Ciò crea un problema che si aggrava progressivamente:

• I team ricevono centinaia di migliaia di avvisi ogni giorno  

• La maggior parte degli avvisi è priva di contesto e richiede una valutazione manuale  

• Gli analisti si concentrano su attività innocue o di bassa priorità invece che su attacchi reali  

• Le minacce reali rimangono nascoste più a lungo, aumentando il tempo di permanenza

Un rilevamento e una risposta più rapidi riducono direttamente il tempo di permanenza dell'autore dell'attacco, limitando la portata della diffusione dell'attacco e l'entità dei danni che può causare. Quando i team di sicurezza sono in grado di identificare rapidamente le minacce reali e intervenire di conseguenza, riescono a contenere gli attacchi prima che si aggravino:

• Ridurre il tempo medio necessario per individuare il problema e intervenire, limitando così l'entità del danno  

• Contrastare le minacce prima della diffusione del ransomware o della sottrazione dei dati  

• Prevenire interruzioni dei sistemi critici e delle operazioni aziendali  

• Migliorare l'efficienza del SOC concentrandosi sulle minacce con un elevato grado di affidabilità  

Le aziende che utilizzano Vectra AI ottenuto risultati tangibili: Globe Telecom, ad esempio, ha ridotto i tempi di risposta da 16 a 3,5 ore, mentre Verifone è riuscita a ridurre 438.000 eventi a soli 6 incidenti prioritari.