IT Altyapı Güvenliği Çözümleri
Endpoint Protection Platform( EPP)
EPP en yaygın ve etkili kötü amaçlı yazılım önleme yaklaşımıdır ve tüm kuruluşlar için temel güvenlik hijyeni olarak kabul edilir. Toplu yayılma tehditleri (WannaCry ve NotPetya gibi) işletme operasyonlarında ve altyapısında büyük hasara neden olabilir. İyi yapılandırılmış ve bakımı yapılmış bir EPP ürünü saldırı yüzeyini büyük ölçüde azaltabilir ve fidye yazılımı ve diğer tehdit risklerini azaltabilir.
3.Nesil:
- Denetlenen optimize edilmiş ayarlarla merkezi yönetilen EPP
- Standard donanım ve güvenli OS ve uygulamalar
- Asgari yetkilendirme yönetimi
- Çıkarılabilir medyaların yönetimi
- Açıklıklar ve yamaların merkezi yönetim ve raporlaması ile istismarların azaltılması
4.Nesil:
- EPP ile birlikte ML gibi modern tespit methodlarını kullanan EDR kullanımı
- Zararlı yazılımı tespit edip engelleyebilen davranış analizleri kullanımı
- Memory koruma yetenekleri
- Sandbox ile otomatik entegrasyon
- Server tarafında HIPS, FIM, sanal yamalama ve microsegmentasyon kullanımı
5.Nesil:
- Uygulama kontrol ve denetim
- Riskli proseslerin izolasyonu ve kapsüllenerek diğer prosesleri etkilemesinin engellenmesi
- Tuzak (Deception ) teknolojilerinin kullanılması
- İleri düzey son nokta davranış analizi , ihlal tespiti ve müdahale,
- Son nokta adli soruşturma araçları
Birlikte Çalışılan Üreticiler:
Endpoint Detection and Response
Son nokta güvenliği artık sadece iyi bir dosya kararına karşı tamamen kötü bir dosya değildir ve önleyici kontrolleri aşan artan sayıda saldırıyı tespit etmek için sürekli izleme ve analiz yapılması gerektiği yaygın olarak kabul edilmiştir. Ayrıntılı uç nokta olayları ve etkinlikleri toplayan EDR çözümleri bu saldırıları tespit edebiliyor ve bazı durumlarda onları otomatik olarak daha fazla yayılmasını da engelliyor
Avantajları
- Ağdan görülmeyen lokaldeki etkinlikleri algılar
- Saldırganın her sistemde yaptıklarına ilişkin ayrıntılı telemetri sağlar
- Şirket ağında olmayan uzak sistemleri kapsar
- Log etkinleştirilmiş olmasına bağlı değildir.
- Ağ şifreleme teknolojilerinden etkilenmez
- Sanllaştırılmış ortamlarda da uygulanabilir
Birlikte Çalışılan Üreticiler:
Network Sandbox
Network Sandbox lar , ağ trafiğini izlemede sensörlere dayanır .Şüpheli nesnelerin (örneğin yürütülebilir dosyalar, Microsoft Office dosyaları, PDF dosyaları ve JavaScript kodu) ve bunları kötü amaçlı yazılım içerip içermediklerini görmek için otomatik olarak analiz edildikleri bir sanal alan ortamına gönderir. Sensörler özel cihazlar (veya sanal cihazlar) olabilir veya diğer güvenlik ürünlerinin içine yerleştirilebilir (örneğin, güvenlik duvarları, güvenli web ağ geçitleri ve güvenli e-posta ağ geçitlerinin tümü sensörler olarak işlev görebilir).Kısaca SandBox indirilen dosyaları sanal makinalar üzerinde çalıştırarak zararlı APT dosyasının tespitini, analizini ve diğer güvenlik ürünleri için tespiti kolaylaştıracak imzasını(Aşısını) üretir.
Bulut tabanlı sanal alan hizmetlerinin kabulü, sanal alanın bir ana güvenlik çözümünün (örneğin, güvenlik duvarı, güvenli web ağ geçidi ve diğer ürünler gibi) bir özelliği olarak daha kolay bir şekilde entegre edilebileceği, böylece daha da yaygın şekilde uygulanmasına olanak sağlamıştır. Ülkemizdeki regülasyonlardan dolayı bulut çözümlerinin yenine genelde yerinde çözümler tercih edilmektedir.
SandBox Evrimi
- (1G SandBox), gelişmiş tehditleri tanımlamak için kullanılan bağımsız fiziksel cihazlardır.
- (2G SandBox), bir kuruluştaki gelişmiş tehditleri tespit etmek için daha geniş güvenlik mimarisindeki diğer cihazlarla entegre olur.
- (3G SandBox) artık hem statik hem de davranış analizi gerçekleştirebilen sağlam AI yetenekleri içeriyor.
Birlikte Çalışılan Üreticiler:
SIEM
İhlallere ve veri kaybı olaylarına neden olan hedefli saldırılar ve geniş tabanlı kötü amaçlı yazılım enfeksiyonları, SIEM teknolojilerini satın almak için tehdit algılamasını birincil neden olmasını sağlıyor. Üreticiler temel özelliklerden (temel ürün işlevselliğinin bir parçası olarak yer alan istatistik temelleri veya trendler gibi), dahili olarak geliştirilen veya üçüncü taraf çözümleri tarafından sağlanan gelişmiş,UEBA , makine öğrenmeye yönelik tespitlere kadar değişen güvenlik analitiği yeteneklerini geliştirmektir. SIEM teknolojileri, güvenlik düzenleme, otomasyon ve yanıt (SOAR) yetenekleri ekleyen fonksiyonların eklenmesi (doğal olarak, satın alma veya entegrasyonlar yoluyla) yoluyla daha gelişmiş olay yanıtlama yetenekleri de benimsiyor.
Avantajları
- İçeriden local,ağdışı etkinliklerini izlemek için kullanılabilir
- Ağ veya uç noktaya yönelik yaklaşımlardan daha güvenilir kullanıcı profili oluşturma verileri sunar
- Bazı SIEM ler akışları ve trafiği de alabilir
- Geniş kapsamlı tehdit tespiti
- Şifreli trafiğe karşı bağışıklık
Birlikte Çalışılan Üreticiler:
NTA
Ağ trafiği analizi (NTA) teknolojisi, kurumsal ağlardaki şüpheli etkinlikleri algılamak için makine öğrenmesi ( ML) , kural tabanlı algılama ve gelişmiş analitik kombinasyonlarını kullanır. NTA araçları, normal ağ davranışını yansıtan modeller oluşturmak için ham trafik ve / veya akış kayıtlarını (örneğin NetFlow) analiz eder. NTA araçları anormal trafik düzenleri tespit ettiğinde uyarıları yükseltir. Kuzey/Güney trafiğini izlemeye ek olarak, çoğu NTA çözümü, sensörlerin stratejik olarak ağa yerleştirilmesi koşuluyla, Doğu/Batı trafiğini de izleyebilir. Önerilen çözümün hem Supervised , hem Unsupervised hem de Rare ( Supervised in the field) lerning yeteneklerinin olması önemlidir. Ağ güvenliği uzmanlarının rapor ettiği diğer bir zorluk, ağ trafiğini yeterli şekilde izlemek için gereken NTA sensörlerini yerleştirmek için yeterli SPAN / TAP bağlantı noktası almak için sık sık mücadele etmeleridir. NTA araçları ayrıca şifreli SSL / TLS trafiğini analiz etme becerisine sahip olması önemli bir artı değeridir.
Avantajları
- Log altyapısına güvenmez
- Kullanıcı bağlamlı veriler olmadan da çalışabilir
- Modelleri daha basit ve öngörülebilir hale getiren bit tür veri (trafik) kullanır
- Dışarı sızma ve zararlını iç networkte yanal hareketini tespit için iyidir.
- Eğer networkte flow datası alınabiliyorsa ayrıca sensor ihtiyacı duymayabilir
- Bazıları ek analiz için iletilen dosyadaki zararlı yazılımı (Sandbox olmadan) yakalayabilir.
- Yönetilmeyen ve log üretmeyen (IoT vs.) cihazların olduğu ağları da analiz edebilir.
- Gelişmiş AI/ML yetenekleri ile daha az False-Pozitif üretir.
Birlikte Çalışılan Üreticiler:
SOAR
SOAR, kuruluşların güvenlik operasyonları ekibi tarafından izlenen girdileri toplamasını sağlayan teknolojileri ifade eder. Örneğin, SIEM ve diğer güvenlik teknolojilerinden, standart bir iş akışına göre standartlaştırılmış olay müdahale faaliyetlerinin tanımlanması, önceliklendirilmesi ve yönlendirilmesine yardımcı olmak için insan ve makine gücünün bir kombinasyonunu kullanarak olay analizi ve triyaj yapılabileceği uyarıları üretilebilir. SOAR araçları, bir kurumun olay analizini ve yanıt prosedürlerini dijital iş akışı biçiminde tanımlamasına olanak tanır.
SOAR Avantajları
- Çok daha fazla olay atlanmadan cevaplanabiliyor
- Hazır playbooklar ile çok daha hızlı cevaplama ( manuel 45 dk. SOAR ile 1.5 dk)
- Analistlerin karmaşık olaylara daha fazla zaman ayırabilme imkanı
- Mevcut üretici connectorleri yardımıyla ile daha az ürün bilgisi ile farklı markalardaki ürünlere müdaha edebilme
- Detaylı raporlamalar ve uyumluluk kontrolleri,
- Networkteki zayıflıkların VA tooları ile otomatik tespiti ve analizi
- Görünür olay korelasyonu
Birlikte Çalışılan Üreticiler:
