Passgenau für die jeweilige Infrastruktur, die verfügbaren Sicherheitsdaten und für das Unternehmen
Mit Kaspersky Detection Engineering [1] stelltder Cybersicherheitsexperte Kaspersky einen neuen Service vor, der Unternehmen bei der Entwicklung, dem Test und der Implementierung individueller Erkennungsszenarien unterstützt. Er richtet sich an Unternehmen, die bereits Kaspersky SIEM [2] und Kaspersky Next XDR Expert [3] einsetzen; er stimmt die Bedrohungserkennung auf die jeweilige Infrastruktur, verfügbare Sicherheitsdaten und die für das Unternehmen vorrangigen Bedrohungen ab.
Vordefinierte Regeln in SIEM- und XDR-Plattformen berücksichtigen nicht immer unternehmenseigene Anwendungen oder unternehmensspezifische Betriebsabläufe; eine zuverlässige Erkennung von Cyberangriffen ist somit nicht immer gegeben. Durchschnittlich werden nur 43 Prozent der Ereignisquellen durch Korrelationsregeln abgedeckt, so dass ein Teil der erfassten Telemetriedaten in keine Erkennungsregel einfließt [4]. Gleichzeitig müssen SOC-Teams ihre Erkennungsregeln angesichts neuer Systeme und veränderter Angriffstechniken kontinuierlich überprüfen und verfeinern. Dafür fehlt ihnen jedoch häufig die Zeit oder das spezialisierte Fachwissen. Um Unternehmen dabei zu unterstützen, hat Kaspersky den Service Kaspersky Detection Engineering entwickelt.
Damit erweitert der Cybersicherheitsexperte sein SOC Consulting-Portolio [1] um einen neuen Service, der SOC-Teams bei der Weiterentwicklung ihrer Erkennungsfähigkeiten unterstützt. Das Portfolio umfasst Dienstleistungen für den Aufbau neuer SOCs und die Optimierung einzelner Funktionen bestehender SOCs. Kaspersky Detection Engineering unterstützt dabei, die Prioritäten eines Unternehmens bei der Bedrohungserkennung und die verfügbaren Telemetriedaten in getestete Erkennungsszenarien zu überführen. Dafür analysieren Experten von Kaspersky die Infrastruktur und Datenquellen des Unternehmens, identifizieren die für die Erkennung erforderlichen Ereignisse und Datenfelder und entwickeln neue Erkennungslogiken oder passen bestehende an die jeweilige Kundenumgebung an.
Vor der Integration in Kaspersky SIEM oder Kaspersky Next XDR Expert werden die einzelnen Szenarien anhand vorhandener Daten getestet und ihre Auslösebedingungen angepasst, um False Positives zu reduzieren. So lassen sich auch komplexe, branchenspezifische Anforderungen berücksichtigen. Ein Erkennungsszenario könnte beispielsweise ungewöhnliche Änderungen an Zahlungsdaten oder Freigabeprozessen erkennen und dabei helfen, potenziell verdächtige Aktivitäten innerhalb der Geschäftsprozesse eines Unternehmens aufzudecken. Der Service richtet sich damit auch an Unternehmen mit bereits etablierten SOC-Teams, die ihre Sicherheitsüberwachung ausweiten, neue Systeme integrieren, bei Untersuchungen oder Sicherheitsübungen identifizierte Erkennungslücken schließen oder Erkennungsinhalte von einer anderen Plattform migrieren müssen.
Dokumentation und Wissenstransfer für SOC-Teams
Kunden erhalten entwickelte und getestete Erkennungsszenarien sowie die zugehörige Dokumentation und Empfehlungen für den laufenden Betrieb, die ihre SOC-Teams bei der Nutzung und Pflege dieser Erkennungsinhalte unterstützen. Zudem umfasst der Service einen Wissenstransfer, damit die Teams die Erkennungslogik und den praktischen Einsatz der einzelnen Szenarien verstehen.
„Für eine effektive Bedrohungserkennung reichen vorgefertigte Standardregeln nicht aus“, erklärt Roman Nazarov, Head of SOC Consulting bei Kaspersky. „Die Erkennungslogik muss die Infrastruktur des Unternehmens widerspiegeln, die richtigen Telemetriedaten nutzen und anhand der Aktivitäten getestet werden, die sie erkennen soll. Kaspersky Detection Engineering unterstützt SOC-Teams dabei, Erkennungsprioritäten in validierte Erkennungsszenarien zu überführen, die unmittelbar im Sicherheitsbetrieb eingesetzt werden können.“
Weitere Informationen zu Kaspersky Detection Engineering sowie zu anderen Diensten für den Aufbau und die Weiterentwicklung von Security Operations Centern sind verfügbar unter https://www.kaspersky.com/enterprise-security/soc-consulting
[1] https://www.kaspersky.com/enterprise-security/soc-consulting
[2] https://www.kaspersky.de/enterprise-security/unified-monitoring-and-analysis-platform
[3] https://www.kaspersky.de/enterprise-security/xdr
[4] https://www.kaspersky.de/enterprise-security/resources/reports/mdr-ir-analyst-reports
Nützliche Links:
- Kaspersky SOC Consulting: https://www.kaspersky.com/enterprise-security/soc-consulting
- Kaspersky SIEM: https://www.kaspersky.de/enterprise-security/unified-monitoring-and-analysis-platform
- Kaspersky Next XDR Expert: https://www.kaspersky.de/enterprise-security/xdr
