Одному банку из списка Fortune 500 необходимо было заменить инструмент EDR (endpoint detection and response/обнаружение конечных точек и реагирование) на инструмент, предоставляющий группе безопасности полную историю атак путем автоматического сбора и анализа данных конечных точек. Группе безопасности также требовался новый инструмент EDR, чтобы помочь ей перейти к модели обнаружения, основанной на поведении. Cybereason помог команде безопасности лучше обнаружить ненормальное поведение по всей компании, автоматизировав сбор и анализ данных конечных точек. ПРОБЛЕМЫ И ЗАДАЧИ У банка, который имеет более 60 миллионов клиентов по всему миру, была проблема с большими данными. Инструмент EDR, который он использовал, собирал кучу данных о конечных точках с сотен тысяч серверов и компьютеров банка, но не предоставлял аналитикам безопасности какой-либо контекст этой информации. Вместо этого аналитики вынуждены были проводить длительный процесс ручного запроса данных, чтобы разобраться в этом.
«Наш предыдущий инструмент EDR только что предоставил много данных. Это не полезно, когда у вас такая большая инфраструктура. Вы просто перегружены данными », - сказал заместитель главы CISO банка.
Обязательным требованием было также более широкое представление конечной точки о вредоносных действиях на предприятии. Предыдущий инструмент банка EDR не смог обнаружить красную команду, имитирующую злоумышленников. Депутат CISO знал, что если красная команда сможет использовать эти методы, чтобы уклониться от инструмента EDR, злоумышленники могут использовать их для проникновения в сеть банка.
Банку был нужен инструмент EDR, который:

• Автоматически собирал и анализировал данные конечных точек и использовал их, чтобы предоставить аналитикам полную историю атак

• Использовал поведенческий анализ для обнаружения вредоносной активности

• Улучшенная видимость конечных точек и расширенное обнаружение угроз во всей компании

РЕШЕНИЕ Возможность Cybereason автоматически сортировать данные конечных точек и размещать контекст вокруг них произвела впечатление на команду безопасности и привела к тому, что банк приобрел платформу. Банк решил развернуть Cybereason на 400 000 конечных точек. Развертывание началось в начале сентября 2017 года, и к концу года Cybereason был на 200 000 конечных точек. С помощью Cybereason команда безопасности имела представление о том, что является нормальным поведением в их ИТ-среде и что является аномалией, требующей дальнейшего изучения. «Многие инструменты очень хороши для обеспечения наглядности, но ни один другой продукт не может сказать:« Это то, на что вам нужно обратить внимание ». Именно это и предлагает Cybereason. Нам нужен инструмент, который дает нам эти уникальные предупреждения, потому что мы большой банк и большая цель », - сказал заместитель CISO. Cybereason был быстро проверен: через две недели после начала развертывания, когда Cybereason был на 20 000 компьютеров, уязвимость сервера Apache Struts была публично раскрыта. Банк использовал Cybereason для мониторинга своей среды и выяснения, использовали ли злоумышленники уязвимость.
«Когда вышел Struts, и это стало для нас проблемой, потому что у нас такая большая инфраструктура . Нам нужно было быть уверенным, что во время установки исправлений мы сможем увидеть, использует ли кто-нибудь эту уязвимость. Мы немедленно применили Cybereason к этим затронутым системам, чтобы улучшить видимость », - сказал заместитель CISO. РЕЗУЛЬТАТ Команда безопасности банка стала более эффективной с Cybereason. Вместо того чтобы вручную запрашивать данные конечных точек, они использовали базу данных графиков Cybereason в памяти, чтобы автоматически собирать и сопоставлять данные конечных точек и предупреждать их при обнаружении вредоносного поведения. Это позволило группе безопасности проводить больше времени в расследовании инцидентов, которые угрожали безопасности банка.
«Магия Cybereason в том, что он не просто забирает все ваши данные. База данных графиков расскажет вам, что нормально в вашей среде, а что нет. Это ценно, потому что вы можете сосредоточиться на том, что необычно », - сказал заместитель CISO.
Использование Cybereason также помогло команде безопасности принять модель обнаружения, основанную на поведении, и меньше полагаться на индикаторы компромисса, которые не предоставляли им достаточную наглядность. Злоумышленники легко изменили показатели компрометации, чтобы уклониться от антивирусного программного обеспечения, считает депутат CISO. Кроме того, он заметил увеличение количества атак без файловых вредоносных программ, которые не могут быть обнаружены при поиске признаков компрометации. Использование поведенческого анализа для обнаружения инструментов, методов и процедур злоумышленника является наилучшим способом обнаружения атак вредоносных программ без файлов.
«Индикаторы - это устаревшая вещь в сфере безопасности. Вы должны выйти за их пределы. Вы должны обнаружить методы и инструменты, которые противникам гораздо сложнее изменить », - сказал он.