ספקית אנרגיה מונעת הצפת התראות ומשפרת את זיהוי פרצות "יום אפס" בעזרת OPSWAT

בארגון זה, פעילות איתור האיומים יצרה עומס יתר של התראות, מכיוון שתהליכי העבודה האוטומטיים לא כללו את ההקשר ההתנהגותי הדרוש להבחנה בין איומים אמיתיים לפעילות תמימה. כתוצאה מכך, האנליסטים נאלצו להשקיע זמן רב בבדיקה ובאימות ידניים של ההתראות, דבר שהאט את קצב החקירות והגביר את העומס מההתראות בכל מרכז הבקרה (SOC).

עם התרחבות הסביבה והגידול בהיקף האיומים, הפך קשה יותר להבחין בין אותות משמעותיים לרעשי רקע. במקום לאפשר זיהוי מהיר יותר, איתור איומים לעיתים קרובות עיכב את התגובה ופגע באמון בתוצאות האוטומטיות. מצב זה יצר עומס תפעולי על מחלקת האבטחה האחראית להגנה על תשתיות אנרגיה קריטיות.

פעילות איתור האיומים התקשתה לעמוד בקצב, שכן ביצועים איטיים של שאילתות ורישוי מבוסס שימוש הגביל את המהירות וההיקף שבהם ניתן היה לבצע חקירות. בסביבה שבה יש לבחון במהירות תוכנות זדוניות לא מוכרות ומשופרות, זמן ההשהיה הזה פגע ביכולתו של מרכז הבקרה (SOC) לפעול בביטחון ובדחיפות.

הבעיה הוחרפה עקב חוסר הגמישות. הרישוי המבוסס על שימוש הגביל את היקף היישום של איתור איומים בקרב צוותים ותהליכי עבודה, מה שהפך את הרחבת האוטומציה או הגדלת הכיסוי למשימה יקרה. ככל שנפח ההתראות והדרישות התפעוליות גדלו, יכולת איתור האיומים לא הצליחה לעמוד בקצב, ונוצר פער הולך וגדל בין עומס העבודה ב-SOC לבין קצב הזיהוי הזמין.

כדי להתמודד עם אתגרים אלה, הארגון החליף את תהליכי העבודה האוטומטיים הקיימים שלו לאיתור איומים MetaDefender , ואימץ גישה המונעת על ידי זיהוי, שתוכננה במיוחד לזיהוי איומים מסוג "יום אפס" ואיומים מתוחכמים. במקום להסתמך על אינדיקטורים חיצוניים בלבד, מרכז הבקרה והמענה (SOC) הטמיע פלטפורמה מאוחדת המשלבת ניתוח התנהגותי, מודיעין איומים ותעדוף אוטומטי לתוך צינור זיהוי יחיד.

שינוי זה איפשר לארגון להתקדם מעבר להעשרת התראות ולהטמיע מודל לאיתור איומים, אשר סיפק תוצאות ברורות, תוצאות מהירות יותר וביצועים הניתנים להרחבה, בהתאם לדרישות של סביבת אנרגיה גדולה ומבוזרת.

MetaDefender שולבה בתהליכי העבודה של מרכז התפעול האבטחה (SOC) של הארגון כדי לנתח קבצים חשודים ונתוני אבטחה נלווים באופן אוטומטי ובקנה מידה נרחב. במקום להעשיר התראות בהקשר חיצוני בלבד, הפלטפורמה הפעילה קבצים באמצעות הדמיה ברמת ההוראות, וחשפה התנהגות זדונית שניתוח סטטי ומודיעין מבוסס אינדיקטורים לא הצליחו לאתר.

כל ניתוח הניב תוצאה אחת שאותה יכלו האנליסטים ליישם באופן מיידי, דבר שהסיר את העמימות מהחקירות והאיץ את התגובות.

מרכיבי מפתח ביישום

• סביבת בדיקה אדפטיבית מבוססת אמולציה להפעלת קבצים בבטחה ולחשיפת התנהגות מתחמקת או רדומה בתוך שניות
• מודיעין איומים מובנה המשמש לקישור בין ממצאי התנהגות לבין נתוני טלמטריה גלובליים ופנימיים
• דירוג איומים וקביעת סדר עדיפויות כדי לסייע לאנליסטים להתמקד תחילה בפעילות המסוכנת ביותר
• חיפוש דמיון המונע על ידי למידת מכונה, לצורך זיהוי גרסאות תוכנות זדוניות קשורות וחשיפת קמפיינים נרחבים יותר

מכיוון MetaDefender פועל על פי מודל מבוסס נפח ולא על פי רישוי למשתמש או לשאילתה, ה-SOC הרחיב את האוטומציה ואת הכיסוי מבלי לחשוש מעליות חדות בעלויות. הדבר איפשר לארגון להרחיב את פעילות איתור האיומים על פני צוותים ואתרים שונים, תוך שמירה על ביצועים עקביים ועל עלויות תפעול צפויות.

מעבר לשיפורים המיידיים בזיהוי, הארגון פיתח יכולת לאיתור איומים שהשתפרה בהתמדה לאורך זמן. כל קובץ שנבדק תרם נתוני התנהגות חדשים, חיזק את מודיעין האיומים המובנה בפלטפורמה ושיפר את יכולתו של מרכז הבקרה (SOC) לזהות איומים קשורים או איומים שלא נראו בעבר.

באמצעות חיפוש דמיון המונע על ידי למידת מכונה, MetaDefender יצרה הקשרים בין דפוסי התנהגות בניתוחים שונים כדי לחשוף גרסאות של תוכנות זדוניות, תשתית משותפת ומסעות תקיפה מתהווים. הדבר איפשר למרכז התפעול האבטחה (SOC) לעבור מחקירות תגובתיות לאיתור יזום, ובכך לזהות איומים שעלולים היו להישאר חבויים בנתונים ההיסטוריים.

הודות להטמעת MetaDefender , הארגון שיפר את יכולת זיהוי האיומים ובמקביל הפך את פעולות האבטחה השוטפות לקלות יותר לביצוע עבור הצוותים שלו. ההשפעה ניכרה הן בתוצאות הזיהוי והן באיכות קבלת ההחלטות בכל רחבי מרכז הבקרה (SOC).

• הפחתת הסיכון התפעולי ומניעת עלויות הנובעות מתקריות
• ניצול טוב יותר של השקעות באבטחה באמצעות הפחתת רעש
• תלות מופחתת בשירותי אבטחת סייבר חיצוניים

ההשפעה על הצוותים

• חקירות מהירות ובטוחות יותר הודות לתוצאות ברורות יותר ולשיתוף פעולה טוב יותר בין חברי הצוות
• מודל לאיתור איומים הניתן להרחבה, המיישר קו בין תוצאות האבטחה לבין סדרי העדיפויות העסקיים

יתרונות תפעוליים

• נכסים קריטיים מוגנים באופן עקבי וצפוי יותר
• פעולות אבטחה ניתנות ליישום בקנה מידה נרחב
• צוותי SOC פועלים במהירות, בבהירות ובביטחון רב יותר

הארגון הצליח להתאים את ביצועי אבטחת הסייבר הן לסדרי העדיפויות העסקיים והן ליכולות האנושיות, כדי להגן על תשתיות האנרגיה הקריטיות בטווח הארוך. התוצאות באו לידי ביטוי בכל תחומי הפעילות, הצוותים וההנהלה.