SecOps в семинаре Microsoft "Никому не доверяй"

Операция безопасности (SecOps) является основой для "Никому не доверяй", так как она гарантирует не только предотвращение угроз, но и непрерывное обнаружение, исследование и реагирование на них. В модели "Никому не доверяй" организации предполагают нарушение, что делает надежные возможности SecOps необходимыми для сдерживания атак, снижения влияния и поддержания устойчивости.

Руководство по обеспечению безопасности SecOps сосредоточено на сборе и корреляции сигналов безопасности в среде, обнаружении и анализе угроз, оркестрации и автоматизации действий реагирования, упреждающего поиска угроз и непрерывного улучшения операций безопасности.

Реализация семинаров

Семинар SecOps охватывает области реализации, приведенные в таблице.

Area Сведения
Централизация данных безопасности и телеметрии Интегрируйте журналы и сигналы из систем идентификации, устройств, сети, данных и инфраструктуры в централизованные платформы для единого обзора.

Обеспечение комплексного охвата событий, связанных с безопасностью в среде.
Определение уязвимости и определение приоритета исправления рисков Анализ путей атаки, неправильной настройки и уязвимостей безопасности в среде.

Используйте возможности управления экспозицией для определения приоритетов исправления и снижения вероятности и влияния потенциальных атак.
Обнаружение угроз и создание высококачественных оповещений Используйте правила обнаружения, аналитику поведения и аналитику угроз для выявления потенциальных компромиссов.

Создание оповещений с высоким уровнем достоверности и непрерывное уточнение логики обнаружения для повышения качества сигнала и снижения ложных срабатываний.
Корреляция оповещений с инцидентами и приоритет ответа Сопоставляйте связанные оповещения с инцидентами, как правило, с помощью автоматической корреляции и применяйте приоритет на основе риска, серьезности и потенциального влияния.

Обеспечьте структурированный подход к триажу и управлению инцидентами.
Исследование и реагирование на инциденты Выполните структурированные рабочие процессы исследования, чтобы понять область и влияние инцидентов.

Локализуйте угрозы с помощью таких действий, как изоляция устройств или блокировка учетных записей, и обеспечьте единообразный процесс устранения.
Автоматизация ответа и оркестрации Используйте средства автоматизации и рабочие процессы для оркестрации, стандартизации и ускорения действий реагирования в среде.

Включите автоматическое сдерживание и исправление, если это необходимо для уменьшения времени отклика и ограничения перемещения злоумышленников.
Упреждающая охота за угрозами Анализ собранных данных телеметрии для выявления аномальных действий, методов злоумышленника и индикаторов компрометации, которые могут избежать автоматического обнаружения.

Непрерывно уточняйте гипотезы охоты и стратегии обнаружения на основе результатов исследования, аналитики угроз и развития поведения злоумышленников.
Использование аналитики угроз Включите внутреннюю и внешнюю аналитику угроз для обогащения обнаружения и расследований.

Используйте индикаторы и контекстные данные для улучшения понимания поведения злоумышленников и повышения охвата обнаружения.
Непрерывная настройка и оптимизация обнаружения Просмотр и уточнение оповещений, правил подавления и логики обнаружения для снижения шума и повышения эффективности работы.

Убедитесь, что SecOps фокусируется на высокоценных, действенных сигналах.
Сопоставление сигналов между доменами для полной видимости атаки Объединение сигналов идентификации, устройств, сети, данных и инфраструктуры для обнаружения сложных, многоэтапных цепочек атак.

Используйте видимость между доменами для повышения глубины исследования и эффективности реагирования.
Непрерывное улучшение процессов SecOps Непрерывно улучшать стратегии обнаружения и процессы реагирования на основе обучения инцидентов и развития угроз.

Включите отзывы об инцидентах, поиске угроз и анализе воздействия, чтобы добиться текущих улучшений в работе.

Дальнейшие действия

Начните семинар SecOps.

  • Last updated on