Zákazníci investují do nástrojů pro detekci a reakci na bezpečnostní incidenty

Podle analytické agentury Gartner dosáhne letos trh IT bezpečnost hodnoty 90 miliard USD. V roce 2020 firmy celosvětově utratí už 113 miliard USD. Hnací silou růstu přitom budou investice do schopnosti detekovat bezpečnostní incidenty a reagovat na ně. Analytici tak mimo jiné predikují zásadní posun – po desetiletí dominantní paradigma bezpečnosti postavené na prevenci je překonané.

Neznamená to, že je prevence, reprezentovaná zejména firewally a detekčními systémy pracujícími se signaturami, „mrtvá“. Její přínos ale bez vazby na detekční a reakční mechanismy organizace začíná upadat. Útočníci jsou připraveni a umí preventivní opatření obcházet. V momentě, kdy firma nemá vybudované kompetence v oblasti detekce hrozeb a mechanismy reakce na incident, vzniká v bezpečnostní strategii firmy slepé místo. Infekce typu WannaCry nebo Petya, které prokazují neobyčejnou schopnost rychle se po prvním průniku šířit sítí, pak mohou mít velmi citelné následky. Zastavíte takovou hrozbu, aniž víte, jak a kam se ve vašem prostředí šíří?
 
Část skládačky
„Stejné peníze, které investujete do preventivních opatření, je třeba vložit do detekce a reakčních mechanismů,“ doporučil Earl Perkins, viceprezident pro výzkum agentury Gartner. Naráží přitom na skutečnost, že ani sebelepší bezpečnostní architektura nezastaví všechny hrozby. Pozornost expertů a ředitelů zodpovídajících za ochranu „bohatství“ firmy se tak přirozeně přesouvá k problematice rychlé eliminace dopadů hrozeb. Efektivita ochrany IT, jinými slovy návratnost investic do bezpečnostní strategie, je najednou posuzována nejen podle toho, jak dobře fungují preventivní a blokační mechanismy, ale zároveň podle toho, jak rychle umí zmírnit dopady útoku. Vybudování detekčních schopností, pro případy, kdy hrozba obejde ostatní kontrolní mechanismy, a procesů reakce na takový incident, v tom může pomoci.

Do škatulky „detekce a reakce“ často spadají systémy zaměřující se na síť. Ta je obvykle „hluchým místem”, čehož útočníci zneužívají. Ví, že bez kontroly sítě je jejich útok těžko odhalitelný. Spadají sem systémy pro analýzu síťového provozu (Network Traffic Analysis), analýzu chování sítě a uživatelů, nejrůznější alertovací a monitorovací systémy apod. Jejich přidanou hodnotou je nejen schopnost odhalit riziko, ale i poskytnout přehled o tom, co se v IT prostředí děje - kontext, který urychluje řešení problému. Například nástroje pro behaviorální analýzu sítě nepoužívají signatury, a proto umožňují detekovat doposud neznámé hrozby. Jsou tak schopny upozornit na to, že se daná stanice v síti chová neobvyklým způsobem, komunikuje se systémy, se kterými nemá, kontaktuje nepovolené IP adresy, vykazuje nežádoucí chování příslušné infekci, pro kterou antivirus nemá signaturu apod.

Nástroje umožňující prevenci a reakci na incident mohou být zároveň velmi cenné při obnovení chodu sítě, služby nebo aplikace a při procesu vyšetření incidentu, což jsou podle již vzpomínaného Gartneru další kompetence, které musí mít firma vybudované. Cílem přitom není nahradit jednu oblast jinou, nástroje by se měly vzájemně doplňovat a neustále aktivně přispívat k posilování bezpečnosti organizace.

Flexibilní bezpečnostní architektura
Výše popsané není trend, který uvidíme za pět, deset let. Změna, která ohlašuje přechod od pasivní prevence k aktivnímu řízení bezpečnosti, je tady. Firmy už své strategie upravují a reselleři bezpečnostních produktů by měli být u toho. 

Autoři: Artur Kane a Lukáš Dolníček, Flowmon Networks