Bezpečnostní dohled a reakce na incidenty

Podle čeho se má firma rozhodovat mezi interním a externím SOC?

Volba modelu SOC má vycházet hlavně ze schopnosti organizace dlouhodobě zajistit lidi, provozní režim, školení a udržení odbornosti.

Kdy dávají EDR a XDR nástroje skutečnou hodnotu?

EDR a XDR nástroje dávají smysl hlavně tehdy, když jejich upozornění někdo průběžně sleduje, ověřuje a vyhodnocuje.

Jak lze zkrátit dobu mezi vznikem bezpečnostního rizika a reakcí?

Automatizované workflow s upozorněními pomáhá rychleji předat riziko odpovědným lidem a navázat na něj preventivní nebo korektivní opatření.

Kde je zvlášť důležitá detekce založená na síťovém provozu?

Analýza síťového provozu je zásadní hlavně tam, kde na zařízení nelze instalovat agenty, protože dohled pak musí vycházet z toho, co zařízení skutečně komunikuje.

Proč nestačí spoléhat na návrh oddělení sítí?

Oddělení hostovské Wi‑Fi od interní sítě je potřeba ověřovat v reálném provozu, protože až provozní data ukážou, zda segmentace skutečně funguje.

Na čem má stát obrana proti DDoS útokům?

Obrana proti DDoS útokům nemůže stát jen na kapacitě linek, ale musí kombinovat detekci, čištění provozu, bezpečnostní dohled a předem připravené postupy.

Volba mezi interním a externím SOC závisí hlavně na tom, zda organizace dokáže dlouhodobě zajistit lidi, provozní režim, školení a udržení odbornosti.

SOC lze provozovat interně i externě a v režimu 8×5 nebo 24×7, ale tomu musí odpovídat počet zaměstnanců, náklady na školení a schopnost lidi udržet.

„Provoz SOC si můžete nastavit interně i externě, 8×5 nebo 24×7. Musí tomu ale odpovídat počet zaměstnanců, náklady na školení a motivace si lidi udržet, což bývá nelehká disciplína. Každá organizace musí zvážit, jestli SOC interně, nebo externě; obě varianty mají pro a proti a ani jedna není špatně.“

CIO Agenda 2025 „SOC a jak vytěžit jeho potenciál na maximum“ Lucie Jahnová; Pavel Hrabec

EDR a XDR nástroje mají hodnotu hlavně tehdy, když je někdo průběžně sleduje a vyhodnocuje jejich upozornění.

Václav Zubr uvedl, že EDR vyžaduje lidi, kteří vyhledávají detekce a ověřují anomálie, jinak aktivní sledování nedává smysl.

„EDR jsou relativně náročné nástroje: někdo u nich musí být, vyhledávat detekce a ověřovat anomálie. Je potřeba know-how i čas, protože bez aktivního sledování to v podstatě nedává smysl.“

CIO Agenda 2025 „Rezistence jako služba“ Václav Zubr, ESET

SOC má největší hodnotu tehdy, když nad bezpečnostními nástroji pracují lidé schopní události vyhodnotit a reagovat na incidenty.

SOC může centralizovat bezpečnostní nástroje na jednom místě, ale události musí někdo vyhodnocovat, analyzovat a převádět do reakce na bezpečnostní incidenty.

„SOC je založený především na technologii a potom na lidech. Mnozí z vás budete mít různé nástroje v oblasti bezpečnosti, které budete mít implementované. SOC vám je může na jednom místě centralizovat, ale za mě je to především o lidech, kteří do nástroje koukají, vyhodnocují, analyzují a jsou schopni reagovat na bezpečnostní incidenty.“

CIO Agenda 2025 „SOC a jak vytěžit jeho potenciál na maximum“ Lucie Jahnová; Pavel Hrabec

Automatizované workflow s upozorněními pomáhá zkrátit dobu mezi vznikem bezpečnostního rizika a reakcí odpovědných lidí.

V ukázce nahlášení ztráty zařízení systém vedl proces přes vyhodnocení rizika, přiřazení odpovědných osob a založení preventivních či korektivních opatření; bezpečnostní manažer dostával upozornění při změnách stavu.

„Jak jste viděli, při jednotlivých přechodech stavů v rámci workflow chodí upozornění. Pokud jsem bezpečnostním manažerem, okamžitě se dozvím: pozor, vzniklo riziko a musím na něj reagovat.“

CIO Agenda 2024 Firemní informace a dokumenty v (ne)bezpečí Jan Sedláček, Digital Resources; Jakub Kiml, Digital Resources

Řízený dohled kombinující automatizaci a práci bezpečnostního centra může zkrátit reakci na incident na jednotky minut.

ESET uvádí u své služby průměrnou první reakci do tří minut a většinou vyřešení, prošetření a eliminaci hrozby do třinácti minut.

„Z aktuálních dat můžu říct, že první reakce na vzniklý incident je v průměru do tří minut a do třinácti minut je většinou hrozba vyřešená, incident prošetřený a útok eliminovaný.“

CIO Agenda 2025 „Rezistence jako služba“ Václav Zubr, ESET

Analýza síťového provozu dává firmám realističtější obraz infrastruktury než statická evidence zařízení.

„Pokud se vás někdo zeptá, co máte v infrastruktuře a jaká zařízení tam provozujete, dostáváte odpověď. Toto je skutečný obraz a skutečný stav vaší infrastruktury a sítě – ne to, co evidujete v Excelu nebo asset managementu. Tohle je realita.“

CIO Agenda 2025 „NDR! Nikoliv ráj Trabantů, ale Network Detection & Response 😊“ Michal Trtil; Ondřej Hubálek

Detekce založená na síťovém provozu je důležitá hlavně tam, kde na zařízení nelze instalovat agenty.

U PLC, RTU a dalších technologických zařízení musí být posouzení škodlivé nebo podezřelé aktivity založené na analýze síťového provozu, protože na ně nelze nic instalovat.

„Právě PLC, RTU a další technologická zařízení jsou zařízení, na která nic nenainstalujete. O jejich škodlivosti nebo potenciální škodlivosti musíte rozhodovat na základě analýzy síťového provozu. Nástroj GreyCortex Mendel je proto silný i v této oblasti.“

CIO Agenda 2025 „NDR! Nikoliv ráj Trabantů, ale Network Detection & Response 😊“ Michal Trtil; Ondřej Hubálek

Oddělení hostovské Wi‑Fi od interní sítě je třeba ověřovat v reálném provozu, ne jen v návrhu architektury.

V jednom anonymizovaném zákaznickém případu byl z hostovské Wi‑Fi v podnikové kavárně zjištěn přístup do interní sítě a následně brute-force útoky na doménové řadiče.

„Problém byl, že jsme v rámci služby detekovali, že z této hostovské Wi‑Fi sítě existoval přístup do interní sítě zákazníka. A v rámci vyšetřování jsme následně detekovali brute-force útoky na doménové řadiče.“

CIO Agenda 2025 „NDR! Nikoliv ráj Trabantů, ale Network Detection & Response 😊“ Michal Trtil; Ondřej Hubálek

Nešifrované interní přenosy mohou vystavit firmu úniku vysoce citlivých přístupových údajů.

U státní instituce využívající archiv přes FTP byla komunikace mezi lokalitami nešifrovaná a v provozu bylo možné vidět doménová hesla včetně hesla doménového administrátora.

„V kombinaci s protokolem FTP to znamenalo, že provider i my v rámci naší služby jsme mohli vidět veškerou komunikaci včetně doménových hesel, která uživatelé využívali pro přístup do aplikace. Dokonce jsme objevili i heslo doménového administrátora.“

CIO Agenda 2025 „NDR! Nikoliv ráj Trabantů, ale Network Detection & Response 😊“ Michal Trtil; Ondřej Hubálek

Rostoucí podíl DDoS útoků na aplikační vrstvu nutí firmy řešit ochranu podle konkrétní služby, ne jen obecnými síťovými pravidly.

Podle prezentace O2 dnes zhruba čtvrtina DDoS útoků cílí na aplikační vrstvu a tyto útoky často vyžadují individuální řešení podle služby klienta.

„Dříve byly typické velkoobjemové volumetrické útoky. Dnes už prakticky čtvrtina útoků cílí na aplikační vrstvu a je mnohem sofistikovanější.“

CIO Agenda 2024 DDoS útoky: výzva pro kyberbezpečnost a naše odpověď Radek Šichtanc, O2

Obrana proti DDoS útokům nemůže stát jen na kapacitě linek, ale musí kombinovat detekci, čištění provozu, bezpečnostní dohled a předem připravené postupy.

O2 staví ochranu na detekci v síti, analýze provozu a signatur, návaznosti na bezpečnostní dohled, předem domluvených scénářích mitigace a filtrech u upstreamových providerů.

„Vzhledem k různým typům útoků je dnes potřeba mít kombinované řešení. My využíváme řešení, které je vícevrstvé.“

CIO Agenda 2024 DDoS útoky: výzva pro kyberbezpečnost a naše odpověď Radek Šichtanc, O2

Objem DDoS útoků roste natolik, že firmy musí při návrhu ochrany počítat s útoky ve stovkách gigabitů za sekundu.

O2 ve své síti dříve viděla útoky v řádu desítek Gbit/s, zatímco dnes se běžně objevují útoky v řádu stovek Gbit/s.

„Z dat z naší sítě vyplývá, že DDoS útoky co do objemu neustále rostou. Zatímco před několika lety jsme se pohybovali v řádech desítek gigabitů za sekundu, dnes už v naší síti vidíme běžné útoky v řádu stovek Gbit/s.“

CIO Agenda 2024 DDoS útoky: výzva pro kyberbezpečnost a naše odpověď Radek Šichtanc, O2