Aprimorando a resposta a incidentes com a estrutura de cibersegurança do NIST e a automação e orquestração de segurança (SAO).

O Estrutura de cibersegurança do Instituto Nacional de Padrões e Tecnologia (NIST) Foi desenvolvido em resposta a uma ordem executiva presidencial de 2013 para ajudar organizações governamentais e privadas a proteger melhor suas infraestruturas críticas contra ataques cibernéticos. Agora, próximo da sua segunda versão (1.1), o Framework de Segurança Cibernética oferece às organizações uma maneira flexível de projetar e implementar estratégias de segurança cibernética abrangentes e com boa relação custo-benefício. Ele abrange todo o espectro da segurança, desde a identificação e detecção de ameaças até a resposta e recuperação.

A Estrutura de Segurança Cibernética do NIST oferece às organizações uma maneira flexível de projetar e implementar uma estratégia de segurança cibernética abrangente e com boa relação custo-benefício.

A Automação e Orquestração de Segurança (SAO) ajuda as organizações a implementar controles alinhados com a estrutura. A SAO é um conjunto de ferramentas e práticas que automatizam a detecção de segurança e a resposta a incidentes, além de orquestrar sistemas de segurança. Com a SAO, as organizações tornam suas equipes de segurança mais produtivas e eficazes na resposta a incidentes de segurança, em conformidade com a estrutura.

O que está incluído na estrutura de cibersegurança do NIST?

A Estrutura de Segurança Cibernética do NIST oferece ampla orientação sobre o desenvolvimento, a implementação e o aprimoramento contínuo de um programa de segurança cibernética. Seu núcleo contém cinco funções: identificar, proteger, detectar, responder e recuperar. Cada função é subdividida em categorias, cada uma das quais oferece subcategorias para lidar com aspectos específicos da proteção de infraestruturas críticas contra ataques cibernéticos.

O documento também fornece um conjunto de níveis de implementação que as organizações podem usar para avaliar a eficácia da gestão de riscos de cibersegurança. Uma organização de nível 1, "parcial", adota respostas informais e reativas às ameaças cibernéticas. O nível 2 é "orientado para o risco", enquanto o nível 3 é "repetível". O nível 4 representa uma organização "adaptativa", capaz de desenvolver processos repetíveis de forma flexível em resposta às mudanças nos riscos.

Como a automação e a orquestração de segurança melhoram a resposta a incidentes

A resposta a incidentes de segurança vai além de simplesmente reagir a um problema. No âmbito da estrutura de cibersegurança, a resposta a incidentes engloba as funções essenciais de detecção, resposta e recuperação. Todas as três são necessárias para uma resposta adequada a um incidente de segurança.

A Tabela 1 mostra as 11 categorias incluídas nessas três funções, e cada uma possui um identificador de categoria exclusivo. Por exemplo, na função de detecção, DE.AE é a categoria para “Anomalias e Eventos”. Para estar em conformidade com a Estrutura, uma organização deve desenvolver uma maneira de detectar anomalias ou eventos suspeitos que possam sinalizar o início de um incidente de segurança. Isso pode envolver DE.CM (“Monitoramento Contínuo de Segurança”) operando em conjunto com DE.DP (“Processos de Detecção”).

Tabela 1 – As funções de detecção, resposta e recuperação do NIST Cybersecurity Framework (Estrutura de Segurança Cibernética do NIST).

Integração de tecnologias de segurança e comunicação com a SAO

Muitas organizações utilizam tecnologias como sistemas de detecção de intrusão (IDS) e soluções de monitoramento de eventos e incidentes de segurança (SIEM) para executar a função de detecção da estrutura. Para obter os melhores resultados da função de detecção, é necessário que haja integração habilitada pelo SAO entre SIEM, IDS ou quaisquer outras ferramentas de segurança que gerem alertas de segurança. A integração permite a orquestração, aumentando a produtividade, e a automação das etapas do fluxo de trabalho de detecção.

A estrutura recomenda então um processo de resposta pré-planejado. De acordo com as categorias de resposta, deve haver processos de comunicação rigorosos para acompanhar o progresso dos fluxos de trabalho de análise e mitigação de ameaças. Um processo de comunicação rigoroso também requer integração. Integrar sistemas de comunicação relevantes, como e-mail e tickets, com o SAO possibilita a automatização das comunicações e libera os membros da equipe do trabalho repetitivo de comunicar o status dos alertas. A resposta descrita na estrutura continua então com a recuperação.

Resolvendo a escassez de pessoal em cibersegurança com a SAO

O desafio de usar a Estrutura de Segurança Cibernética do NIST para resposta a incidentes reside na inevitável limitação de recursos disponíveis, visto que o número de profissionais qualificados em uma equipe de segurança cibernética é limitado, e a escassez desses profissionais continua a aumentar. Com o crescimento das ameaças, as equipes podem ficar sobrecarregadas por falsos positivos e improdutivas devido à necessidade de lidar com tarefas rotineiras de notificação e abertura de chamados. Se a equipe não possuir as ferramentas adequadas, não conseguirá atender aos critérios da Estrutura de Segurança Cibernética.

A automação e orquestração de segurança oferecem uma solução para o problema de recursos limitados, acelerando cada etapa do ciclo de detecção, resposta e recuperação. Por exemplo, imagine que uma equipe de operações de segurança receba um alerta de uma solução SIEM sobre um evento anômalo na rede. Se a equipe responder ao alerta manualmente, terá que realizar o trabalho tedioso e demorado de abrir um chamado, conduzir a análise de ameaças e se comunicar com as partes interessadas.

Com o SAO, essas etapas são automatizadas. As interações entre os sistemas relevantes são orquestradas de acordo com etapas de processo definidas. A solução SAO pode enviar automaticamente os detalhes do alerta para um sistema de inteligência de ameaças, abrir um gestão de casos Crie um ticket em um sistema como o JIRA e envie e-mails para as partes interessadas relevantes.

Figura 2 – As subcategorias da categoria Detectar: Anomalias e Eventos (DE:AE) na função Detectar do NIST Framework Core.

A Tabela 2 descreve como uma solução SAO auxilia nos detalhes específicos da resposta a incidentes. Utilizando a função de detecção na categoria de anomalias e eventos (DE:AE), ela detalha o papel do SAO em várias subcategorias. Por exemplo, a subcategoria DE.AE-3 exige “Os dados de eventos são agregados e correlacionados a partir de múltiplas fontes e sensores, e o SAO pode automatizar as etapas necessárias para a agregação e correlação dessas múltiplas fontes. Orquestração de segurança Também é possível integrar os sistemas envolvidos nos processos de análise e correlação.

O SAO tem o potencial de transformar os fluxos de trabalho de resposta a incidentes. A solução SAO adequada permite que uma equipe de cibersegurança trabalhe de forma mais inteligente e se mantenha atualizada sobre alertas e incidentes à medida que surgem. A equipe também pode usar o SAO para aprimorar a resposta a incidentes ao longo do tempo. Dessa forma, o SAO também ajuda as organizações a avançarem nos níveis da estrutura, desenvolvendo processos de resposta a incidentes repetíveis e adaptáveis.

A SAO ajuda as organizações a orquestrar sistemas, permitindo-lhes desenvolver processos de resposta a incidentes repetíveis e adaptáveis.

Swimlane e a Estrutura de Segurança Cibernética do NIST para melhorar a resposta a incidentes.

A Swimlane oferece automação e orquestração de segurança que podem ajudar sua organização a cumprir a estrutura de cibersegurança e aprimorar a resposta a incidentes. Fácil de implementar, usar, gerenciar e escalar, a Swimlane utiliza métodos orientados a objetos que permitem que uma equipe de operações de segurança aproveite os recursos de suas ferramentas de segurança existentes.

Tem interesse em saber mais sobre como a automação de segurança pode ajudar sua organização? Baixe nosso e-book – 8 casos de uso reais para orquestração, automação e resposta de segurança.

Solicite uma demonstração

Se você ainda não teve a oportunidade de explorar o Swimlane Turbine, solicite uma demonstração. 

Pedir uma demonstração