Questo principio del pilastro della sicurezza del Well-Architected FrameworkGoogle Cloud fornisce consigli per creare solidi programmi di cyberdifesa nell'ambito della tua strategia di sicurezza complessiva.
Questo principio sottolinea l'uso della threat intelligence per guidare in modo proattivo i tuoi sforzi nelle funzioni principali di cyberdifesa, come definito in The Defender's Advantage: una guida per attivare la cyberdifesa.
Panoramica del principio
Quando difendi il tuo sistema dagli attacchi informatici, hai un vantaggio significativo e poco utilizzato rispetto agli utenti malintenzionati. Come afferma il fondatore di Mandiant, "Hai più informazioni sulla tua attività, sui tuoi sistemi, sulla tua topologia e sulla tua infrastruttura di qualsiasi attaccante. Si tratta di un vantaggio incredibile." Per aiutarti a sfruttare questo vantaggio intrinseco, questo documento fornisce consigli su pratiche di cyberdifesa proattive e strategiche mappate al framework Defender's Advantage.
Consigli
Per implementare una cyberdifesa preventiva per i tuoi workload cloud, prendi in considerazione i consigli riportati nelle sezioni seguenti:
- Integra le funzioni di cyberdifesa
- Utilizza la funzione di intelligence in tutti gli aspetti della cyberdifesa
- Comprendi e sfrutta il Defender's Advantage
- Convalida e migliora continuamente le tue difese
- Gestire e coordinare le attività di cyberdifesa
Integra le funzioni della cyberdifesa
Questo suggerimento è pertinente per tutte le aree di interesse.
Il framework di The Defender's Advantage identifica sei funzioni critiche della cyberdifesa: intelligence, rilevamento, risposta, convalida, ricerca delle minacce e mission control. Ciascuna funzione si concentra su un aspetto unico della missione di cyberdifesa, ma queste funzioni devono essere ben coordinate e collaborare per fornire una difesa efficace. Concentrati sulla creazione di un sistema solido e integrato in cui ogni funzione supporti le altre. Se hai bisogno di un approccio graduale per l'adozione, considera il seguente ordine suggerito. A seconda della tua attuale maturità del cloud, della topologia delle risorse e del panorama delle minacce specifico, potresti voler dare la priorità a determinate funzioni.
- Intelligence: la funzione di intelligence guida tutte le altre funzioni. Comprendere il panorama delle minacce, inclusi gli aggressori più probabili, le loro tattiche, tecniche e procedure (TTP) e il potenziale impatto, è fondamentale per dare priorità alle azioni nell'intero programma. La funzione di intelligence è responsabile dell'identificazione degli stakeholder, della definizione dei requisiti di intelligence, della raccolta dei dati, dell'analisi e della diffusione, dell'automazione e della creazione di un profilo delle cyber minacce.
- Rilevamento e risposta: queste funzioni costituiscono il fulcro della difesa attiva, che prevede l'identificazione e la gestione delle attività dannose. Queste funzioni sono necessarie per agire in base alle informazioni raccolte dalla funzione di intelligence. La funzione di rilevamento richiede un approccio metodico che allinei i rilevamenti alle TTP degli aggressori e garantisca un logging efficace. La funzione di risposta deve concentrarsi sul triage iniziale, sulla raccolta dei dati e sulla correzione degli incidenti.
- Convalida: la funzione di convalida è un processo continuo che garantisce che l'ecosistema dei controlli di sicurezza sia aggiornato e funzioni come previsto. Questa funzione garantisce che la tua organizzazione comprenda la superficie di attacco, conosca le vulnerabilità esistenti e misuri l'efficacia dei controlli. La convalida della sicurezza è anche un componente importante del ciclo di vita della progettazione del rilevamento e deve essere utilizzata per identificare le lacune nel rilevamento e creare nuovi rilevamenti.
- Caccia alle minacce: la funzione di caccia alle minacce prevede la ricerca proattiva di minacce attive all'interno di un ambiente. Questa funzione deve essere implementata quando la tua organizzazione ha un livello di maturità di base nelle funzioni di rilevamento e risposta. La funzione di caccia alle minacce espande le funzionalità di rilevamento e aiuta a identificare lacune e punti deboli nei controlli. La funzione di caccia deve essere basata su minacce specifiche. Questa funzione avanzata si basa su solide funzionalità di intelligence, rilevamento e risposta.
- Mission Control: la funzione di mission control funge da hub centrale che collega tutte le altre funzioni. Questa funzione è responsabile della strategia, della comunicazione e delle azioni decisive nell'ambito del programma di cyberdifesa. Garantisce che tutte le funzioni collaborino e siano allineate agli obiettivi commerciali della tua organizzazione. Devi concentrarti sulla comprensione chiara dello scopo della funzione di mission control prima di utilizzarla per connettere le altre funzioni.
Utilizza la funzione di intelligence in tutti gli aspetti della cyberdifesa
Questo suggerimento è pertinente per tutte le aree di interesse.
Questo suggerimento evidenzia la funzione di intelligence come parte fondamentale di un solido programma di cyberdifesa. La threat intelligence fornisce informazioni sugli attori delle minacce, sulle loro TTP e sugli indicatori di compromissione (IoC). Queste conoscenze dovrebbero informare e dare priorità alle azioni in tutte le funzioni di cyberdifesa. Un approccio basato sull'intelligence ti aiuta ad allineare le difese per affrontare le minacce che più probabilmente colpiranno la tua organizzazione. Questo approccio aiuta anche ad assegnare e dare priorità alle risorse in modo efficiente.
I seguenti prodotti e funzionalità Google Cloud ti aiutano a sfruttare la threat intelligence per guidare le tue operazioni di sicurezza. Utilizza queste funzionalità per identificare e dare priorità a potenziali minacce, vulnerabilità e rischi, quindi pianifica e implementa le azioni appropriate.
Google Security Operations (Google SecOps) ti aiuta ad archiviare e analizzare i dati di sicurezza in modo centralizzato. Utilizza Google SecOps per mappare i log in un modello comune, arricchirli e collegarli alle cronologie per una visualizzazione completa degli attacchi. Puoi anche creare regole di rilevamento, configurare la corrispondenza degli IoC ed eseguire attività di ricerca delle minacce. La piattaforma fornisce anche rilevamenti predefiniti, ovvero regole predefinite e gestite per aiutare a identificare le minacce. Google SecOps può anche integrarsi con Mandiant Frontline Intelligence. Google SecOps integra in modo unico l'AI leader del settore, insieme alla threat intelligence di Mandiant e Google VirusTotal. Questa integrazione è fondamentale per la valutazione delle minacce e per capire chi sta prendendo di mira la tua organizzazione e il potenziale impatto.
Security Command Center, con Google AI integrata, consente ai professionisti della sicurezza di valutare, analizzare e rispondere in modo efficiente ai problemi di sicurezza in più ambienti cloud. I professionisti della sicurezza che possono trarre vantaggio da Security Command Center includono analisti del Security Operations Center (SOC), analisti di vulnerabilità e postura e responsabili della conformità. Security Command Center arricchisce i dati sulla sicurezza, valuta i rischi e assegna la priorità alle vulnerabilità. Questa soluzione fornisce ai team le informazioni di cui hanno bisogno per affrontare le vulnerabilità ad alto rischio e rimediare alle minacce attive.
Chrome Enterprise Premium offre protezione dei dati e dalle minacce, che aiuta a proteggere gli utenti dai rischi di esfiltrazione e impedisce al malware di accedere ai dispositivi gestiti dall'azienda. Chrome Enterprise Premium offre anche visibilità sulle attività non sicure o potenzialmente non sicure che possono verificarsi all'interno del browser.
Il monitoraggio della rete, tramite strumenti come Network Intelligence Center, fornisce visibilità sulle prestazioni della rete. Il monitoraggio della rete può anche aiutarti a rilevare pattern di traffico insoliti o quantità di trasferimento di dati che potrebbero indicare un attacco o un tentativo di esfiltrazione di dati.
Comprendi e sfrutta il Defender's Advantage
Questo suggerimento è pertinente per tutte le aree di interesse.
Come accennato in precedenza, hai un vantaggio sugli aggressori quando hai una conoscenza approfondita della tua attività, dei tuoi sistemi, della tua topologia e della tua infrastruttura. Per sfruttare questo vantaggio, utilizza questi dati sui tuoi ambienti durante la pianificazione della cyberdifesa.
Google Cloud offre le seguenti funzionalità per aiutarti a ottenere in modo proattivo visibilità per identificare le minacce, comprendere i rischi e rispondere in modo tempestivo per mitigare i potenziali danni:
Chrome Enterprise Premium ti aiuta a migliorare la sicurezza dei dispositivi aziendali proteggendo gli utenti dai rischi di esfiltrazione. Estende i servizi di Sensitive Data Protection al browser e previene il malware. Offre anche funzionalità come la protezione da malware e phishing per contribuire a prevenire l'esposizione a contenuti non sicuri. Inoltre, ti consente di controllare l'installazione delle estensioni per evitare estensioni non sicure o non verificate. Queste funzionalità ti aiutano a stabilire una base sicura per le tue operazioni.
Security Command Center fornisce un motore dei rischi continuo che offre un'analisi e una gestione dei rischi complete e costanti. La funzionalità del motore di rischio arricchisce i dati di sicurezza, valuta il rischio e assegna la priorità alle vulnerabilità per aiutare a risolvere rapidamente i problemi. Security Command Center consente alla tua organizzazione di identificare in modo proattivo i punti deboli e implementare le mitigazioni.
Google SecOps centralizza i dati sulla sicurezza e fornisce log arricchiti con cronologie. Ciò consente ai difensori di identificare in modo proattivo le compromissioni attive e di adattare le difese in base al comportamento degli aggressori.
Il monitoraggio della rete aiuta a identificare attività di rete irregolari che potrebbero indicare un attacco e fornisce indicatori precoci che puoi utilizzare per intervenire. Per proteggere in modo proattivo i tuoi dati dai furti, monitora costantemente l'esfiltrazione di dati e utilizza gli strumenti forniti.
Convalida e migliora continuamente le tue difese
Questo suggerimento è pertinente per tutte le aree di interesse.
Questo suggerimento sottolinea l'importanza di test mirati e della convalida continua dei controlli per comprendere i punti di forza e di debolezza dell'intera superficie di attacco. Ciò include la convalida dell'efficacia dei controlli, delle operazioni e del personale attraverso metodi come i seguenti:
- Test di penetrazione
- Esercitazioni di red-blue team e purple team
- Esercitazioni a tavolino
Devi anche cercare attivamente le minacce e utilizzare i risultati per migliorare il rilevamento e la visibilità. Utilizza i seguenti strumenti per testare e convalidare continuamente le tue difese contro le minacce reali:
Security Command Center fornisce un motore dei rischi continuo per valutare le vulnerabilità e dare priorità alla correzione, consentendo una valutazione continua della tua security posture complessiva. Assegnando la priorità ai problemi, Security Command Center ti aiuta a garantire che le risorse vengano utilizzate in modo efficace.
Google SecOps offre rilevamenti predefiniti e di caccia alle minacce che ti consentono di identificare in modo proattivo i punti deboli dei tuoi controlli. Questa funzionalità consente di testare e migliorare continuamente la tua capacità di rilevare le minacce.
Chrome Enterprise Premium offre funzionalità di protezione dei dati e dalle minacce che possono aiutarti ad affrontare minacce nuove e in evoluzione e ad aggiornare continuamente le tue difese contro i rischi di esfiltrazione e i malware.
Cloud Next Generation Firewall (Cloud NGFW) fornisce il monitoraggio della rete e dell'esfiltrazione dei dati. Queste funzionalità possono aiutarti a convalidare l'efficacia della tua attuale security posture e a identificare potenziali punti deboli. Il monitoraggio dell'esfiltrazione di dati ti aiuta a convalidare l'efficacia dei meccanismi di protezione dei dati della tua organizzazione e ad apportare modifiche proattive ove necessario. Quando integri i risultati delle minacce di Cloud NGFW con Security Command Center e Google SecOps, puoi ottimizzare il rilevamento delle minacce basate sulla rete, ottimizzare la risposta alle minacce e automatizzare i playbook.
Gestire e coordinare le attività di cyberdifesa
Questo suggerimento è pertinente per tutte le aree di interesse.
Come descritto in precedenza in Integra le funzioni di cyberdifesa, la funzione di mission control interconnette le altre funzioni del programma di cyberdifesa. Questa funzione consente il coordinamento e la gestione unificata dell'intero programma. Inoltre, ti aiuta a coordinarti con altri team che non si occupano di cybersicurezza. La funzione di mission control promuove la responsabilizzazione e l'accountability, facilita l'agilità e la competenza e promuove la responsabilità e la trasparenza.
I seguenti prodotti e funzionalità possono aiutarti a implementare la funzione Mission Control:
- Security Command Center funge da hub centrale per il coordinamento e la gestione delle operazioni di cyberdifesa. Riunisce strumenti, team e dati, oltre alle funzionalità di risposta integrate di Google SecOps. Security Command Center offre una chiara visibilità dello stato di sicurezza della tua organizzazione e consente di identificare gli errori di configurazione della sicurezza in diverse risorse.
- Google SecOps fornisce ai team una piattaforma per rispondere alle minacce mappando i log e creando cronologie. Puoi anche definire regole di rilevamento e cercare minacce.
- Google Workspace e Chrome Enterprise Premium ti aiutano a gestire e controllare l'accesso degli utenti finali alle risorse sensibili. Puoi definire controlli di accesso granulari in base all'identità dell'utente e al contesto di una richiesta.
- Il monitoraggio della rete fornisce insight sulle prestazioni delle risorse di rete. Puoi importare gli insight sul monitoraggio della rete in Security Command Center e Google SecOps per il monitoraggio centralizzato e la correlazione con altri punti dati basati sulla cronologia. Questa integrazione ti aiuta a rilevare e rispondere a potenziali modifiche all'utilizzo della rete causate da attività dannose.
- Il monitoraggio dell'esfiltrazione di dati aiuta a identificare possibili incidenti di perdita di dati. Con questa funzionalità, puoi mobilitare in modo efficiente un team di risposta agli incidenti, valutare i danni e limitare l'ulteriore esfiltrazione di dati. Puoi anche migliorare le policy e i controlli attuali per garantire la protezione dei dati.
Riepilogo prodotto
La tabella seguente elenca i prodotti e le funzionalità descritti in questo documento e li mappa ai suggerimenti e alle funzionalità di sicurezza associati.
| Google Cloud prodotto | Consigli applicabili |
|---|---|
| Google SecOps |
Utilizza la funzione Intelligence in tutti gli aspetti della cyberdifesa:
consente la ricerca delle minacce e la corrispondenza degli IoC e si integra con
Mandiant per una valutazione completa delle minacce.
Comprendi e sfrutta il tuo vantaggio di difensore: fornisce rilevamenti predefiniti e centralizza i dati di sicurezza per l'identificazione proattiva delle compromissioni. Convalida e migliora continuamente le tue difese: consente di testare e migliorare continuamente le capacità di rilevamento delle minacce.Gestisci e coordina le attività di cyberdifesa tramite Mission Control: fornisce una piattaforma per la risposta alle minacce, l'analisi dei log e la creazione di cronologie. |
| Security Command Center |
Utilizza la funzione Intelligence in tutti gli aspetti della cyberdifesa:
utilizza l'AI per valutare i rischi, assegnare la priorità alle vulnerabilità e fornire
insight operativi per la correzione.
Comprendi e sfrutta il Defender's Advantage: offre un'analisi completa dei rischi, l'assegnazione delle priorità alle vulnerabilità e l'identificazione proattiva dei punti deboli. Convalida e migliora continuamente le tue difese: fornisce una valutazione continua della security posture e l'assegnazione delle priorità alle risorse.Gestisci e coordina le attività di cyberdifesa tramite Mission Control: funge da hub centrale per la gestione e il coordinamento delle operazioni di cyberdifesa. |
| Chrome Enterprise Premium |
Utilizza la funzione Intelligence in tutti gli aspetti della cyberdifesa:
protegge gli utenti dai rischi di esfiltrazione, previene il malware e
fornisce visibilità sulle attività non sicure del browser.
Comprendi e sfrutta il tuo vantaggio di difensore: migliora la sicurezza dei dispositivi aziendali tramite la protezione dei dati, la prevenzione del malware e il controllo delle estensioni. Convalida e migliora continuamente le tue difese: affronta le minacce nuove e in evoluzione tramite aggiornamenti continui delle difese contro i rischi di esfiltrazione e il malware.Gestisci e coordina le attività di cyberdifesa tramite Mission Control: gestisci e controlla l'accesso degli utenti finali alle risorse sensibili, inclusi i controlli di accesso granulari. |
| Google Workspace | Gestisci e coordina le attività di cyberdifesa tramite Mission Control: gestisci e controlla l'accesso degli utenti finali alle risorse sensibili, inclusi i controlli di accesso granulari. |
| Network Intelligence Center | Utilizza la funzione di intelligence in tutti gli aspetti della cyberdifesa: fornisce visibilità sulle prestazioni della rete e rileva pattern di traffico o trasferimenti di dati insoliti. |
| Cloud NGFW | Convalida e migliora continuamente le tue difese: ottimizza il rilevamento e la risposta alle minacce basate sulla rete tramite l'integrazione con Security Command Center e Google SecOps. |