MDR er ikke et verktøykjøp

Syv beslutninger som bidrar til å gjøre deteksjon til koordinert handling.

Når dere kjøper Managed Detection and Response (MDR), må dere avklare både hvilke trusler tjenesten skal kunne oppdage, og hvordan leverandøren og deres eget team skal handle når en trussel blir identifisert. Verdien ligger i at deteksjon, vurdering og respons fungerer sammen.

Sikkerhetsplattformen er viktig. Funksjonalitet, konfigurasjon og integrasjoner påvirker både hva som kan oppdages, og hvilke tiltak som er mulige. Men plattformen er én del av tjenesten.

Effektiv MDR kobler sammen teknologi, analytikere, virksomhetsforståelse og avtalte ansvarsområder. Til sammen utgjør dette en operativ modell: hvordan dere undersøker signaler, tar beslutninger og gjennomfører tiltak i praksis.

Modellen må gjenspeile virksomheten deres. Hvilke systemer er avgjørende for driften? Hvem drifter dem? Hvilke tiltak kan leverandøren gjennomføre direkte, og når må andre involveres?

Når kunden og leverandøren besvarer disse spørsmålene sammen, får begge et bedre utgangspunkt for å begrense konsekvensene av en hendelse.

Syv beslutninger som former tjenesten

1. Omfang: bli enige om hva tjenesten dekker

Definer hvilke systemer, enheter, identiteter, miljøer og lokasjoner som er inkludert, og hvordan de skal overvåkes. Vær særlig oppmerksom på operasjonell teknologi (OT), systemer som driftes av andre leverandører, og miljøer som er kommet til gjennom oppkjøp.

At et system står oppført i avtalen, betyr ikke i seg selv at tjenesten mottar dataene som trengs for å oppdage relevante trusler. Begge parter må forstå hvilken synlighet tjenesten faktisk gir, hvor begrensningene ligger, og hvordan endringer skal håndteres.

2. Telemetri: sørg for at nødvendige sikkerhetsdata kommer frem

Avklar hvilke sikkerhetsdata, eller telemetri, tjenesten trenger, hvordan datakildene kobles til, og hvem som kontrollerer at de fortsetter å fungere.

En kilde kan slutte å rapportere fordi et sertifikat utløper, et tilgangstoken endres eller en oppdatering bryter en integrasjon. Overvåking av datainnsamlingen gjør det lettere å skille mellom manglende data og et miljø med liten aktivitet.

Leverandøren bør synliggjøre manglende eller utilstrekkelige data fra kildene som inngår i tjenesten. Kunden og relevante systemeiere eller driftsleverandører må vite hvem som har ansvar for å rette feilene.

3. Deteksjonsdekning: koble signalene til relevante trusler

Identifiser angrepsscenarioene som er viktige for virksomheten, og vurder om de tilgjengelige dataene gjør det mulig å oppdage dem.

Standardregler for å oppdage mistenkelig aktivitet gir et utgangspunkt. Hvor godt de fungerer, avhenger av systemene, konfigurasjonene og aktivitetene i deres miljø.

Avklar hvilke scenarioer tjenesten skal kunne oppdage, hvilke som krever flere datakilder eller tilpassede regler, og hvordan dette skal testes.

4. Virksomhetsforståelse: gi analytikerne nødvendig kontekst

En administrativ handling klokken to om natten kan være planlagt vedlikehold. Den kan også være utført av en angriper som bruker en kompromittert konto.

Informasjon om systemeiere, forretningskritiske funksjoner, normale aktivitetsmønstre og planlagte endringer hjelper analytikerne med å tolke det de ser.

Avklar hvordan denne informasjonen skal deles og holdes oppdatert, slik at undersøkelser kan gjennomføres med færre unødvendige forsinkelser.

5. Beslutningsmyndighet: avklar fullmaktene før dere trenger dem

Definer hvilke tiltak leverandøren kan gjennomføre uten ytterligere godkjenning, under hvilke forutsetninger og på hvilke systemer.

Å isolere en PC, deaktivere en konto og stanse en forretningskritisk server kan ha svært ulike konsekvenser. Forhåndsavtalte fullmakter bør gjenspeile disse forskjellene, inkludert krav til tilgjengelighet og sikker drift.

Når kunden må godkjenne et tiltak, må det være tydelig hvem som kan ta beslutningen, hvem som er stedfortreder, og hvordan dette håndteres utenfor ordinær arbeidstid.

6. Respons og eskalering: bygg og test kjeden

Avklar hva leverandøren gjør direkte, hva kunden beslutter, og når spesialister innen hendelseshåndtering eller andre leverandører skal involveres.

Test deretter om rutinene fungerer. Kan de riktige personene nås? Har de nødvendig myndighet? Lar de avtalte tiltakene seg gjennomføre?

En øvelse kan avdekke manglende kontaktinformasjon, utilstrekkelige tilganger eller avhengigheter mens det fortsatt er mulig å håndtere problemene under kontrollerte forhold.

7. Forbedring og rapportering: bruk funnene til å ta beslutninger

Avklar hvordan deteksjon, dekning og responsprosedyrer skal utvikles når miljøet og trusselbildet endres.

Rapporteringen bør hjelpe begge parter med å prioritere forbedringer. Den kan vise gjentakende mangler i datagrunnlaget, funn fra undersøkelser, resultater fra øvelser og tiltak med tydelige ansvarlige.

Målet er å gjøre tjenesten mer effektiv over tid og gi kunden et klart bilde av fremdrift og gjenværende begrensninger.

Overvåking døgnet rundt er ikke det samme som respons døgnet rundt

Døgnkontinuerlig overvåking forteller dere når noen følger med. Avtalen må også beskrive hvilke responstiltak som er tilgjengelige, når de kan gjennomføres, og hvem som har myndighet til å beslutte dem.

Deteksjon, undersøkelser og rask eskalering bidrar alle til håndteringen av en hendelse. Verdien øker når aktivitetene leder videre til konkrete tiltak.

Tenk dere en fiktiv transportvirksomhet. MDR-leverandøren identifiserer mistenkelig aktivitet på en server som støtter driften ved en godsterminal. Leverandøren kan undersøke varselet, men serveren driftes av en annen IT-leverandør. Å isolere den kan påvirke terminaldriften.

Effektiv respons avhenger da av at flere personer kjenner rollene sine: Hvem vurderer trusselen? Hvem vurderer konsekvensene for driften? Hvem kan godkjenne et tiltak? Og hvem skal gjennomføre det?

Definerte scenarioer, avtalte prosedyrer og tilgjengelige beslutningstakere gjør det lettere å handle raskt og kontrollert. I OT-miljøer og andre driftskritiske miljøer kan responsen også kreve koordinering med dem som har ansvar for tilgjengelighet, personsikkerhet og sikker drift.

Hvis en trussel blir bekreftet utenfor ordinær arbeidstid, finnes det en tydelig og gjennomførbar vei fra undersøkelse til handling?

Hold dekningen i takt med endringene

Når tjenesten etableres, kartlegges systemene og datakildene som skal omfattes. Å holde oversikten oppdatert er en del av den løpende driften.

Nye servere kommer til. Nye ressurser opprettes i skyen. Systemer bytter eier eller funksjon. Programvare som samler inn sikkerhetsdata, kan fjernes under feilsøking, og integrasjoner kan slutte å fungere.

Noen endringer kan oppdages automatisk. Andre krever informasjon fra kunden eller en annen leverandør. Avtalte rutiner bør sikre at både automatiske funn og innmeldte endringer blir fulgt opp.

For transportvirksomheten kan dette bety å sammenligne leverandørens oversikt over systemene som overvåkes, med virksomhetens egne systemregistre, oversikter fra skymiljøer og informasjon fra driftsleverandører.

Avvik blir til konkrete tiltak: koble til et nytt system, gjenopprette en datakilde, oppdatere hvor kritisk et system er, eller dokumentere et avtalt unntak.

Kunden bidrar med kunnskap om virksomheten og systemene. Leverandøren bidrar med innsikt i tjenesten og dataene den faktisk mottar. Sammen kan de holde oversikten over dekningen oppdatert.

Nyttige målepunkter kan være:

• Andelen systemer i tjenestens avtalte omfang som leverer nødvendige sikkerhetsdata.
• Tiden fra et nytt system er identifisert og skal omfattes av tjenesten, til avtalt overvåking og deteksjon er på plass.
• Antall datakilder som ikke har levert data innenfor avtalt tidsgrense.

Tidsgrensene bør gjenspeile forventet aktivitet og hvor viktig datakilden er. Mål på dekning bør vurderes sammen med mål på respons og resultater fra øvelser.

Slik ser god MDR ut i praksis

En velfungerende MDR-tjeneste gjør det tydelig hva den dekker, hvilke tiltak leverandøren kan gjennomføre, og hva kunden selv må følge opp.

Leverandøren kjenner systemene som betyr mest for virksomheten, og har tilgang til informasjonen som trengs for å undersøke relevante trusler. Begge parter kan se hvor dekningen er ufullstendig, og hvem som følger opp manglene.

Fullmakter er dokumentert for definerte situasjoner. Når leverandøren trenger en beslutning fra kunden eller bistand fra en annen leverandør, er eskaleringsveien tydelig og testet.

Deteksjonen gjennomgås når systemene og truslene endrer seg. Rapporteringen fører til prioriterte forbedringer, og erfaringer fra undersøkelser og øvelser brukes til å videreutvikle tjenesten.

Riktig tjenesteomfang avhenger av virksomhetens risiko og behov, leverandørens kapasitet og kundens egne ressurser.

For noen vil den viktigste prioriteringen være sterkere operativ støtte rundt eksisterende sikkerhetsverktøy. Andre trenger flere datakilder, tilpasset deteksjon, proaktiv jakt etter trusler eller tettere integrasjon med spesialisert hendelseshåndtering.

Det avgjørende er at valgene er tydelig avklart og gjennomgås sammen.

Seks spørsmål dere bør besvare sammen

Enten dere vurderer en ny MDR-tjeneste eller går gjennom en eksisterende avtale, bør dere besvare disse spørsmålene skriftlig:

1. Hvilke resultater skal tjenesten bidra til, og hvordan skal vi vurdere fremdriften?
   Koble tjenesten til relevante forretningsrisikoer, og avtal mål som partene kan påvirke.
2. Hvilke trusler og systemer må tjenesten dekke, og hvor mangler vi nødvendige sikkerhetsdata?
   Skill mellom det avtalte omfanget og dekningen som faktisk fungerer i dag.
3. Hva kan leverandøren gjøre direkte, og hvor stopper fullmaktene?
   Dokumenter forutsetninger, unntak og hensyn til driften.
4. Hvem må involveres når leverandøren ikke kan handle alene?
   Ta med beslutningstakere og stedfortredere hos kunden, driftsleverandører og relevante spesialister innen hendelseshåndtering.
5. Hvordan skal dekning og deteksjon opprettholdes når miljøet endrer seg?
   Avklar ansvar, intervaller for gjennomgang og hvordan endringer tas inn i tjenesten.
6. Hvordan skal vi teste responsmodellen og følge opp forbedringer?
   Test hele kjeden fra deteksjon og undersøkelse til beslutning og avtalt handling.

Fra deteksjon til koordinert handling

MDR skaper verdi når signaler blir forstått, beslutninger blir tatt og riktige tiltak blir gjennomført.

Å få dette til er et felles ansvar. Leverandøren bidrar med operativ sikkerhetskompetanse og kapasiteten som er avtalt i tjenesten. Kunden bidrar med virksomhetens prioriteringer, nødvendige fullmakter og kunnskap om eget miljø. Andre leverandører kan være avgjørende for å gjennomføre responsen.

En tydelig operativ modell gjør at disse bidragene fungerer sammen når tiden er knapp.

Bruker dere allerede MDR, er et godt utgangspunkt å velge ett kritisk system og gå gjennom det sammen med leverandøren: Hva kan tjenesten se? Hvilke trusler kan den oppdage? Og hva vil faktisk skje dersom en trussel blir bekreftet i kveld?

Transportvirksomheten i artikkelen er et fiktivt eksempel som illustrerer operative problemstillinger. Den beskriver ikke en virkelig virksomhet.

Forfatter