ТЕХНИЧЕСКОЕ ОПИСАНИЕ

Cyber Security Operations Platform

Постоянные отраслевые вызовы

Расширение применения новейших цифровых технологий создаёт как новые возможности, так и дополнительные киберриски. Специалистам по безопасности необходимо оценивать потенциальное влияние новых технологий на защищённость сети и изучать особенности новой среды.

Частные компании и государственные организации несут ответственность за защиту своих технологий, конфиденциальных данных и интеллектуальной собственности. Для этого организациям необходимы устойчивые требования к политикам и процедурам, позволяющие выявлять риски, предотвращать компрометацию или кражу данных и обеспечивать достаточно эффективное реагирование при возникновении инцидентов.

Специалисты по безопасности должны быть готовы к работе с первого дня и вносить вклад в командное реагирование на каждый инцидент. Аудиторные занятия и настольные учения не обеспечивают сотрудникам первой линии достаточной подготовки для эффективного обнаружения и управления сложностями реального киберинцидента. Команды безопасности часто тренируются на атаках, не связанных с их текущей сетевой инфраструктурой, повседневными инструментами и процессами.

В результате растёт потребность в практическом обучении на основе опыта. Такой подход позволяет специалистам по безопасности отрабатывать реалистичные атаки и защитные действия в моделируемой среде, а также изучать способы снижения рисков кибербезопасности.

Основные преимущества

Решение: Cyber Security Operations Platform

Cyber Security Operations Platform компании Keysight - комплексное решение, предоставляющее специалистам по безопасности контролируемую защищённую среду для получения практических навыков кибербезопасности и проверки уровня защищённости организации. Решение включает:

Рисунок 1. Cyber Security Operations Platform - архитектура компонентов решения

Ключевые функции

Сценарии угроз и мероприятий

Геймификация

Платформа

Администрирование

Capture the Flag

Capture the Flag - расширенное упражнение по кибербезопасности, в котором несколько команд соревнуются друг с другом и со временем, пытаясь найти как можно больше «флагов», скрытых в виртуальной инфраструктуре. За найденные флаги начисляются баллы, а участники демонстрируют знания и навыки как наступательных, так и защитных методов.

Текущая реализация Capture the Flag предусматривает работу фиолетовых команд: каждая команда специалистов выполняет функции красной и синей команд с учётом индивидуальных предпочтений пользователей, совместно решая задачу создания или нейтрализации угрозы.

Каждой команде выделяется изолированная виртуальная среда, исключающая вмешательство конкурирующих команд. Участники совместно находят максимальное количество флагов с разной ценностью за минимальное время.

Пользователи белой команды выступают наблюдателями, контролируют отправку флагов и отвечают на запросы участников в чате. Белая команда полностью управляет средой и видит результаты пользователей и команд в реальном времени.

Планирование мероприятий

Участник белой команды с правами администратора планирует и настраивает мероприятия. Обычные пользователи и пользователи/администраторы белой команды заранее видят запланированные мероприятия и имеют отдельную вкладку для просмотра прошедших мероприятий. Администраторы могут запланировать мероприятие непосредственно или сохранить его как черновик для последующего изменения.

Команды

Каждый пользователь киберполигона может создать собственную команду в своём профиле с помощью предусмотренной системой функции настройки. Другие пользователи могут подать владельцу команды запрос на вступление из своего профиля.

Пользователь может выбрать индивидуальное предпочтение для мероприятия или цвет: например, красный, если предпочитает атакующую роль, либо синий, если выбирает защиту. Это помогает белой команде поддерживать требуемый баланс атакующих и защитников при управлении командами.

Белая команда полностью управляет средой: может создавать команды, назначать пользователей, удалять команды и менять их владельцев.

Отчётность

Администраторы киберполигона или системы могут выбрать постоянное место хранения журналов завершённых мероприятий - базу данных или сетевой ресурс. Место настраивается один раз и используется для всех последующих мероприятий.

При планировании мероприятия можно включить или отключить автоматическую публикацию данных после его завершения независимо от результата. Если автоматическая публикация отключена, после завершения мероприятия участник белой команды может вручную опубликовать данные с помощью предусмотренной кнопки.

Пользователи могут создавать подробные пользовательские отчёты по завершённым мероприятиям, используя экспорт во внешнюю базу данных и собственные инструменты отчётности.

Пользовательский интерфейс

Интерфейс киберполигона содержит расширенный редактор сценариев. Он позволяет изменять сценарий угроз, например удалять вопрос викторины или добавлять флаги мероприятия с метаданными, включающими тип флага, значение, баллы, категорию и префикс.

Рисунок 2. Cyber Security Operations Platform - библиотека сценариев

Рисунок 3. Cyber Security Operations Platform - сценарий угроз и связанная с ним сетевая схема

Рисунок 4. Cyber Security Operations Platform - главная панель активного мероприятия для пользователя белой команды

Рисунок 5. Cyber Security Operations Platform - параметры кластера с возможностью перезапускать и запускать виртуальные машины непосредственно из кластера

Практические упражнения киберполигона

Ролевое обучение и упражнения дают пользователям возможность работать совместно, улучшая взаимодействие, коммуникацию и время реагирования при киберинциденте.

Этапы Kill Chain

Cyber Kill Chain - теоретическая модель, разработанная Lockheed Martin для описания структуры атаки. Определённые в ней разделы, подобно звеньям физической цепи, обозначают точки, в которых специалисты по безопасности могут обнаружить, остановить или сорвать атаку.

Предлагаемые киберупражнения основаны на одном или нескольких упрощённых этапах Kill Chain в классификации красной или синей команды в зависимости от целей сценария угроз. Красная команда сосредоточена на атаках и понимании техник, тактик и процедур (TTP), применяемых для преодоления защиты и обхода распространённых защитных механизмов. Синяя команда специализируется на защите, снижении угроз и обеспечении видимости.

Keysight рекомендует командам работать совместно над созданием и внедрением более эффективных стратегий защиты. Это формирует глубокое понимание причин применения конкретных средств контроля и методов, используемых для их обхода.

Таблица 1. Функции красной и синей команд на этапах Kill Chain

Каждый сценарий угроз сопоставлен с фреймворком NICE NIST (SP 800-181, версия 2 на момент публикации находилась в проекте). NICE Workforce Framework for Cybersecurity, обычно называемый NICE Framework, - национальный ресурс, помогающий работодателям развивать кадровый потенциал в области кибербезопасности. Он формирует общую терминологию для описания работ и специалистов по кибербезопасности независимо от места и организации выполнения работ. NICE Framework применяется в государственном, частном и академическом секторах.

Требования к аппаратной платформе

Cyber Security Operations Platform компании Keysight включает следующие компоненты:

Ниже приведены требования к компонентам платформы, достаточные для базовой системы, но не учитывающие потребности предварительно настроенных или пользовательских сценариев угроз.

1. Текущим шаблонам виртуальных машин требуется около 3 ТБ дискового пространства. Производительность дисков напрямую влияет на скорость запуска и оркестрации виртуальных машин. Поэтому по возможности рекомендуется использовать твердотельные накопители NVMe PCIe Gen 4 x4 или более нового поколения.

Информация для заказа

Подписные лицензии

Бессрочные лицензии

Продление бессрочных лицензий