Vorpsel / Serviços / Defesa e resposta
Blue team e threat hunting
Trabalhamos ao lado do seu time para garantir que um ataque no seu ambiente seria de fato visto. Verificamos o que os seus logs cobrem, escrevemos e ajustamos as detecções que faltam e caçamos atividades que nenhum alerta pegou ainda.
Em resumo
- Para times que coletam logs mas não sabem o que pegariam
- Formato uma avaliação fechada, ou um contrato mensal
- Funciona com as ferramentas que você já tem, e não só a Vorpsel
- Fica com você cada detecção, consulta e playbook que escrevemos
Coletar logs não é o mesmo que detectar ataques
A maioria das empresas já manda logs para algum lugar. As perguntas difíceis vêm depois: que técnicas de ataque esses logs mostrariam, que regras disparariam e se alguém notaria o alerta no meio de centenas de outros num dia movimentado.
Este serviço responde a essas perguntas com evidências. Mapeamos as suas fontes de log contra técnicas de ataque conhecidas, testamos as detecções que você tem, fechamos as lacunas que mais importam para o seu negócio e deixamos o seu time com menos alertas, e melhores.
Quando isso faz sentido
Alertas que ninguém lê
A plataforma gera centenas de alertas por dia e o time parou de olhar a maioria.
Uma plataforma de logs nova com regras de fábrica
Os logs estão chegando numa ferramenta nova, mas as detecções ainda são as que vieram de fábrica.
Ninguém sabe o que os logs cobrem
Ninguém consegue dizer quais ataques os logs atuais mostrariam e quais passariam despercebidos.
Um auditor pergunta sobre monitoramento
Uma norma ou um cliente pede evidência de que os eventos de segurança são acompanhados e tratados.
Depois de um incidente que ninguém percebeu
Algo aconteceu e foi descoberto tarde, e você quer saber por que os alertas não dispararam.
Um time pequeno com muita coisa para vigiar
Poucas pessoas cuidam da segurança junto com outras tarefas e precisam de menos alertas, e melhores.
O que o trabalho cobre
Revisão de visibilidade
Começamos listando o que você enxerga hoje: quais máquinas, servidores, contas de nuvem e aplicações mandam logs, por quanto tempo os logs ficam guardados e quais campos realmente chegam.
- Um mapa das suas fontes de log contra as técnicas do MITRE ATT&CK que elas conseguem revelar
- Pontos cegos ordenados pela chance de um atacante usá-los contra você
- Configurações concretas para ligar, como auditoria de processos ou log de DNS
Engenharia de detecção
Escrevemos as detecções que faltam e corrigimos as que disparam demais. Cada regra é testada contra uma reprodução segura do comportamento que ela deve pegar antes de entrar no ar.
- Regras escritas para a sua plataforma, com descrição, severidade e os passos de triagem
- Ajuste de regras ruidosas com exceções documentadas, e não silenciosas
- Um registro de qual técnica cada regra cobre, para que a cobertura possa ser medida
Caça a ameaças
Alertas só pegam o que alguém pensou antes. Uma caça parte de uma hipótese, como uma técnica conhecida usada contra o seu setor, e procura sinais dela no histórico.
- Hipóteses escolhidas a partir da atividade de ameaças atual contra empresas como a sua
- Cada caça documentada: o que foi procurado, o que foi encontrado e o que foi descartado
- Qualquer coisa suspeita passada para a resposta a incidentes no mesmo dia
Playbooks de resposta
Um alerta só serve se quem o recebe sabe o que fazer em seguida. Escrevemos playbooks curtos para os seus alertas mais importantes e repassamos com o seu time.
- Passos para confirmar, conter e escalar, com o dono de cada passo
- Um exercício de mesa com o seu time para testar um playbook antes de ele ser necessário
Como funciona
Uma primeira avaliação costuma levar de três a seis semanas, conforme o número de fontes de log. Depois disso, muitos times nos mantêm num contrato mensal para ajuste e caça.
Escopo
Combinamos os ambientes, a plataforma de logs e as ameaças que mais preocupam você, e recebemos acesso de leitura aos logs.
Avaliação
Revisamos a visibilidade e as detecções existentes e as testamos contra as técnicas que importam para você.
Construir
Escrevemos e ajustamos detecções e playbooks com o seu time e os implantamos na sua plataforma.
Entrega
Você recebe o relatório, o mapa de cobertura e cada regra, e o seu time é treinado para mantê-los.
O que você recebe
Mapa de cobertura
Quais técnicas de ataque você consegue ver e detectar hoje, e quais não, antes e depois do trabalho.
Detecções e playbooks
Cada regra e playbook na sua própria plataforma, documentados e seus.
Relatório e roteiro
Achados para o time técnico, um resumo de uma página para a liderança e uma lista priorizada de próximos passos.
Formas de trabalhar conosco
As duas opções usam o mesmo método. A diferença é por quanto tempo ficamos.
| Opção | Indicado para | O que inclui |
|---|---|---|
| Avaliação | Uma primeira medida do que você consegue ver e detectar | Revisão de visibilidade, testes de detecção, regras novas e ajustadas, mapa de cobertura e relatório |
| Contrato mensal | Manter a detecção atualizada conforme o ambiente muda | Ajuste regular, detecções novas para ameaças novas, caças todo mês e um relatório mensal curto |
Perguntas
Precisamos usar o SIEM da Vorpsel?
Não. Trabalhamos com a plataforma de logs que você já tem. Se você usa a Vorpsel, as detecções que escrevemos entram direto na sua lista de regras.
É um serviço de detecção gerenciada?
Não. Não acompanhamos os seus alertas 24 horas por dia. Melhoramos o seu próprio monitoramento e treinamos o seu time para operá-lo. Se algo aparece durante uma caça, avisamos na hora e podemos iniciar a resposta a incidentes.
De que acesso vocês precisam?
Acesso de leitura aos logs e às regras de detecção. Não precisamos de direitos de administrador nas suas máquinas, e o acesso é removido no fim do trabalho.
Como vocês medem o resultado?
Pela cobertura: o número de técnicas relevantes que você conseguia detectar antes e depois, e pelo volume de alertas que não exigiam ação antes e depois do ajuste.
Com quais plataformas de logs vocês trabalham?
As plataformas de SIEM e de logs mais comuns, inclusive o SIEM da Vorpsel. Diga qual você usa no escopo e confirmamos o que conseguimos fazer nela.
Vocês trabalham junto com o nosso provedor de segurança gerenciada?
Sim. Podemos revisar as detecções que eles operam para você, propor mudanças e ajudar a fazer as perguntas certas sobre cobertura.
Outros serviços
Conte o que você precisa.
Respondemos com algumas perguntas sobre o escopo e depois enviamos uma proposta com datas e preço.