端點檢測和響應 (EDR) 在保護端點方面展示了明顯的價值，并在許多方面提供了對本地流程的獨特可見性。然而，客戶和潛在客戶告訴我們，他們在端點上的 EDR 覆蓋率在 60-70% 之間。換句話說，40-30% 的設備是他們無法控制的。
失控設備分為幾個不同的類別：
【資料圖】
我們不僅對當前連接到我們網(wǎng)絡的許多設備和每天添加的新設備視而不見，而且對這些設備正在做什么視而不見。許多組織都有指定行為的治理實踐和策略。因此，我們通常最終會在我們認為正在發(fā)生的事情和實際發(fā)生的事情之間存在可見性差距，最重要的是，我們無法輕松了解該行為是否正?；蚴欠翊嬖谛枰⒓搓P注的潛在惡意行為。
在陰影區(qū)域投光
我們生活在一個充斥著惡意軟件故事的世界中，惡意軟件在被捕獲之前已經(jīng)存在于組織的基礎設施中數(shù)月之久。與此同時，數(shù)據(jù)已被泄露，因為惡意活動發(fā)生在網(wǎng)絡的陰影中，攻擊者可以隱藏在這些陰影中并在大多數(shù)情況下不被發(fā)現(xiàn)地開展工作。
因此，控制失控設備的第一步是了解網(wǎng)絡上發(fā)生的事情。然而，在當今分散、短暫、加密和多樣化(DEED) 的環(huán)境中，陰影區(qū)域無處不在，因此依靠傳統(tǒng)工具很難獲得網(wǎng)絡可見性。與其找到一個點來監(jiān)控和捕獲數(shù)據(jù)包，不如找到幾十個（如果不是數(shù)百個）點。深度數(shù)據(jù)包捕獲 (DPI) 的管理變得極其復雜，并且成本很高。這就是元數(shù)據(jù)數(shù)據(jù)的用武之地，讓您可以照亮無法忽視的陰影區(qū)域。流數(shù)據(jù)形式的元數(shù)據(jù)提供了一種被動和無代理的方法來跨多云、本地和混合環(huán)境（包括每個 IP 地址和每個設備）實現(xiàn)網(wǎng)絡流量可見性。
接下來是上下文
我們還需要將可見性與治理上下文相結合的功能，因為即使您可以看到網(wǎng)絡上發(fā)生的事情，您仍然需要上下文來理解該流量的含義。例如，您可能會在您的平臺上看到一臺主機在掃描您的網(wǎng)絡。您如何輕松區(qū)分正常運行的滲透測試平臺與受到威脅的流氓主機之間的區(qū)別？如果您所關注的只是網(wǎng)絡流量，這將引發(fā)警報。
但是，當您可以使用來自其他來源（例如 EDR 系統(tǒng)、配置管理數(shù)據(jù)庫 (CMDB) 和云安全態(tài)勢管理 (CSPM)）的信息來豐富流數(shù)據(jù)時，您將獲得網(wǎng)絡流量中不一定存在的額外含義數(shù)據(jù)。你可以理解who和what。如果事實證明是你的滲透測試平臺在掃描，那你就不用擔心了。但是，如果結果證明是銷售代表的 Mac OS 筆記本電腦應該制定了限制用戶訪問網(wǎng)絡和應用程序特定部分的策略，那么您可能會遇到問題，需要進一步調查。
運營治理：終結游戲
歸根結底，控制失控設備是關于運營治理。因此，最后一部分是圍繞治理策略構建檢測，以識別異常行為并發(fā)出警報。實際上，彌合了可見性部分和調查部分之間的差距。
失控設備的范圍從已知到未知，從良性到惡意，而您劃定界限的地方因您的組織而異。對于擁有處理車間設備所有自動化的 OT 平臺的大型制造商來說，失控的情況與金融服務公司的定義大不相同，可能需要不同的控制措施。即使在同一家公司內，失控的定義也會有所不同，無論您指的是 OT 網(wǎng)絡還是筆記本電腦、服務器和打印機所在的 IT 網(wǎng)絡。甚至在設備層面，云端和數(shù)據(jù)中心失控的情況也不同。幸運的是，豐富了上下文并覆蓋了治理策略的元數(shù)據(jù)提供了定義和檢測真正失控的內容并對其進行控制所需的靈活性。
標簽：
