当网络攻击跨越网络时，从网络流量中获取高质量和相关数据对于安全操作至关重要。这在云环境中尤其重要，在云环境中，安全团队对流量的可见性有限或没有可见性，这使他们对恶意攻击视而不见。如果没有对网络流量的普遍可见性和深入的见解，威胁搜索和事件响应团队就无法有效。体育博彩平台最近采访了Corelight的高级体育博彩平台总监Vijit Nair，讨论了威胁搜索的重要性，以及如何在正确的工具和方向下，它比你想象的更容易实现。
1. 你如何定义事件响应流程？
事件响应是组织对入侵做出响应的过程。安全团队必须有明确的计划和明确的剧本，以帮助他们快速响应事件并限制损害。为此，他们必须拥有高保真度的数据，使他们能够对警报进行分类，排除误报，升级实际事件并深入调查。
2. 在深入研究特定的云环境之前，让体育博彩平台推荐先看一下安全性的大局。你能解释一下威胁搜索和事件响应的区别吗？
威胁搜索是一种假设驱动的活动，搜索未被发现的威胁，目前隐藏在网络中。威胁搜索通常从对网络中潜在问题的假设开始，然后深入到数据中寻找有趣的东西。当入侵检测系统检测到问题并生成警报时，事件响应就会发挥作用，这是一种被动的方法，而威胁搜索是主动的。如果检测到恶意内容，威胁搜索可能会触发事件响应。以下是围绕MITRE攻击和攻击框架组织的Corelight的威胁狩猎指南。
3. AWS、谷歌和Azure等云平台的转变带来了许多安全问题。在处理这些云环境时，是什么使威胁搜索如此困难？
在云环境中，共享责任模型限制了可见性，而分布式云服务和混合环境则扩大了攻击面。自动化和规模放大了错误配置，使其成为云安全的最大威胁。特权身份和访问管理（IAM）占所有数据泄露的70-80%。将工作负载迁移到云中的企业负责应用程序的安全性，但不具备保护它们所需的可见性。
云环境中的威胁搜索需要全面的可见性，这在IaaS（基础设施即服务）环境中是具有挑战性的。安全运维团队需要确保在每个服务上配置（并保持配置）日志记录，将每个服务的日志类型摄取到SIEM中，导航设计不良的模式，并在来自不同云环境的日志之间进行关联。
现在阅读：如何克服数据包可见性挑战
在云端[免费白皮书]
4.安全团队如何减轻云风险带来的困难？
安全团队必须使用网络监控来补充应用程序级别的可见性。通过鸟瞰云环境，组织可以了解高价值资产、多云环境之间的特权边界和其他瓶颈。网络监控提供了一种无需判断的环境视图，并且与云提供商、应用程序和服务无关。像Zeek这样的开源工具早已成为持续网络安全监控的事实上的标准，其模式是专门为SOC团队构建的。Zeek及其社区开发的内容的可扩展性允许您轻松地使用上下文和相关性丰富数据。
5. 目前，每个云平台都有不同的安全方式。Azure环境的哪些方面给安全和威胁搜索带来了挑战？
由于缺乏应用程序级别的可见性和全面的日志记录，因此组织希望通过网络监视来获得其环境的规范化视图。数据包不会说谎，IT和安全专业人员需要这种级别的可见性和对其连接的应用程序的访问，以检测安全异常并分析网络性能。这种可见性在Azure中明显缺失，使得IT团队使用过时的工具（如tcpdump和Microsoft Network Monitor）来检查单个主机的小数据包捕获，而不是本地解决方案。
6. 体育博彩平台 Prism vTAP等数据包级可见性如何在云环境中扩展Corelight解决方案？
云存在的一个主要挑战是向工具交付包级数据。当数据通过公共互联网电路时，可能会有一定程度的数据包丢失。Corelight需要对整个环境中传输的所有交通数据具有可视性。这就是为什么体育博彩平台推荐与体育博彩平台合作，在这个例子中与体育博彩平台 prism合作，帮助驱动准确的高级数据包数据，Corelight传感器需要检测和响应恶意数据。
7. 威胁搜索团队如何使用这种可见性来保护他们的云环境？
最近发布的MITRE ATT&CK企业云矩阵是一个很好的起点。这个矩阵涵盖了攻击者使用的基于云的https。此外，Corelight还集成了一个工具，可以识别ATT&CK矩阵中的ttp， Corelight数据可用于发现和阻止攻击者。
例如:
- T1020 -自动导出：从云存储中导出数据是云中最常见的数据泄露来源之一。“生产者-消费者比例”包帮助防御者识别两台主机之间数据传输的典型方向和数量，并确定何时发生变化。
- T1110 -蛮力：IAM帐户妥协允许攻击者在云环境中移动而不被发现，同时造成严重破坏。Corelight的数据可以帮助监控通过SSH进行的密码猜测或暴力攻击。即使使用加密的流量，Corelight也依赖于用户行为而不是内容来从流量中收集不可恢复的见解。
8. 您提到了Corelight平台的新威胁搜索功能。你能详细介绍一下Corelight最近在现有体育博彩平台中的扩展吗？
是的!体育博彩平台推荐最近根据云中加密数据的变化更新了Corelight云传感器的功能。加密流量继续上升。防御者需要配备威胁搜索工具，以便在无法解密时将合法行为与恶意活动区分开来。该扩展被称为Corelight加密流量收集（ETC），它扩展了防御者在加密环境中的事件响应和威胁搜索能力。Corelight ETC非常棒，因为它包含了许多由Corelight的研究团队开发的包，比如通过SSH连接推断击键的能力，以及来自开源Zeek社区的策划包。体育博彩平台推荐很高兴能在今年早些时候推出这款游戏。
9. 随着云环境和威胁搜索的不断发展，体育博彩平台推荐显然还没有看到云安全的终结——你认为云安全的新兴趋势是什么？
随着企业加速迁移，云的采用将继续有增无减。随着微服务和无服务器架构的采用，云服务将变得更加普遍和分布式。体育博彩平台推荐预计云安全挑战将以同样的速度增长。组织将被迫从以合规性/预防为中心的思维转变为建立成熟的SOC团队，能够进行威胁搜索和事件响应，以应对云安全中的新威胁。
希望将Corelight解决方案添加到您的云部署中，但不确定从哪里开始？加入体育博彩平台推荐，参加一个简短的网络Design-IT咨询或演示。没有义务-这是体育博彩平台推荐喜欢做的！
