Waarom detection coverage onmisbaar is voor een sterker zicht op cyberdreigingen.

Detectie coverage

Vraag drie security engineers waar hun grootste blinde vlekken in detectie zitten, en je krijgt waarschijnlijk drie verschillende antwoorden. Dat komt niet door een gebrek aan expertise, maar door het ontbreken van een gedeeld en objectief beeld van wat de securitystack daadwerkelijk kan detecteren.

Zonder die duidelijkheid baseren securityteams hun prioriteiten en budgetten vaak te veel op intuïtie. Het doel zou moeten zijn om aannames te vervangen door transparante, objectieve meetwaarden.

Een overzicht van de detection coverage biedt precies dat: continu actuele operationele inzichten in de detection capaciteiten gedurende de volledige aanvalsketen. 

Van statische momentopnames naar dynamische zichtbaarheid

Veel organisaties beoordelen hun dreigingsdetectie nog steeds via periodieke, handmatige analyses. Ze schakelen bijvoorbeeld een externe auditor in of stellen jaarlijks een spreadsheet op waarin securitytools worden gekoppeld aan bekende aanvalstechnieken. Hoewel dit waardevolle inzichten oplevert, betreft het slechts een momentopname. Handmatige mappings zijn bovendien snel verouderd.

Moderne IT-omgevingen veranderen daarvoor simpelweg te snel. Nieuwe applicaties, cloudplatformen en overnames zorgen voortdurend voor veranderingen in het aanvalsoppervlak. Daardoor loopt statische documentatie vaak al kort na oplevering achter op de werkelijkheid.

Om blijvend grip te houden op de effectiviteit van detectiecapaciteiten is meer nodig dan een spreadsheet in een map. Detectiedekking moet een continu bijgewerkt, operationeel overzicht zijn dat altijd beschikbaar is voor het securityteam. 

Detectiedekking dynamisch in kaart brengen

Om continu inzicht te krijgen in detectiecapaciteiten is een gestandaardiseerde taal noodzakelijk. De industriestandaard hiervoor is het MITRE ATT&CK®-framework: een leveranciersneutrale kennisbank met tactieken en technieken die door aanvallers in de praktijk worden gebruikt.

Door detectietools continu aan dit framework te koppelen, kunnen organisaties een versnipperde securitystack omzetten in één samenhangend overzicht. Daarmee worden twee belangrijke doelstellingen gerealiseerd:

• Actuele dekking zichtbaar maken: inzicht krijgen in welke aanvalstechnieken door de bestaande detectietools worden afgedekt. 
• Kritieke blinde vlekken identificeren: precies vaststellen waar nog geen detectiecapaciteiten aanweig zijn en waar risico's ontstaan.

Met dit inzicht is het bepalen of een securityteam een specifieke aanvalsketen kan detecteren niet langer afhankelijk van meningen of jaarlijkse evaluaties. Het wordt een actueel en objectief beeld van de werkelijkheid.

Strategisch prioriteren 

Zodra je realtime inzicht hebt in je detection coverage en de resterende lacunes, is de volgende vraag waar je als eerste op moet focussen. Geen enkele organisatie beschikt over voldoende budget of middelen om iedere techniek binnen het MITRE ATT&CK-framework af te dekken. Een poging om dat toch te doen kan leiden tot een overvloed aan alerts en inefficiënte investeringen. Daarom is prioritering essentieel.
In plaats van te streven naar volledige dekking kiezen organisaties doorgaans voor twee praktische benaderingen:

• Prioriteren op basis van dreigingen
  In plaats van de volledige ATT&CK-matrix te analyseren, begin je met de dreigingen die op dit moment het grootste risico vormen voor de organisatie. Ransomware is daar een goed voorbeeld van.
  Met behulp van threat intelligence kunnen organisaties vaststellen welke technieken actieve ransomwaregroepen gebruiken. Door deze technieken te vergelijken met de huidige detection coverage worden de meest urgente hiaten snel zichtbaar.
  
• Prioriteren op basis van de sector
  Een andere effectieve aanpak is om naar je sector te kijken. Door de cyberaanvallen te analyseren die het vaakst voorkomen binnen je branche, kun je de technieken in kaart brengen die worden ingezet tegen vergelijkbare organisaties en vaststellen welke blinde vlekken in je detection coverage als eerste aandacht vereisen.