Cloud Detection and Response

Cloud Detection and Response (CDR) ist ein Bereich der Cloud-Sicherheit, der sich auf die Erkennung aktiver Angriffe in Cloud-Umgebungen konzentriert und Unternehmen die Informationen und Tools bereitstellt, die Sicherheitsteams zur Untersuchung und Reaktion auf diese Angriffe benötigen.

Das Hauptziel von CDR ist die Erkennung von Cloud-Angreifern, die die Perimeter-Kontrollen von Cloud-Ressourcen und -Anwendungen durchbrochen haben. Durch die kontinuierliche Bereitstellung kontextualisierter Daten zu potenziell bösartigen Aktivitäten in der Cloud-Umgebung für Security Operation Center (SOC)- und Incident Response (IR)-Teams beschleunigt CDR die Untersuchung von und Reaktion auf Cloud-Angriffe.

Da Unternehmen zunehmend von der Cloud abhängig sind, verlassen sich viele immer noch auf herkömmliche On-Premises-Tools, um Cloud-Angriffe zu erkennen und darauf zu reagieren. Dies führt zu eingeschränkten Einblicken, übersehenen Angriffen und hohen Raten an Fehlalarmen. CDR hilft Unternehmen, Transparenz und Bewusstsein für laufende Cloud-Angriffe zu gewinnen, ihre Reaktion zu beschleunigen und zu verbessern sowie den Umfang und Schweregrad von Vorfällen zu begrenzen.

Wie bei der On-Premises-Erkennung und -Reaktion umfasst CDR vier Phasen:

1. Erkennung: Kontinuierliche oder häufige Überwachung auf Angriffe über Feeds von Cloud-Diensten hinweg mit Alarmierungsfunktionen.
2. Untersuchung: Überprüfung von Angriffsschritten, Techniken und Zeitplänen sowie Analyse verfügbarer Daten, um die erforderliche Reaktion auf die Bedrohung zu bestimmen.
3. Reaktion: Funktionen, die darauf abzielen, Cloud-Bedrohungen einzudämmen, bevor sie Schaden anrichten können, wie z. B. automatische Behebung oder automatische Weiterleitung an Ticketing-Systeme.
4. Resilienz: Unternehmen führen eine Post-Mortem-Untersuchung durch, ziehen Schlüsse und konzentrieren sich auf potenzielle Abhilfemaßnahmen basierend auf verfügbaren Daten. Nach der Bedrohungsabwehr untersuchen sie die Ursache und ergreifen Maßnahmen – Patching, Verschlüsselung, strengere IAM-Richtlinien –, die die Cloud-Umgebung härten.

Alternative Lösungen zu CDR sind unter anderem:

• Endpoint Detection and Response (EDR): EDR-Lösungen betrachten Endpunkte als potenzielle Angriffsvektoren. Sie nutzen Agenten, um Endpunktaktivitäten aufzuzeichnen und potenzielle Bedrohungen zu identifizieren, und stützen sich auf Anomalieerkennung, maschinelles Lernen und andere Ansätze.

• Network Detection and Response (NDR): NDR erkennt Bedrohungen durch die Analyse des Netzwerkverkehrs im Unternehmen. NDR-Lösungen suchen nach potenziellen Bedrohungen basierend auf anomalen oder unbefugten Protokollen, Port-Nutzung, ungewöhnlichem Timing, Übertragungsgrößen und mehr.
• Threat Detection & Response (TDR): TDR sammelt in der Regel Informationen, die für eine aktuelle Bedrohung am relevantesten sind. Endpunkt-TDR-Tools zeichnen Daten über eine identifizierte Bedrohung auf oder analysieren, ob ein Ereignis oder Prozess eine Bedrohung darstellt. Analytische TDRs nutzen vorhandene Daten und wenden Analysen an, um Bedrohungen zu identifizieren.
• Extended Detection & Response (XDR): XDR-Plattformen erkennen Bedrohungen durch die Erfassung von Endpunkt-Agenten-Daten, Informationen auf Netzwerkebene und Geräteprotokollen.

Diese Lösungen bieten jedoch keine echte Cloud-Telemetrie wie CDR und sind isolierte Tools ohne kontextbezogene Einblicke in bestehende Risiken der Cloud-Umgebung. Daher neigen diese Tools zu einer höheren Rate an False Positives, da sie die Gefahr bestimmter Aktionen nicht genau einschätzen können.

Die Orca Security Platform bietet eine Rund-um-die-Uhr-Überwachung von Cloud-Provider-Logs und Threat-Intelligence-Feeds. Orca erfasst diese Informationen und integriert sie mit unseren Erkenntnissen über bestehende Risiken in der gesamten Cloud-Umgebung und dem Standort der kritischsten Assets eines Unternehmens. Dies ermöglicht Orca die schnelle Erkennung potenziell gefährlicher Ereignisse, die sofortige Aufmerksamkeit erfordern.

Mit der CDR-Lösung von Orca können Sie laufende Cloud-Angriffe erkennen, untersuchen und darauf reagieren:

1. Erkennen: Erhalten Sie priorisierte Alarme zu Ereignissen, die Ihre kritischsten Assets gefährden.
2. Untersuchen: Erhalten Sie schnelle Einblicke in Sicherheitsereignisse, einschließlich der Frage, ob sie böswillig sind und ob sie Ihre kritischen Assets gefährden.
3. Reagieren: Beheben Sie laufende Cloud-Angriffe schnell mit automatisierten Remediation-Schritten und Integrationen.