EDR IBM ReaQta pro Marius Pedersen
Představení společnosti
Marius Pedersen a.s. je dceřinou společností dánské firmy Marius Pedersen A/S což je společnost holdingového typu s působností po celé České republice. Od roku 1990 u nás působí v oblasti likvidace odpadů a komplexního řešení pro města a obce v oblasti údržby veřejných prostor. Následně své služby rozšířila i na další oblasti jako jsou: údržba zeleně, letní a zimní údržba komunikací, oprava komunikací a údržba veřejného osvětlení. Poslední roky zastřešuje také facility management.
Zákazník se ke konci roku 2021 rozhodl navýšit současné zabezpečení koncových stanic, které spoléhalo na tradiční antivirové řešení. Náš obchodní tým zákazníka oslovil s unikátním řešením. Vzhledem k omezeným lidským zdrojům, muselo být řešení časově nenáročné na provoz, částečně automatizované.
Řešení muselo být jednoduché, tak aby s ním nemuseli pracovat jen specialisté či dedikovaný personál.Bylo potřeba moci řešení přizpůsobovat dle vlastních potřeb, tvořit vlastní pravidla či výjimky. Od řešení požadovali plnou viditelnost na koncové zařízení, tak aby měli opravdu plné informace – logy, co se na zařízeních odehrává, byť se jedná o běžné události. Možnost budoucích integrací s nástroji třetích stran, jako je SIEM a další bylo také jedním z požadavků. V neposlední řadě byl požadavek na rozumnou cenu.
Cíl a proces spolupráce
Proof of Conceptem zákazníka provázela společnost FreeDivision, která zastupuje výrobce pro český a slovenský trh a specializuje se pouze na bezpečnostní řešení. Velmi rychle vytvořili cloudové prostředí – jedná se o privátní bezpečnostní cloud v datovém centru v ČR. Následně začala implementace na koncové zařízení. Během prvních čtrnáctí dnů implementace byla testována manuální instalace na koncová zařízení a sledování možných problémů při tomto typu nasazení. Zákazníkovi blyo poté demonstrováno atumatizované nasazení skrze doménové politiky a scripty.
Tímto způsobem bylo implementováno přes 200 koncových zařízení během jediného pracovního dne. Vzhledem k detailním požadavkům zákazníka se naplánovala série workshopů, kde zástupce zákazníka postupně seznamoval s možnostmi řešení a odpovídal na jejich dotazy směřující ke zkušenostem z reálného provozu.
Výsledky spolupráce
Po dvouměsíčním testování a porozumění celému řešení se plynule přešlo rovnou do produkčního provozu. Zákazník si vybral řešení poskytované z dohledového centra v Praze.
Celý projekt hodnotí velmi úspěšně, především se jedná o poměr mezi klíčovými faktory: časová náročnost / cena / okamžitý výsledek v podobě získané bezpečnosti.Nasazení bylo rychlé včetně zaškolení personálu, protože již z několika workshopů získal zákazník poměrně hodně znalostí. Krátce po plošném nasazení bylo zjištěno, že dochází k četnému využívání nepovoleného softwaru a jeho komponent k nestandardním činnostem. Za pomocí logů z koncových zařízení a jednoduché a přehledné interpretace Reaqty bylo vyšetřování těchto nestandardních aktivit jednoduchou záležitostí.
Řešení bylo nasazeno za exkluzivních finančních podmínek. Veškeré záruky a podmínky jsou smluvně garantovány včetně umístění dat v datovém centru v Praze v České republice. Management umožňuje tzv. multi tenant, tedy připojování dalších zemí a rozdělení dle struktury holdingu a společnosti. V případě zájmu bude možno řešení poskytnout i ostatním zemím v rámci Marius Pedersen.
Řešení
EDR – Event Detection Response, častokrát označované jako tzv. next generation antivirus.
Klíčovým rozdílem od běžných antivirových technologií je především ve stylu DETEKCE, kdy EDR nedetekuje bitový popis útoku, který je dán databází výrobce, ale tzv. vektor útoku - jak, odkud a kam je veden, s využitím jakých prostředků a funkcí. Díky tomu, že nespoléhá na již popsané útoky, dokáže ochránit i před úplně novými typy hrozeb - Zero Day útoky.
Použité technologie
EDR IBM ReaQta
Klíčové vlastnosti IBM ReaQta pro Marius Pedersen CZ
Threat Hunting je možnost vyhledávání jakýchkoli informací, které jsou v databází řešení. ReaQta umožnuje vyhledávání z několika pohledů. Pohled dle parametrů události, typu události, dle mittre attack technik a taktik. Všechny události jsou zařazovány do statistik a frameworku samotného Mittre. Celá tato databáze využívá elastic search. V budoucnu v případě dohledávání zranitelnosti typu Log4shell či jiných, je možnost na dvě kliknutí získat požadované informace.
Detekce, která využívá umělou inteligenci. Možnost grafického zobrazení celého alertu, včetně prokliku do samotného detailu. Detailní step by step události ke každému incidentu. Okamžitá informace, které další systémy jsou zasaženy či jsou součástí útoků.
Propojení na dvě databáze malwaru-virustotal.com, allienvault.com. Automatické vytváření politik. Implementovaná DESTRA – možnost tvorby vlastních pravidel skrze jazyk LUA či skrze stringy YARA. Úprava reportů dle přání a otevřené API pro integraci. Jednoduchost a efektivita.
Gafický report TRENDs
Feedback klienta
Není dohled jako dohled, členové KSP týmu se nám aktivně věnují. Mimo jiné nám i dávají podněty na zlepšení konfigurace bezpečnostních politik, GPO, infrastruktury a další. Hledali jsme partnera, který "jen neuzavře alert",ale když vidí, že máme něco špatně nastavené, aktivně se zapojí do zlepšení. Přeci jen tzv. misconfiguration se objevují v každé infrastruktuře.
EDR není krabicové řešení a nemůže ho dodávat kdejaká společnost.
Ing. Tomáš Masák, Manažer ICT
Zkusíte to s námi také?
Neváhejte a kontaktujte nás!
