Năng lực ApexAI Breach Proof
Năng lực · Phát hiện tấn công web thành công
Cuộc tấn công có thành công không? Hãy biết chắc, đừng đoán.
Mọi ứng dụng public ra Internet đều bị tấn công mỗi ngày, và gần như tất cả đều thất bại. Mối nguy là một request đã lọt qua. ApexAI Breach Proof xem điều gì xảy ra sau mỗi lần tấn công, tách lần thử khỏi lần thành công và kiểm tra lại câu trả lời trên chính log của bạn trước khi đề nghị ai đó hành động.
Trạng thái: Bản xem trước Breach Proof chạy ở chế độ quan sát trên log web và máy chủ thật: ghi lại phát hiện và kết quả xác nhận để xem xét, chưa tự phát cảnh báo nào.
Vì sao lần thử nhấn chìm vụ xâm nhập
Các công cụ bảo mật web giỏi nhận ra payload tấn công. Đó cũng chính là vấn đề. Một đợt quét, một con bot hay một người kiểm thử bất cẩn tạo ra cùng dấu hiệu như kẻ xâm nhập thật, nên analyst đối mặt với một bức tường alert trông giống hệt nhau. Đội SOC dần hạ độ nhạy, và một cuộc tấn công thành công bị giấu giữa hàng nghìn lần thất bại.
Kẻ tấn công biết điều đó. Họ rải lần thử ra nhiều giờ, nhiều ngày, thay đổi request và chờ lần trúng. Một rule cần một đợt hoạt động dồn dập, hay coi mọi phản hồi trông bình thường là vô hại, sẽ bỏ lỡ đúng kiểu tấn công chậm và kiên nhẫn nguy hiểm nhất. Ngược lại, một phản hồi trông bình thường cũng chưa phải bằng chứng bị xâm nhập: kết luận thành công quá dễ dàng gây lãng phí không kém việc bỏ sót.
Breach Proof mang lại gì
Kết luận rõ cho từng phát hiện
Mỗi phát hiện ghi rõ bằng chứng cho thấy một lần thử, khả năng đã thành công hay đã chứng minh thành công, và không bao giờ khẳng định quá mức bằng chứng cho phép.
Xác nhận trên log gốc
Trước khi báo một lần thành công, ApexAI kiểm tra những gì xảy ra tiếp theo trong log của bạn ở chế độ chỉ đọc, và hiển thị câu truy vấn đã chạy để đội của bạn tự chạy lại.
Bắt được kẻ tấn công kiên nhẫn
Hoạt động được theo dõi theo từng client trong một khoảng thời gian dài, nên những đợt tấn công rải mỏng được nối thành một câu chuyện.
Chỉ đúng tác nhân thật
Khi traffic đi qua proxy hay WAF, phát hiện nói rõ có xác định được client thật hay không, thay vì đổ lỗi cho proxy.
Scanner được phép đúng chỗ của nó
Scanner được phép chỉ giải thích được lần thử. Nếu có lần thành công từ cùng nguồn, nó vẫn được nêu ra.
Rule tốt hơn cho SIEM
Ở chỗ rule hiện tại bỏ sót, Breach Proof soạn đề xuất cải thiện để người xem xét. Không có gì tự ghi vào SIEM của bạn.
Các nhóm tấn công được bao phủ
Breach Proof tìm kết quả chứ không chỉ payload, trên những kiểu tấn công thường dẫn tới việc ứng dụng web bị chiếm quyền thật sự:
- Webshell và thực thi lệnh qua web server
- Đọc file cấu hình, secret và các file nhạy cảm khác trên máy chủ
- SQL injection đã trả về dữ liệu hoặc làm thay đổi hành vi
- Path traversal và truy cập file ngoài phạm vi ứng dụng
- Dùng web server làm đường hầm vào mạng nội bộ
- Lạm dụng chức năng nghiệp vụ và API quản trị bị gọi từ Internet
- Tiến trình web server khởi chạy những chương trình lẽ ra không bao giờ chạy
Một phát hiện đến với đội của bạn ra sao
01
Quan sát
Log truy cập web và hoạt động tiến trình máy chủ từ SIEM được đọc ở chế độ chỉ đọc.
02
Phân tách
Mỗi cuộc tấn công được xếp là lần thử, khả năng đã thành công, hoặc đã chứng minh thành công.
03
Xác nhận
Các trường hợp khả năng và đã chứng minh thành công được đối chiếu v ới log gốc, câu truy vấn chính xác được lưu lại.
04
Nối chuỗi
Phát hiện được gắn với thực thể host, ứng dụng và client, để trở thành một phần của một câu chuyện sự cố.
05
Quyết định
Đội của bạn thấy bằng chứng, kết luận và bước tiếp theo được đề xuất, rồi quyết định làm gì.
Câu hỏi thường gặp
Tấn công web thành công khác lần thử ở điểm nào?
Lần thử là một request độc hại. Thành công là khi có bằng chứng request đó đạt được điều gì: một lệnh đã chạy, một file đã bị đọc, dữ liệu đã trả về, hay máy chủ đã làm điều không nên làm. Breach Proof báo bằng chứng cho thấy trường hợp nào.
Tôi có cần WAF hay agent mới không?
Không. Breach Proof làm việc với log web và log máy chủ mà SIEM của bạn đã thu thập. Log tốt hơn cho câu trả lời tốt hơn, ví dụ khi địa chỉ client thật được giữ lại phía sau proxy.
Nó có làm ngập alert từ scanner không?
Không. Mục tiêu là nêu ra số ít cuộc tấn công đã thành công, không phải số đông đã thất bại. Scanner được phép giải thích các lần thử, và lần thử đơn thuần không bị nâng mức.
Breach Proof có sửa rule SIEM của chúng tôi không?
Không. Nó có thể soạn đề xuất cải thiện rule ở chỗ phát hiện ra lỗ hổng, nhưng đó là đề xuất cho đội của bạn. Không có gì được ghi vào SIEM.
Xem ApexAI chạy trên chính cảnh báo của bạn.
Một buổi trình diễn với đội của bạn, bắt đầu ở chế độ quan sát: ApexAI chấm điểm và đề xuất, không tự hành động.