10년 이상 보안 네트워크 설계, 보안 제어 테스트 및 복잡한 침해 조사의 조합에 중점을 두었습니다. 이러한 각 역할에서 저는 보안 사고를 더 잘 예방, 탐지 및 해결하는 데 필요한 모든 엔드포인트의 가시성과 제어를 제공하는 도구를 찾는 데 어려움을 겪었습니다. 그래서 이전 클라이언트가 Tanium을 소개했을 때 저는 흥분 했고 처음에는 회의적이었습니다. 데모를 본 후 플랫폼과 잠재적인 새로운 애플리케이션의 성능을 빠르게 깨달았습니다. 이는 기존 솔루션에서는 불가능했습니다. Tanium에서 최고 보안 책임자가 된 이후로 Tanium이 고객에게 제공하는 획기적인 기능을 가까이에서 확인했으며, 최신 기술 확장을 공유하게 되어 기쁩니다.
Tanium Trace(Trace)는 Tanium 플랫폼의 속도와 규모를 훨씬 더 높여주는 최신 모듈입니다. 또한 단일 엔드포인트에 대한 즉각적이고 심층적인 포렌식 조사를 수행할 뿐만 아니라 이전에 며칠 또는 몇 주가 소요된 15-seconds — what 건의 수백만 개의 엔드포인트에서 캡처된 아티팩트를 기반으로 정확한 전사적 검색을 수행할 수 있는 민첩성을 제공합니다. 이러한 수준의 속도와 가시성을 달성할 수 없는 오래된 기술에 계속 의존하는 조직은 공격자보다 훨씬 뒤쳐지고 최신 헤드라인이 될 위험이 더 커질 것입니다.
이것이 어떻게 가능합니까? 추적은 짧은 네트워크 연결 세부 정보, 실행된 프로세스에 대한 해시, 파일 및 레지스트리 키의 생성, 삭제 또는 변경과 같은 일반적인 로깅 메커니즘에 의해 유지되지 않는 시스템 아티팩트를 포함하여 엔드포인트 활동을 지속적으로 기록합니다. 또한 Trace는 신뢰할 수 있는 커널 레벨 모니터링을 수행하며 공격자가 활동을 숨기기 위해 사용하는 루트킷 또는 기타 지능형 대포렌식 기법을 탐지할 수 있습니다. 이 정보를 통해 보안 팀은 일반적인 상황에서는 존재하지 않는 악성 활동에 대한 전체 스토리에 직접 액세스할 수 있습니다.
Tanium Trace가 조직에 제공하는 이점
대규모 침해에 대응한 과거의 경험을 고려할 때, 침해 사고 대응 팀은 Trace가 세 가지 방식으로 제공하는 기능으로부터 큰 혜택을 보게 되었을 것입니다.
Trace는 악성 활동을 감지할 수 있는 기능을 고객에게 제공합니다.
사고 대응 업무를 이끄는 이전 역할에서 우리는 종종 침해 지표(IOC)라고 하는 새로운 인텔리전스를 지속적으로 받았습니다. 마찬가지로 대부분의 조직은 다양한 소스에서 IOC를 수신하고 다양한 도구를 사용하여 IOC를 검색합니다. 대부분의 경우 IOC는 간단하며(예: MD5, IP, 파일 이름) 검색은 실제로 이러한 정보를 사용할 수 있는 경우 몇 시간 또는 며칠이 걸릴 수 있습니다. Trace는 조직이 모든 엔드포인트에서 기록된 데이터를 몇 초 만에 검색할 수 있도록 하여 이 모델을 변경합니다. 또한 모듈은 Trace에 기록된 표시기의 조합을 지속적으로 모니터링할 수 있습니다. Tanium 플랫폼을 사용하여 Tanium Trace에서 생성된 경고를 사용하여 VirusTotal에 파일 업로드, SIEM에 정보 전달 또는 이후 분석을 위한 Trace 데이터베이스 스냅샷 획득과 같은 특정 이벤트를 자동화할 수 있습니다.
Trace는 조직이 사고를 보다 정확하고 신속하게 조사하는 데 도움이 될 수 있습니다.
조직은 종종 보안 경고에 압도됩니다. 따라서 조직은 상당한 양의 에너지 분석 경고를 소비하거나 잠재적인 침해가 있는 모든 시스템을 단순히 재구축하기로 선택해야 합니다. 둘 다 바람직하지 않은 옵션입니다. 기존 포렌식을 통해 모든 인시던트를 스코핑하면 이미 바쁜 보안 팀에 부담을 줄 수 있으며 Trace에 기록된 동일한 수준의 세부 정보를 캡처할 수 없습니다. 분석 없이 시스템을 재구축하면 일반적으로 초기 경보가 오탐이거나 분석가가 훨씬 더 큰 침해를 탐지하지 못하는 불필요한 비용이 발생합니다. Trace는 분석가에게 많은 포렌식적으로 중요한 이벤트에 대한 액세스를 제공하여 조직이 모든 침해 사고를 신속하고 완벽하게 조사할 수 있도록 합니다.
또한 Trace는 조직이 사고를 보다 정밀하고 효율적으로 복구할 수 있도록 지원합니다.
사고의 범위가 적절히 조정된 후 분석가는 핵심 Tanium 플랫폼을 활용하여 영향을 받는 시스템을 정리하고 공격자 활동의 아티팩트를 제거하는 복구 작업을 시작할 수 있습니다. 이렇게 하면 조사 및 복구 프로세스가 통합되어 최종 사용자에게 미치는 영향과 인시던트를 해결하는 데 필요한 시간이 제한됩니다.
Trace는 수십만 개의 시스템에 대한 즉각적인 가시성을 대규모로 확보할 수 있는 기능을 포함하여 나머지 Tanium 플랫폼과 동일한 핵심 원칙을 준수합니다. 따라서 엔드포인트 수와 관계없이 추가 하드웨어 또는 스토리지를 배포할 필요가 없습니다. 마찬가지로 Trace 사용자는 Tanium 플랫폼의 모든 기능을 사용하여 모듈이 기록한 데이터에 몇 초 만에 액세스하고 검색할 수 있습니다.
포함된 정보를 신속하고 규모에 맞게 검색할 수 있는 기능과 기능으로 유지 관리되는 이러한 세부 데이터에 액세스할 수 있게 되면 저 와 제가 이끄는 팀은 수천 시간의 조사 시간을 절약할 수 있었습니다. 앞으로 몇 주 동안 고객이 흥미롭고 새로운 방식으로 Trace를 계속 배포하고 사용함에 따라 이 모듈에 대한 더 많은 업데이트를 제공할 것입니다.
Trace에 대해 자세히 알아보거나 Tanium Endpoint Platform 데모를 보려면 여기를 클릭하십시오.
David Damato, 최고 보안 책임자
Tanium이 작동하는 것을 보고 싶으십니까? 일대일 데모를 예약 하거나 주간 웨비나에 참석하십시오. 예정된 이벤트에서 Tanium 전문가와 상의하십시오.
