Pełna widoczność sieci: fundament ochrony przed atakującymi, którzy omijają EDR

EDR stał się tak skuteczny w zatrzymywaniu infekcji malware na wczesnym etapie, że cyberprzestępcy coraz częściej sięgają po techniki, które pozwalają działać poza zasięgiem tego typu narzędzi. Jak wskazuje ExtraHop, najczęściej stosowane są trzy następujące podejścia:

1️⃣ Kradzież poświadczeń

Kradzież loginów i haseł to obecnie najpopularniejsza metoda uzyskiwania dostępu do zasobów organizacji. Zgodnie z 2024 Verizon Data Breach Investigations Report, credential theft odegrał rolę w ponad połowie wszystkich analizowanych naruszeń. Gdy atakujący podszywa się pod prawdziwego użytkownika, nie wywołuje podejrzeń w systemach EDR – a to daje mu czas na rozpoznanie środowiska i przygotowanie kolejnych etapów ataku.

2️⃣ Wykorzystywanie luk (exploiting vulnerabilities)

Rosnąca liczba podatności – w tym zero-day, zarówno w oprogramowaniu serwerowym, jak i w samych rozwiązaniach bezpieczeństwa – daje cyberprzestępcom idealną drogę do wejścia w głąb sieci organizacji bez konieczności interakcji z endpointami. Coraz więcej z nich wykorzystuje specjalne narzędzia określane jako EDR killers, które potrafią wyłączyć albo ominąć działanie agentów EDR.

3️⃣ Living off the land – wykorzystywanie wbudowanych narzędzi systemowych

Zamiast dostarczać klasyczne malware, atakujący chętnie korzystają z narzędzi dostępnych już w systemie – takich jak PowerShell, obecny na każdym urządzeniu z Windows. Dzięki temu adwersarze mogą wykonywać polecenia, poruszać się po sieci i wyprowadzać dane bez wywoływania alarmów antywirusowych czy sygnatur malware. Ten sposób działania jest znacznie trudniejszy do wykrycia, bo nie generuje klasycznych artefaktów złośliwego oprogramowania.

EDR pozostaje kluczowym filarem ochrony endpointów i – jak podkreśla ExtraHop – wciąż stanowi niezbędny element każdego dojrzałego ekosystemu bezpieczeństwa. Jednak złożoność współczesnych środowisk IT oraz rosnąca kreatywność cyberprzestępców sprawiają, że rozwiązania tego typu mają naturalne ograniczenia.

Coraz częściej atakujący działają w obszarach, nad którymi agent EDR nie ma pełnej kontroli ani możliwości monitorowania – na urządzeniach infrastrukturalnych (IoT, drukarki czy serwery), w segmentach środowiska pozbawionych agentów, z wykorzystaniem legalnych narzędzi systemowych lub ukrywając swoje działania w zaszyfrowanym, nieinspekcjonowanym ruchu sieciowym.

W rezultacie organizacja otrzymuje niepełny obraz tego, co faktycznie dzieje się w środowisku. Aby uzyskać pełen obraz ataku i zrozumieć całą sekwencję działań napastnika, niezbędne jest drugie, uzupełniające źródło danych.

Network Detection and Response (NDR) zapewnia wgląd, którego EDR nie jest w stanie dostarczyć – obejmuje kompletną analizę ruchu sieciowego zarówno north-south, jak i east-west, niezależnie od tego, czy monitorowane urządzenia posiadają zainstalowanych agentów.

Wynika to z faktu, że to właśnie sieć dostarcza unikalnych danych o zagrożeniach, które trudno pozyskać w inny sposób:

1. Atakujący nie są w stanie ominąć sieci – Każdy krok wykonywany przez napastnika – połączenia z serwerami C2, skanowanie zasobów, ruch przygotowujący exfiltrację – musi przejść przez sieć. Oznacza to, że pakiety pozostawiają trwały, niepodważalny ślad, który umożliwia odtworzenie rzeczywistej aktywności przeciwnika, nawet jeśli korzysta on z technik ukrywania lub narzędzi fileless.
2. Sieć ujawnia aktywność urządzeń, których EDR nie obejmuje – W każdym środowisku istnieją urządzenia pozbawione agentów – kamery, drukarki, IoT, kontrolery domeny, serwery baz danych czy inne zasoby. Każde urządzenie generuje ruch, a więc może zdradzać symptomy ataku. Według badań aż 47% kluczowych urządzeń jest wystawionych na publiczny internet, co czyni je atrakcyjnym celem. Tylko analiza ruchu sieciowego pozwala dostrzec zagrożenia kierowane w stronę takich elementów.
3. Dane z sieci nie są dostępne nigdzie indziej – Firewall monitoruje jedynie ruch north-south, dlatego nie wykryje działań prowadzonych w obrębie sieci wewnętrznej. Tymczasem to właśnie w ruchu east-west napastnicy ukrywają się najdłużej – prowadząc rozpoznanie, wykonując lateral movement i przygotowując najbardziej destrukcyjne etapy ataku, takie jak ransomware. Tylko NDR zapewnia pełny wgląd w te procesy.

ExtraHop podkreśla, że najbardziej efektywną strategią dla zespołów SOC jest zintegrowanie trzech kluczowych warstw – EDR, NDR i SIEM – które wspólnie zapewniają kompletną, wielowymiarową widoczność oraz skuteczną reakcję na zagrożenia. Takie połączenie umożliwia:

• szybsze wykrywanie zagrożeń dzięki korelacji danych z różnych źródeł,
• pełny kontekst incydentów, obejmujący zarówno aktywność endpointów, jak i ruch sieciowy,
• automatyzację działań obronnych, skracającą czas reakcji SOC,
• wyższą jakość alertów, opartych na bogatszym, bardziej wiarygodnym zestawie danych,
• retrospektywną analizę zagrożeń opartą na bogatych metadanych historycznych i pełnym kontekście sieciowym.

To właśnie warstwa sieciowa daje organizacjom kluczową przewagę strategiczną: obrońcy potrzebują tylko jednego skutecznego wykrycia, aby zatrzymać atak, podczas gdy napastnik musi pozostać niewidoczny przez cały czas prowadzenia operacji.

Wdrożenie sieciowej warstwy analitycznej, takiej jak ExtraHop RevealX, to nie tylko reakcja na rosnącą liczbę ataków, ale przede wszystkim strategiczna inwestycja w odporność organizacji. Dzięki możliwościom pełnego wglądu w ruch sieciowy, zaawansowanej analityce i natychmiastowym alertom, NDR pozwala szybciej identyfikować anomalie, skracać czas reakcji i wzmacniać istniejące zabezpieczenia o kluczowe dane, których nie zapewnia żadne inne źródło.

Połączenie EDR, NDR i SIEM umożliwia organizacjom nie tylko szybkie wykrywanie ataków, ale również zrozumienie ich pełnego kontekstu oraz podjęcie właściwych działań we właściwym momencie. Jeśli chcesz dowiedzieć się, jak rozwiązania ExtraHop mogą wzmocnić bezpieczeństwo Twojej infrastruktury i znacząco poprawić możliwości Twojego SOC, zapraszamy do kontaktu. Jako oficjalny dystrybutor ExtraHop chętnie przedstawimy pełne możliwości platformy RevealX i pomożemy dobrać rozwiązanie najlepiej dopasowane do potrzeb Twojej organizacji ➡️ Kontakt

A jeżeli chcesz mieć dostęp do pełnej treści e-booka „The Attacker’s Dilemma” od ExtraHop, skontaktuj się z nami za pośrednictwem wiadomości e-mail ➡️ [email protected]