The Pulse
Tanium rilancia Security Operations puntando sul comportamento degli endpoint
Il 6 ottobre Tanium ha rilanciato la sua piattaforma Security Operations, aggiungendo il rilevamento basato sul comportamento, opzioni di risposta per l’intero parco dispositivi e la ricerca delle minacce guidata dall’IA. L’azienda afferma
AI.info Team · Scritto con l’IA ·
«L’IA ha cambiato l’identità degli aggressori e la velocità con cui si muovono. La prossima violazione non assomiglierà a un malware. Sembrerà opera di uno dei vostri amministratori».
Harman Kaur, responsabile della tecnologia di Tanium
Il 6 ottobre Tanium ha rilanciato la sua piattaforma Security Operations, ripensandola attorno a una minaccia che, secondo l’azienda, le difese tradizionali concentrate sui file possono non rilevare: aggressori che usano credenziali rubate e comuni strumenti di amministrazione. L’approccio dell’azienda si basa sul monitoraggio del comportamento degli endpoint, seguito dall’indagine e dalla risposta tramite la stessa piattaforma. Tanium afferma che il servizio è già disponibile ed è progettato per funzionare insieme agli strumenti SIEM e di rilevamento e risposta sugli endpoint già usati dai clienti.
L’annuncio combina nuove funzionalità di rilevamento con procedure di risposta e ricerca delle minacce. Non fornisce benchmark sulle prestazioni né risultati di test indipendenti: le affermazioni sulla rapidità con cui la piattaforma individua o blocca gli attacchi restano quindi quelle dell’azienda.
Endpoint Drift cerca i dispositivi che si comportano in modo anomalo
La nuova funzionalità Endpoint Drift di Tanium apprende il comportamento abituale di ciascun endpoint e ordina i dispositivi che si discostano da quel modello, indirizzando gli analisti verso quelli che l’azienda considera più sospetti. L’idea è cercare attività diverse dal comportamento abituale di un dispositivo, anziché dipendere soltanto dall’identificazione di file notoriamente dannosi.
Una seconda novità, Insights Engine, sostituisce il sistema di rilevamento dell’iniezione nei processi di Tanium con un motore pensato per individuare gli aggressori che si nascondono all’interno di processi attendibili. Il comunicato non descrive i criteri di rilevamento del motore né fornisce dati sui falsi positivi, sui tassi di rilevamento o sul confronto con prodotti concorrenti. Questi dettagli aiuterebbero i team di sicurezza a valutare le prestazioni della funzionalità in ambienti diversi.
Le azioni di risposta vanno dal singolo processo all’intero parco dispositivi
Quando individuano attività sospette, gli analisti possono, secondo Tanium, arrestare un singolo processo, raccogliere prove forensi o isolare un host. Le azioni possono riguardare un solo endpoint o un intero parco dispositivi: una scelta progettuale pensata per adeguare la risposta alla portata dell’incidente, anziché affidarsi a un unico controllo di quarantena generalizzato.
Il rilancio introduce anche un modello Federated SOC per le organizzazioni con team di sicurezza separati. Secondo Tanium, ogni team può mantenere sulla piattaforma condivisa le proprie regole di soppressione degli avvisi e le proprie reazioni automatiche, così che le impostazioni di un gruppo non si applichino automaticamente agli endpoint di un altro. L’azienda afferma che sono le persone a definire i limiti delle azioni automatiche; il comunicato non specifica come tali limiti vengano configurati o sottoposti a verifica.
Atlas porta le domande in linguaggio naturale nella ricerca delle minacce
Tanium Atlas consente agli analisti di porre domande in linguaggio naturale e interrogare i dati degli endpoint, ottenendo risposte in pochi secondi, secondo l’azienda. Gli analisti possono intervenire dalla stessa interfaccia, mentre strategie di ricerca elaborate dai ricercatori di minacce di Tanium guidano l’indagine. Atlas ordina inoltre gli avvisi per priorità e consiglia agli analisti se ignorarli, sottoporli a un livello superiore, approfondirli o contenere la minaccia.
Le nuove dashboard e i nuovi modelli di Security Operations offrono ai team un punto di partenza per il lavoro. Per le organizzazioni che cercano supporto esterno, Tanium HuntIQ affianca i ricercatori di minacce dell’azienda alla piattaforma per indagare negli ambienti dei clienti, migliorare il rilevamento e assistere nella risposta agli incidenti. Tanium afferma che quanto appreso da queste indagini viene reintegrato nella piattaforma.
Un complemento agli strumenti di sicurezza esistenti, non un sostituto
Tanium presenta il rilancio come un modo per applicare alle operazioni di sicurezza la propria capacità di gestire gli endpoint su vasta scala: la stessa piattaforma usata per conoscere e gestire i dispositivi diventa una fonte di segnali comportamentali e di azioni di risposta. Il comunicato afferma che Security Operations funziona insieme ai prodotti SIEM ed EDR esistenti, senza richiedere ai clienti di sostituirli.
Questo posizionamento rende la qualità e la tempestività dei dati degli endpoint centrali nella proposta. L’annuncio lascia però aperte le questioni relative alle prestazioni delle nuove funzionalità con parchi dispositivi di dimensioni diverse, al loro collegamento con specifici strumenti di terze parti e ai risultati operativi misurati dai clienti. Per ora, la proposta dichiarata di Tanium è un’unica procedura che collega il comportamento degli endpoint, la ricerca delle minacce condotta dagli analisti e azioni che vanno dalla raccolta di prove all’isolamento dell’intero parco dispositivi.