Microsoft Cyberbeveiligingsverdedigingscentrum

Het Microsoft Cyber Defense Operations Center

Innovatie in de aanvalsruimte tussen personen, locaties en processen is een noodzakelijke en continue investering die we allemaal moeten doen, omdat tegenstanders zich blijven ontwikkelen in zowel doorzettingsvermogen als verfijning. In reactie op de toename van investeringen in defensiestrategieën door veel organisaties, passen aanvallers de tactieken razendsnel aan en verbeteren ze deze. Gelukkig zijn cyberdefenders, zoals de globale informatiebeveiligingsteams van Microsoft, ook bezig met het vernieuwen en verstoren van lang betrouwbare aanvalsmethoden met doorlopende, geavanceerde training en moderne beveiligingstechnologieën, -hulpprogramma's en -processen.

Het Microsoft Cyber Defense Operations Center (CDOC) is een voorbeeld van de meer dan $ 1 miljard die we elk jaar investeren in beveiliging, gegevensbescherming en risicobeheer. Het CDOC brengt specialisten op het gebied van cyberbeveiliging en gegevenswetenschappers samen in een 24x7-faciliteit om bedreigingen in realtime te bestrijden. We zijn verbonden met meer dan 3.500 beveiligingsmedewerkers wereldwijd in onze productontwikkelingsteams, informatiebeveiligingsgroepen en juridische teams om onze cloudinfrastructuur en -services, producten en apparaten en interne resources te beschermen.

Microsoft heeft meer dan $ 15 miljard geïnvesteerd in onze cloudinfrastructuur, met meer dan 90 procent van de Fortune 500-bedrijven die de Microsoft-cloud gebruiken. Vandaag de dag zijn we eigenaar van een van 's werelds grootste cloudvoetafdrukken met meer dan 100 geo-gedistribueerde datacenters, 200 cloudservices, miljoenen apparaten en een miljard klanten over de hele wereld.

Cyberbeveiligingsbedreigingen en -motivaties

• Cybercriminelen bespannen verschillende subcategorieën, hoewel ze vaak gemeenschappelijke motivaties delen: financieel, intelligentie en/of sociaal of politiek gewin. Hun aanpak is meestal direct: door te infiltreren in een financiële-gegevenssysteem, door microbedragen te klein te maken om te detecteren en te verlaten voordat ze worden ontdekt. Het behouden van een permanente, geheime aanwezigheid is essentieel om hun doel te bereiken.
  
  Hun benadering kan een indringing zijn die een grote financiële uitbetaling door een labyrint van accounts leidt om het bijhouden en ingrijpen te voorkomen. Soms is het doel om intellectueel eigendom te stelen dat het doel bezit, zodat de cybercrimineel fungeert als een tussenpersoon voor het leveren van een productontwerp, softwarebroncode of andere bedrijfseigen informatie die waarde heeft voor een specifieke entiteit. Meer dan de helft van deze activiteiten wordt gepleegd door georganiseerde criminele groepen.
  
  
• Nationale overheidsactoren werken voor een overheid om gerichte overheden, organisaties of personen te verstoren of te compromitteerden om toegang te krijgen tot waardevolle gegevens of intelligentie. Ze zijn bezig met internationale zaken om een resultaat te beïnvloeden en te beïnvloeden dat een land of landen ten goede kan komen. Het doel van een nationale actor is het verstoren van activiteiten, het uitvoeren van spionage tegen bedrijven, het stelen van geheimen van andere overheden of het anderszins ondermijnen van het vertrouwen in instellingen. Ze werken met grote resources tot hun beschikking en zonder bang te zijn voor juridische retributie, met een toolkit die van eenvoudig tot zeer complex is.
  
  Nationale actors kunnen een aantal van de meest geavanceerde cyberhacking-talenten trekken en hun hulpmiddelen mogelijk verder ontwikkelen tot het punt van wapening. Hun indringingsaanpak bestaat vaak uit een geavanceerde permanente bedreiging met supercomputing-macht om referenties door middel van miljoenen pogingen tot het juiste wachtwoord te breken. Ze kunnen ook hypergetargete phishingaanvallen gebruiken om een insider aan te trekken om hun referenties te onthullen.
  
  
• Insider-bedreigingen zijn vooral lastig vanwege de onvoorspelbaarheid van menselijk gedrag. De motivatie voor een insider, misschien wel opportunistisch en voor financieel gewin. Er zijn echter meerdere oorzaken voor potentiële insiderbedreigingen, variërend van eenvoudige onzorgvuldigheid tot geavanceerde schema's. Veel gegevensinbreuken die het gevolg zijn van insiderbedreigingen, zijn geheel onbedoeld te wijten aan onbedoelde of nalatige activiteiten die een organisatie in gevaar brengen zonder zich bewust te zijn van de kwetsbaarheid.
  
  
• Hacktivisten richten zich op politieke en/of sociaal gemotiveerde aanvallen. Ze streven ernaar om zichtbaar en herkend te zijn in het nieuws om de aandacht te vestigen op zichzelf en hun oorzaak. Hun tactiek omvat DDoS-aanvallen (distributed denial-of-service), misbruik van kwetsbaarheid of het ontzeggen van een online aanwezigheid. Een verbinding met een sociaal of politiek probleem kan een bedrijf of organisatie tot een doel maken. Met sociale media kunnen hacktivisten hun zaak snel evangeliseren en anderen aanwerven om deel te nemen.

Technieken voor bedreigingsacteurs

Tegenstanders zijn vaardig in het vinden van manieren om het netwerk van een organisatie te penetreren, ondanks de beveiligingen die zijn toegepast met behulp van diverse geavanceerde technieken. Er zijn verschillende tactieken gebruikt sinds de begindagen van internet, maar andere zijn een weerspiegeling van de creativiteit en de toenemende verfijning van de huidige tegenstanders.

• Social engineering is een algemene term voor een aanval die gebruikers in de weg staat bij het handelen of onthullen van informatie die ze anders niet zouden doen. Social engineering speelt in op de goede bedoelingen van de meeste mensen en hun bereidheid om nuttig te zijn, om problemen te voorkomen, vertrouwde bronnen te vertrouwen of om mogelijk een beloning te krijgen. Andere aanvalsvectoren kunnen onder de paraplu van social engineering vallen, maar de volgende kenmerken zijn enkele kenmerken die de social engineering-tactiek gemakkelijker te herkennen en te beschermen maken:
• Phishing-e-mailberichten zijn een effectief hulpmiddel omdat ze worden gebruikt tegen de zwakste schakel in de beveiligingsketen: dagelijkse gebruikers die netwerkbeveiliging niet als top-of-mind zien. Een phishingcampagne kan een gebruiker uitnodigen of bang maken om per ongeluk zijn of haar referenties te delen door op een koppeling te klikken die volgens hen een legitieme site is of een bestand met schadelijke code te downloaden. Phishing-e-mailberichten waren vroeger slecht geschreven en gemakkelijk te herkennen. Tegenwoordig zijn tegenstanders zeer goed in het nabootsen van legitieme e-mailberichten en landingssites die moeilijk te identificeren zijn als frauduleus.
• Identiteitsvervalsing houdt een wederpartij in die zich voordeed als een andere legitieme gebruiker door de informatie die wordt gepresenteerd aan een toepassing of netwerkresource te vervalsen. Een voorbeeld is een e-mailbericht dat lijkt te zijn verzonden met het adres van een collega die actie aanvraagt, maar het adres verbergt de werkelijke bron van de afzender van de e-mail. Op dezelfde manier kan een URL worden vervalst om te worden weergegeven als een legitieme site, maar het werkelijke IP-adres wijst in feite naar de site van een cybercrimineel.
  
  
• Malware is al bij ons sinds het begin van de computerverwerking. Vandaag zien we een sterke up-tick in ransomware en kwaadaardige code die specifiek is bedoeld om apparaten en gegevens te versleutelen. Cybercriminelen eisen vervolgens betaling in cryptogeld voor de sleutels om de besturing te ontgrendelen en terug te geven aan het slachtoffer. Dit kan op individueel niveau gebeuren met uw computer en gegevensbestanden, of nu vaker, voor een hele onderneming. Het gebruik van ransomware is met name uitgesproken in de gezondheidszorg, omdat de gevolgen voor het leven of de dood van deze organisaties ze zeer gevoelig maken voor netwerkonderbreking.
  
  
• Supply chain insertion is een voorbeeld van een creatieve manier om malware in een netwerk te injecteren. Door bijvoorbeeld een toepassingsupdateproces te kapen, worden anti-malwareprogramma's en -beveiligingen door een tegenstrever omzeild. We zien dat deze techniek steeds vaker wordt gebruikt en deze bedreiging blijft toenemen totdat meer uitgebreide beveiligingsbeveiligingen door toepassingsontwikkelaars worden samengevoegd tot software.
  
  
• Bij man-in-the-middle-aanvallenmoet een tegenstrever zich tussen een gebruiker en een resource invoegen die ze openen, waardoor kritieke informatie, zoals de aanmeldingsreferenties van een gebruiker, wordt onderschept. Een cybercrimineel in een coffeeshop kan bijvoorbeeld software voor sleutelregistratie gebruiken om de domeinreferenties van een gebruiker vast te leggen wanneer ze deelnemen aan het wifi-netwerk. De bedreigingsacacteur kan vervolgens toegang krijgen tot de gevoelige informatie van de gebruiker, zoals bankieren en persoonlijke gegevens die ze op het donkere web kunnen gebruiken of verkopen.
  
  
• DDoS-aanvallen (Distributed Denial of Service)zijn al meer dan tien jaar geleden uitgevoerd en er worden steeds vaker grootschalige aanvallen uitgevoerd met de snelle groei van internet of things (IoT). Wanneer u deze techniek gebruikt, overweldigt een tegenstrever een site door deze te overweldigen met kwaadwillend verkeer dat legitieme query's verplaatst. Eerder geïnstalleerde malware wordt vaak gebruikt om een IoT-apparaat te kapen, zoals een webcam of slimme thermostaat. Bij een DDoS-aanval wordt het binnenkomende verkeer uit verschillende bronnen overstroomd door een netwerk met talloze aanvragen. Hierdoor worden servers overweldigd en wordt de toegang van legitieme aanvragen ontweken. Veel aanvallen omvatten ook het vervalsen van IP-afzenderadressen (IP-adres spoofing), zodat de locatie van de aanvallende machines niet gemakkelijk kan worden geïdentificeerd en verslagen.
  
  Vaak wordt een denial of service-aanval gebruikt om een misleidende poging om een organisatie binnen te dringen, te bedekken of af te leiden. In de meeste gevallen is het doel van de tegenpartij om toegang te krijgen tot een netwerk met behulp van gecompromitteerde referenties en vervolgens lateraal over het netwerk te gaan om toegang te krijgen tot meer 'krachtige' referenties die de sleutel zijn tot de meest gevoelige en waardevolle informatie binnen de organisatie.
  
  

De militarisatie van cyberspace

De groeiende mogelijkheid van cyberaanvallen is vandaag een van de belangrijkste zorgen van overheden en burgers. Het gaat om landen die computers en netwerken gebruiken en richten in oorlogvoering.

Zowel aanvallende als defensieve bewerkingen worden gebruikt om cyberaanvallen, spionage en saboteren uit te voeren. Nationale staten hebben hun mogelijkheden ontwikkeld en zich jarenlang bezig houden met cyberaanvallen als agressors, verweerders of beide.

Nieuwe bedreigingshulpmiddelen en -tactieken die zijn ontwikkeld door geavanceerde militaire investeringen, kunnen ook worden geschonden en cyberthreats kunnen online worden gedeeld en door cybercriminelen worden gebruikt voor verder gebruik.

De cyberbeveiligingshouding van Microsoft

Hoewel beveiliging altijd een prioriteit is geweest voor Microsoft, erkennen we dat de digitale wereld continue vooruitgang vereist in onze betrokkenheid bij het beschermen, detecteren en beantwoorden van cyberbeveiligingsdreigingen. Deze drie toezeggingen definiëren onze benadering van cyberdefensie en dienen als een nuttig kader voor onze discussie over de cyberdefensiestrategieën en -mogelijkheden van Microsoft.

BEVEILIGEN

Beveiligen

De eerste toezegging van Microsoft is om de computeromgeving te beschermen die door onze klanten en werknemers wordt gebruikt om de tolerantie van onze cloudinfrastructuur en -services, producten, apparaten en de interne bedrijfsresources van het bedrijf te beschermen tegen bepaalde problemen.

De beveiligingsmaatregelen van de CDOC-teams zijn van toepassing op alle eindpunten, van sensoren en datacenters tot identiteiten en SaaS-toepassingen (software-as-a-service). Defense-indepth, het toepassen van besturingselementen op meerdere lagen met overlappende beveiligingen en risicobeperkingsstrategieën, is een goede gewoonte in de hele branche en het is de manier om onze waardevolle klant- en bedrijfsactiva te beschermen.

De beveiligingstactieken van Microsoft zijn:

• Uitgebreide controle en controles over de fysieke omgeving van onze globale datacenters, waaronder camera's, personeelsscreening, hekken en drempels en meerdere identificatiemethoden voor fysieke toegang.
  
  
• Door software gedefinieerde netwerken die onze cloudinfrastructuur beschermen tegen inbraken en DDoS-aanvallen.
  
  
• Meervoudige verificatie wordt gebruikt in onze infrastructuur om identiteits- en toegangsbeheer te beheren. Het zorgt ervoor dat kritieke resources en gegevens door ten minste twee van de volgende gegevens worden beveiligd:
• Iets wat u weet (wachtwoord of pincode)
• Iets wat u bent (biometrie)
• Iets wat u hebt (smartphone)
• Non-persistent administration employs just-in-time (JIT) and just-enough administrator (JEA) privileges to engineering staff who manage infrastructure and services. Dit biedt een unieke set referenties voor verhoogde toegang die automatisch verloopt na een vooraf aangewezen duur.
  
  
• De juiste hygiëne wordt strikt gehandhaafd door middel van up-to-date, anti-malwaresoftware en strikte patching- en configuratiebeheer.
  
  
• Microsoft Centrum voor beveiliging tegen schadelijke software team van onderzoekers identificeert, reverse-engineert en ontwikkelt malwarehandtekeningen en implementeert ze vervolgens in onze infrastructuur voor geavanceerde detectie en verdediging. Deze handtekeningen worden gedistribueerd naar onze responders, klanten en de industrie via Windows Updates en meldingen om hun apparaten te beveiligen.
  
  
• Microsoft Security Development Lifecycle (SDL) is een softwareontwikkelingsproces waarmee ontwikkelaars veiligere software kunnen maken en voldoen aan de vereisten voor beveiligings compliance en de ontwikkelingskosten verlagen. De SDL wordt gebruikt om alle toepassingen, onlineservices en producten te harden en om de effectiviteit ervan routinematig te valideren door middel van penetratietests en kwetsbaarheidsscans.
  
  
• Bedreigingsmodelleren en aanvalsoppervlakanalyse zorgt ervoor dat potentiële bedreigingen worden beoordeeld, dat blootgestelde aspecten van de service worden geëvalueerd en dat het aanvalsoppervlak wordt geminimaliseerd door services te beperken of overbodige functies te elimineren.
  
  
• Het classificeren van gegevens op basis van de vertrouwelijkheid en het nemen van de juiste maatregelen om deze te beschermen, met inbegrip van versleuteling tijdens transit en in rust, en het afdwingen van het principe van toegang tot de minste bevoegdheden biedt extra bescherming. • Bewustmakingstraining die een vertrouwensrelatie tussen de gebruiker en het beveiligingsteam bevordert om een omgeving te ontwikkelen waarin gebruikers incidenten en afwijkingen rapporteren zonder bang te zijn voor repercussies.
  
  

Als u een uitgebreide set besturingselementen en een uitgebreide defensiestrategie hebt, kunt u ervoor zorgen dat als een gebied mislukt, er compenserende besturingselementen zijn op andere gebieden om de beveiliging en privacy van onze klanten, cloudservices en onze eigen infrastructuur te behouden. Er is echter geen omgeving die echt ondoordringbaar is, omdat mensen fouten maken en bepaalde tegenstanders blijven zoeken naar beveiligingslekken en ze zullen blijven misbruiken. Met de aanzienlijke investeringen die we blijven doen in deze beveiligingslagen en basislijnanalyse kunnen we snel detecteren wanneer er abnormale activiteit aanwezig is.

DETECTEREN

Detecteren

De CDOC-teams maken gebruik van geautomatiseerde software, machine learning, gedragsanalyse en gerechtelijke technieken om een intelligente beveiligingsgrafiek van onze omgeving te maken. Dit signaal is uitgebreid met contextuele metagegevens en gedragsmodellen die worden gegenereerd uit bronnen zoals Active Directory, activa- en configuratiebeheersystemen en gebeurtenislogboeken.

Onze uitgebreide investeringen in beveiligingsanalyse maken uitgebreide gedragsprofielen en voorspellende modellen waarmee we 'de puntjes verbinden' en geavanceerde bedreigingen identificeren die anders mogelijk niet zijn gedetecteerd, en vervolgens kunnen worden tegengegaan met sterke insluitings- en gecoördineerde herstelactiviteiten.

Microsoft gebruikt ook aangepaste beveiligingssoftware, samen met toonaangevende hulpmiddelen en machine learning. Onze bedreigingsinformatie ontwikkelt zich voortdurend, met geautomatiseerde gegevensverrijking om schadelijke activiteiten sneller te detecteren en met hoge kwaliteit te rapporteren. Beveiligingsscans worden regelmatig uitgevoerd om de effectiviteit van beschermende maatregelen te testen en te verfijnen. De breedte van de investering van Microsoft in het beveiligingsecosysteem en de verscheidenheid aan signalen die door de CDOC-teams worden gecontroleerd, bieden een uitgebreidere bedreigingsweergave dan door de meeste serviceproviders kan worden bereikt.

De detectietactieken van Microsoft zijn:

• Netwerk- en fysieke omgevingen 24x7x365 controleren op mogelijke cyberbeveiligingsgebeurtenissen. Gedragsprofilering is gebaseerd op gebruikspatronen en een begrip van unieke bedreigingen voor onze services.
  
  
• Identiteits- en gedragsanalyse zijn ontwikkeld om abnormale activiteiten te markeren.
  
  
• Machine learning-softwarehulpmiddelen en -technieken worden regelmatig gebruikt om onregelmatigheden te ontdekken en te markeren.
  
  
• Geavanceerde analytische hulpmiddelen en processen worden geïmplementeerd om afwijkende activiteiten en innovatieve correlatiemogelijkheden verder te identificeren. Hierdoor kunnen zeercontextuele detecties worden gemaakt op de enorme hoeveelheden gegevens in bijna realtime.
  
  
• Geautomatiseerde op software gebaseerde processen die continu worden gecontroleerd en ontwikkeld om de effectiviteit te vergroten.
  
  
• Gegevenswetenschappers en beveiligingsexperts werken regelmatig naast elkaar om escalerende gebeurtenissen aan te pakken die ongebruikelijke kenmerken vertonen die een verdere analyse van doelen vereisen. Vervolgens kunnen ze de mogelijke reactie- en herstelinspanningen bepalen.
  
  

REAGEREN

Reageren

Wanneer Microsoft abnormale activiteiten in onze systemen detecteert, worden onze antwoordteams met kracht aan de praat gekregen en snel gereageerd. Meldingen van op software gebaseerde detectiesystemen lopen door onze geautomatiseerde antwoordsystemen met behulp van op risico gebaseerde algoritmen om gebeurtenissen te markeren waarvoor tussenkomst van ons antwoordteam vereist is. Mean-Time-to-Mitigate is van het grootste belang en ons automatiseringssysteem biedt responders relevante, actiebare informatie die triage, mitigatie en herstel versnelt.

Als u beveiligingsincidenten op zo'n grote schaal wilt beheren, implementeren we een gelaagd systeem om antwoordtaken efficiënt toe te wijzen aan de juiste resource en een rational escalatiepad te vergemakkelijken.

De reactietactieken van Microsoft zijn:

• Geautomatiseerde antwoordsystemen gebruiken op risico gebaseerde algoritmen om gebeurtenissen te markeren die menselijke tussenkomst vereisen.
  
  
• Geautomatiseerde antwoordsystemen gebruiken op risico gebaseerde algoritmen om gebeurtenissen te markeren die menselijke tussenkomst vereisen.
  
  
• Goed gedefinieerde, gedocumenteerde en schaalbare incidentresponsprocessen binnen een doorlopend verbeteringsmodel helpen ons voor te blijven door deze beschikbaar te maken voor alle responders.
  
  
• Onderwerpexpertise in onze teams, in meerdere beveiligingsgebieden, biedt een diverse vaardigheden voor het oplossen van incidenten. Beveiligingsexpertise op het gebied van incidentrespons, onderzoek en inbraakanalyse; en een goed begrip van de platforms, services en toepassingen die actief zijn in onze cloud-datacenters.
  
  
• Breed zoeken in de cloud, hybride en on-premises gegevens en systemen om het bereik van een incident te bepalen.
  
  
• Uitgebreide analyse van ernstige bedreigingen wordt uitgevoerd door specialisten om inzicht te krijgen in incidenten en om hulp te bieden bij het in- en uitbanningsapparaat. • Met de hulpprogramma's voor beveiligingssoftware, automatisering en grootschalige cloudinfrastructuur van Microsoft kunnen onze beveiligingsexperts de tijd beperken om cyberaanvallen op te sporen, te onderzoeken, te analyseren, te beantwoorden en te herstellen.
  
  
• Penetratietests worden gebruikt voor alle Microsoft-producten en -services via lopende rode team-/blauwe teamoefeningen om beveiligingsproblemen op te helderen voordat een echte tegenstrever deze zwakke punten kan gebruiken voor een aanval.
  
  

Cyberdefense voor onze klanten

We worden vaak gevraagd welke hulpprogramma's en processen onze klanten kunnen gebruiken voor hun eigen omgeving en hoe Microsoft kan helpen bij de implementatie. Microsoft heeft veel van de cyberdefense-producten en -services die we in het CDOC gebruiken samengevoegd tot een reeks producten en services. De Microsoft Enterprise Cyberbeveiligingsgroep en Microsoft Consulting Services-teams werken samen met onze klanten om de oplossingen te leveren die het meest geschikt zijn voor hun specifieke behoeften en vereisten.

Een van de eerste stappen die Microsoft ten zeerste aanbeveelt, is het opzetten van een beveiligings foundation. Onze basisservices bieden essentiële verdedigingsdiensten voor aanvallen en basisidentiteitsservices die u helpen om ervoor te zorgen dat activa worden beveiligd. De basis helpt u om uw digitale transformatie te versnellen om naar een veiliger modern bedrijf te gaan.

Op basis van deze basis kunnen klanten vervolgens gebruikmaken van oplossingen die succesvol zijn met andere Microsoft-klanten en worden geïmplementeerd in de eigen IT- en cloudservices-omgevingen van Microsoft. Voor meer informatie over onze hulpprogramma's voor bedrijfsbeveiliging, mogelijkheden en serviceaanbiedingen, gaat u naar Microsoft.com/security en neem contact op met onze teams op cyberservices@microsoft.com .

Best practices om uw omgeving te beschermen