Mandiant

Mandiant jest platformą wspierającą pracę zespołów SOC, dostarczaną przez amerykańską firmę o tej samej nazwie. Jej zadaniem jest pomoc w weryfikacji skuteczności wdrożonych zabezpieczeń, zapewnienie aktualnych danych na temat cyberataków oraz skuteczna identyfikacja publicznie dostępnych zasobów firmy. W skład platformy wchodzą moduły: Advantage, Attack Surface Management i Security Validation. Wspólnie zwiększają one bezpieczeństwo poprzez wykrywanie zagrożeń w sieci wewnętrznej (Security Validation), jak również z zewnątrz (Attack Surface Management). Obydwa moduły są wspierane przez dane gromadzone dzięki analitykom firmy Mandiant dostępnych w module Advantage.

WIĘCEJ INFORMACJI O PRODUCENCE: https://www.mandiant.com/

Opis technologii

SOAR/SOC

Mandiant Advantage - system klasy Threat Intelligence, do którego trafiają dane o incydentach zbierane przez Mandiant Incident Response Teams. Są to specjaliści wspierający firmy w reakcji na incydenty na całym świecie. Mandiant Advantage umożliwia analitykom zespołów SOC dostęp do kompletnych danych o grupach APT i wykorzystywanych przez nie technikach, przebiegach ataków oraz ich konsekwencjach. System daje możliwość korzystania z interfejsu Web, ułatwia pracę poprzez wtyczkę do przeglądarki i integrację z istniejącym już środowiskiem SIEM/SOAR, EDR itp.

Mandiant Attack Surface Management - system stosowany w celu identyfikacji zasobów sieciowych firmy publicznie dostępnych z internetu. Moduł automatycznie skanuje zasoby Klienta, w celu znalezienia technologii, serwerów oraz szuka potencjalnych wektorów ataku. Wyszukiwanie można rozpocząć na podstawie: adresów IP, domen, certyfikatów, adresów email, kont GitHub oraz bloków sieciowych CIDR. Po zakończeniu skanu Klient dostaje listę znalezionych zasobów wraz z wersjami oraz podatnościami, jakie mogą zawierać. Dzięki temu łatwo można zidentyfikować oprogramowanie, które należy zaktualizować.

Mandiant Security Validation - system klasy Breach and Attack Simulation. Pozwala on w bezpieczny sposób przeprowadzać ataki na izolowane maszyny w sieci Klienta. Moduł umożliwia przez to śledzenie i analizę zachowania systemów zabezpieczeń. Symulacje ataków przeprowadzane są na dedykowanych elementach dostarczonych przez producenta. W celu uzyskania jak najbardziej miarodajnych wyników, ustawienia poszczególnych elementów odzwierciedlają konfigurację na maszynach klienta (wersje oprogramowania, ustawienia systemów operacyjnych i ich wersje). Ataki można symulować na systemach z rodziny Linux, Windows i MacOS. System pozwala zarówno na uruchamianie symulacji cyklicznie o podanych parametrach, jak również na ich manualne rozpoczęcie.

Pomocne pliki