Pokrycie może obejmować płaszczyzny sterowania, tożsamości, obciążenia, kontenery, orkiestrację, sieci, pamięć, dostęp do danych i aplikacje software-as-a-service, ale implementacje bardzo się różnią.
CDR koreluje administracyjne wywołania API, zdarzenia uwierzytelniania, zmiany konfiguracji, aktywność w czasie wykonania, obserwacje sieciowe i alerty dostawców. Analitycy używają relacji zasobów chmurowych i kontekstu tożsamości do rekonstrukcji zdarzeń i wyboru reakcji, takich jak unieważnienie sesji, wyłączenie klucza, ograniczenie obciążenia, zachowanie dowodów lub odbudowa zasobu.
Najważniejsze punkty
Pokrycie detekcjiMapuj chmurowe techniki ataków na dostępne zdarzenia, zasoby, tożsamości, konta i usługi. Waliduj, że logowanie jest włączone, terminowe, poprawnie parsowane, zachowywane i chronione.
DochodzenieZachowuj dowody dostawcy i obciążeń, koreluj tożsamości z efemerycznymi zasobami, odróżniaj automatyzację od nadużycia i ustalaj dotknięte dane i zależności.
Kontrolowana reakcjaWstępnie autoryzuj działania niskiego ryzyka tam, gdzie właściwe, wymagaj zatwierdzenia dla zmian zakłócających, używaj tożsamości reakcyjnych o minimalnych uprawnieniach i testuj ograniczanie, wycofanie, odtwarzanie i eskalację do dostawcy.
Istotne ograniczenieCDR nie ma ustandaryzowanego minimalnego pokrycia i nie może wykrywać tego, czego usługi, tożsamości, obciążenia lub zdarzenia nie eksponują. Brakujące logi, krótko żyjące zasoby, szyfrowana aktywność, awarie, słabe detekcje i niebezpieczna automatyzacja mogą powodować przeoczenia lub szkodę; alert to dowód, a nie dowód kompromitacji.