IPSIP tăng cường năng lực MDR trên nền tảng Microsoft Defender cho doanh nghiệp

2 giờ trước

8 phút đọc

Microsoft Defender đang trở thành một thành phần quan trọng trong kiến trúc bảo mật của nhiều doanh nghiệp sử dụng hệ sinh thái Microsoft. Tuy nhiên, triển khai Defender mới chỉ giải quyết một phần thách thức. Giá trị thực tế của nền tảng phụ thuộc vào việc doanh nghiệp có đủ nguồn lực để liên tục giám sát cảnh báo, điều tra sự cố và thực hiện các biện pháp ứng phó khi mối đe dọa xuất hiện hay không.

IPSIP hiện cung cấp dịch vụ giám sát và vận hành bảo mật cho khách hàng sử dụng Microsoft Defender for Endpoint và Microsoft Defender for Servers. Phạm vi dịch vụ vượt ra ngoài hoạt động giám sát, bao gồm ngăn chặn mối đe dọa, điều tra pháp chứng số, Live Response, săn tìm mối đe dọa bằng KQL, tự động hóa và tinh chỉnh.

Đây là cách IPSIP Việt Nam chuyển Microsoft Defender từ một nền tảng phát hiện thành một phần của quy trình phát hiện và ứng phó được quản lý - Managed Detection & Response (MDR), hỗ trợ doanh nghiệp xuyên suốt vòng đời sự cố.

Từ cảnh báo Microsoft Defender đến quy trình MDR hoàn chỉnh

Một thách thức phổ biến của doanh nghiệp là thiếu nhân sự có đủ thời gian và kinh nghiệm để xác định những cảnh báo thực sự cần xử lý, ngay cả khi hệ thống đã tạo ra nhiều cảnh báo.

Trong mô hình MDR, IPSIP Việt Nam đảm nhiệm lớp vận hành phía sau Microsoft Defender: tiếp nhận tín hiệu bảo mật, phân tích bối cảnh, điều tra sự kiện và thực hiện hoặc phối hợp các biện pháp ứng phó trong phạm vi đã thống nhất.

Tài liệu về năng lực MDR của IPSIP xác nhận phạm vi giám sát xuyên suốt trên Defender for Endpoint và Defender for Servers, bao gồm chủ động ngăn chặn mối đe dọa, săn tìm bằng KQL, Live Response và xử lý khắc phục trên môi trường tenant.

Doanh nghiệp muốn hiểu sự khác biệt giữa việc sở hữu công cụ và sử dụng một đội ngũ vận hành có thể tìm hiểu về dịch vụ MDR và cách mô hình này hoạt động. Danh mục liên kết nội bộ của IPSIP cũng có hướng dẫn riêng về sự khác biệt giữa SOC và MDR.

IPSIP Việt Nam có thể chủ động cô lập thiết bị đầu cuối khi phát hiện mối đe dọa

Khi một thiết bị đầu cuối có dấu hiệu bị xâm nhập, tốc độ ngăn chặn đóng vai trò then chốt trong việc hạn chế khả năng kẻ tấn công tiếp tục sử dụng thiết bị làm bàn đạp.

Một trong những năng lực ứng phó của IPSIP trên Microsoft Defender là cô lập thiết bị đầu cuối bị xâm nhập khỏi mạng.

Microsoft Defender for Endpoint hỗ trợ thao tác cô lập thiết bị, đồng thời duy trì kết nối cần thiết với dịch vụ Defender để chuyên viên phân tích có thể tiếp tục điều tra và ứng phó. Nền tảng cũng hỗ trợ các thao tác khác như thu thập gói dữ liệu điều tra và khởi tạo phiên Live Response.

Trong vận hành MDR, việc công cụ có nút cô lập chưa đủ. Chuyên viên phân tích cần xác định khi nào việc cô lập là phù hợp, đánh giá tác động tiềm tàng đến hoạt động kinh doanh và hành động theo quy trình ứng phó đã được khách hàng phê duyệt.

Đây cũng là lý do doanh nghiệp cần xây dựng quy trình ứng phó trước khi sự cố xảy ra. Trong kho nội dung hiện có, IPSIP cung cấp các tài liệu riêng về dịch vụ ứng cứu sự cố an toàn thông tin và cẩm nang điều tra sự cố SOC.

Dịch vụ ứng cứu sự cố an toàn thông tin: Giảm thiểu thiệt hại doanh nghiệp

Bên cạnh bảo vệ thiết bị đầu cuối, IPSIP Việt Nam hỗ trợ ứng phó với sự cố danh tính

Một sự cố hiện đại có thể vượt ra ngoài phạm vi thiết bị.

Nếu kẻ tấn công đã chiếm quyền kiểm soát tài khoản người dùng, việc khắc phục thiết bị đầu cuối nhưng vẫn giữ nguyên thông tin xác thực đã bị lộ có thể để lại một đường xâm nhập khác vào hệ thống.

Vì vậy, phạm vi MDR trên Microsoft Defender của IPSIP có thể bao gồm vô hiệu hóa hoặc tạm khóa các tài khoản Microsoft Entra ID hoặc Active Directory bị xâm nhập, tùy theo quyền hạn và quy trình ứng phó được xác định cho môi trường của khách hàng.

Microsoft Defender XDR hỗ trợ các thao tác ứng phó liên quan đến danh tính, bao gồm Disable user — vô hiệu hóa người dùng. Tùy theo kiến trúc, Microsoft Defender cũng có thể phối hợp thao tác trên Active Directory và Microsoft Entra ID để ngăn các lần đăng nhập tiếp theo hoặc sự di chuyển ngang của kẻ tấn công trong hệ thống.

Điều này đặc biệt quan trọng khi thiết bị đầu cuối, danh tính và ứng dụng đám mây ngày càng liên kết chặt chẽ với nhau.

Một tài khoản bị xâm nhập có thể trở thành điểm khởi đầu để truy cập dữ liệu, email hoặc các ứng dụng SaaS khác. IPSIP cũng cung cấp bài phân tích riêng về rủi ro của token OAuth trong môi trường doanh nghiệp.

Xử lý email lừa đảo trên toàn tenant thay vì từng hộp thư riêng lẻ

Email là một lớp khác cần được tích hợp vào quy trình ứng phó tổng thể.

Phạm vi dịch vụ của IPSIP có thể bao gồm xử lý và loại bỏ email lừa đảo trong các hộp thư thuộc cùng một tenant, sử dụng những cơ chế phù hợp của hệ sinh thái Microsoft như Zero-hour Auto Purge hoặc xóa mềm khi được cấp quyền.

Microsoft mô tả Zero-hour Auto Purge (ZAP) là tính năng xử lý thư sau khi thư đã được gửi đến hộp thư Exchange Online, nếu hệ thống sau đó xác định thư là email lừa đảo hoặc thư rác. Microsoft Defender XDR cũng hỗ trợ các thao tác xóa email, bao gồm tùy chọn xóa mềm trong những quy trình ứng phó phù hợp. (Microsoft Learn)

Nhờ đó, hoạt động ứng phó có thể tiến xa hơn việc yêu cầu người dùng “xóa email”, cho phép xử lý khắc phục tập trung trong phạm vi và quyền hạn đã được cấu hình.

Đối với doanh nghiệp sử dụng Microsoft 365, đây là một lớp bảo vệ quan trọng vì một chiến dịch lừa đảo hiếm khi chỉ nhắm đến một người dùng. IPSIP cũng cung cấp nội dung về các chiến dịch lừa đảo nhắm vào người dùng Microsoft 365, giúp doanh nghiệp hiểu các kịch bản tấn công liên quan.

Live Response và pháp chứng số giúp chuyên viên phân tích điều tra sâu hơn từ cảnh báo

Khi cảnh báo ban đầu chưa cung cấp đủ thông tin, chuyên viên phân tích cần có khả năng kiểm tra trực tiếp thiết bị đầu cuối.

Trong phạm vi MDR của IPSIP Việt Nam, đội ngũ có thể thu thập gói dữ liệu điều tra pháp chứng số hoặc khởi tạo phiên Live Response để hỗ trợ điều tra.

Theo tài liệu Microsoft, Defender for Endpoint cho phép chuyên viên phân tích thu thập gói dữ liệu điều tra chứa thông tin pháp chứng bổ sung về trạng thái thiết bị. Live Response cung cấp môi trường tương tác từ xa, nơi người điều tra có thể thực hiện các thao tác điều tra và ứng phó trên những thiết bị đầu cuối được hỗ trợ.

Đây là bước quan trọng khi SOC cần trả lời những câu hỏi chi tiết hơn:

Thiết bị đã thực hiện những hành động nào? Có dấu vết đáng ngờ nào không? Có tiến trình hoặc tệp nào cần kiểm tra không? Phạm vi ảnh hưởng chỉ giới hạn ở một thiết bị đầu cuối hay cần mở rộng điều tra?

Khả năng đi từ cảnh báo đến bằng chứng pháp chứng giúp chuyên viên phân tích tránh đưa ra quyết định chỉ dựa trên một tín hiệu đơn lẻ.

Săn tìm mối đe dọa bằng KQL: Chủ động tìm kiếm dấu hiệu chưa kích hoạt cảnh báo

MDR không nên chỉ hoạt động theo nguyên tắc “chờ cảnh báo rồi mới ứng phó”.

IPSIP cũng đưa hoạt động săn tìm mối đe dọa bằng KQL vào quy trình vận hành Microsoft Defender, kết hợp với tự động hóa và tinh chỉnh để nâng cao hiệu quả giám sát.

Advanced Hunting của Microsoft Defender XDR sử dụng Kusto Query Language (KQL) trong chế độ nâng cao, cho phép chuyên viên phân tích truy vấn dữ liệu bảo mật để tìm hành vi hoặc mối liên hệ đáng ngờ mà quy tắc phát hiện hiện có có thể chưa nhận diện được.

Về mặt vận hành, săn tìm mối đe dọa cho phép chuyên viên phân tích chuyển hướng truy vấn giữa hoạt động thiết bị, dữ liệu danh tính và dữ liệu giám sát email để mở rộng điều tra sau khi phát hiện một dấu hiệu đáng ngờ.

Đối với IPSIP, KQL là công cụ hỗ trợ chuyên viên phân tích xuyên suốt chu trình phát hiện – điều tra – săn tìm – ứng phó – tinh chỉnh.

Cách tiếp cận này cũng phù hợp với mô hình XDR của IPSIP, trong đó các tín hiệu bảo mật từ nhiều lớp có thể được phân tích trong cùng một bối cảnh điều tra.

Giám sát thiết bị đầu cuối và máy chủ trong một chiến lược bảo mật thống nhất

Một điểm đáng chú ý khác trong phạm vi dịch vụ của IPSIP là khả năng giám sát cả Defender for Endpoint và Defender for Servers.

Điều này quan trọng đối với doanh nghiệp có môi trường kết hợp máy trạm của người dùng và các khối lượng công việc trên máy chủ.

Theo Microsoft, Defender for Servers tích hợp với Defender for Endpoint để cung cấp năng lực phát hiện và ứng phó trên thiết bị đầu cuối (EDR), điều tra và phát hiện mối đe dọa cho máy chủ. Kiến trúc này có thể bảo vệ cả hệ thống Windows và Linux trong những môi trường được hỗ trợ.

Với IPSIP, mục tiêu giám sát là đưa thiết bị đầu cuối và máy chủ vào một quy trình vận hành bảo mật có phân công rõ ràng trách nhiệm giám sát và ứng phó, vượt ra ngoài việc cung cấp thêm một bảng điều khiển.

Doanh nghiệp cần giám sát liên tục cũng có thể tìm hiểu dịch vụ SOC 24/7 của IPSIP. URL này đã được xác minh trong danh mục liên kết nội bộ của IPSIP.

Dịch vụ SOC 24/7 | Trung tâm giám sát an ninh mạng | IPSIP

Kết luận

Năng lực Microsoft Defender của IPSIP được xây dựng trên hoạt động giám sát thực tế cho khách hàng sử dụng Defender for Endpoint và Defender for Servers, với phạm vi ứng phó bao gồm cô lập thiết bị đầu cuối, ngăn chặn truy cập từ danh tính bị xâm nhập, xử lý email, Live Response, thu thập dữ liệu pháp chứng, tự động hóa, tinh chỉnh và săn tìm mối đe dọa bằng KQL.

IPSIP không tuyên bố có quan hệ đối tác trực tiếp với Microsoft khi chưa có thông tin xác minh làm căn cứ. Giá trị đã được thể hiện của IPSIP nằm ở khả năng vận hành hệ sinh thái Microsoft Defender theo mô hình MDR cho khách hàng.

Bên cạnh công cụ, IPSIP bổ sung đội ngũ chuyên viên phân tích và các quy trình mà doanh nghiệp cần để chuyển những tính năng của Defender thành hoạt động phát hiện và ứng phó thực tế.

Doanh nghiệp đang sử dụng Microsoft Defender và muốn tăng cường năng lực giám sát, điều tra hoặc MDR có thể liên hệ IPSIP Việt Nam để trao đổi về phạm vi vận hành phù hợp.