WithSecure Elevate (1/0) – Indagine sulle minacce, risposta agli incidenti, componente aggiuntivo EDR

Cosa comprende WithSecure Elevate (1/0)?

Convalida delle minacce – Gli analisti di WithSecure verificano se un rilevamento corrisponde a un attacco reale.
Escalation dalla console – I casi vengono segnalati direttamente da Broad Context Detections.
Accesso agli analisti 24 ore su 24, 7 giorni su 7 – Il servizio è attivo tutti i giorni, con una convalida prevista entro due ore.
Riepilogo scritto da esperti – Riceverete i risultati e indicazioni concrete su come reagire.
Finestra di telemetria di sette giorni – La verifica si basa sui dati dell’infrastruttura relativi ai sette giorni precedenti.
Importante – Servizio aggiuntivo; è richiesto un abbonamento separato a WithSecure Elements EDR.

Quali sono i principali vantaggi di WithSecure Elevate (1/0)?

WithSecure Elevate (1/0) è un servizio aggiuntivo per WithSecure Elements Endpoint Detection and Response che consente al proprio team di affidare un rilevamento complesso agli analisti delle minacce di WithSecure, anziché passare a un servizio completamente gestito. È gestito interamente dall’Elements Security Center basato su cloud ed era commercializzato come Elevate da F-Secure nell’era di F-Secure Rapid Detection & Response, prima che il fornitore cambiasse il proprio nome in WithSecure.

Meno falsi allarmi – E un analista a decidere, anziché dover tirare a indovinare su un avviso ambiguo.
Nessun canone fisso richiesto – L’assistenza di esperti viene acquistata in anticipo e utilizzata su richiesta.
Copertura fuori orario – Notti e fine settimana sono coperti senza bisogno di turni di personale.
Risultati documentati – Il verdetto scritto supporta la documentazione degli incidenti e la reportistica.
Filtro dei falsi positivi – Gli analisti distinguono gli attacchi reali dai falsi positivi tecnici.
Nessun agente aggiuntivo – l’attuale Elements Agent fornisce tutti i dati necessari agli analisti.

Il miglior antivirus? Perché Windows Defender da solo non basta
Spiega dove la protezione preventiva degli endpoint smette di funzionare e perché il rilevamento e la risposta sono il livello che intercetta ciò che riesce a passare.

Per aziende di quali dimensioni è adatto WithSecure Elevate (1/0)?

Elevate è pensato per le organizzazioni che gestiscono autonomamente Elements EDR e che occasionalmente si imbattono in un rilevamento che non sono in grado di valutare con certezza. Questa situazione è più comune nelle aziende con uno o due generalisti IT piuttosto che con un team di sicurezza dedicato, ed è meno comune nelle organizzazioni che gestiscono già un centro operativo di sicurezza.

WithSecure Elevate (1/0) soddisfa i requisiti della legislazione svizzera in materia di sicurezza informatica?

La legge riveduta sulla sicurezza dell’informazione obbliga gli operatori di infrastrutture critiche in Svizzera a segnalare gli attacchi informatici all’Ufficio federale per la sicurezza informatica (BACS) entro 24 ore dalla loro scoperta. La maggior parte delle PMI non è interessata; l’obbligo riguarda settori quali l’approvvigionamento energetico e idrico, i trasporti, la sanità, la finanza, l’informazione e la comunicazione, nonché le amministrazioni cantonali e comunali. Elevate supporta tale termine in un modo concreto: un verdetto convalidato sul fatto che un rilevamento sia un attacco autentico, con un obiettivo di due ore per l’avvio della convalida, è solitamente l’elemento determinante per stabilire se sia necessario effettuare una segnalazione. Ciò che non fa è redigere la segnalazione, monitorare il termine di 14 giorni per il suo completamento, contenere l’attacco o sostituire una procedura interna di gestione degli incidenti, poiché gli analisti forniscono indicazioni e il vostro team agisce di conseguenza. Inoltre, non copre nulla al di fuori di Elements EDR, quindi un attacco che ha inizio su un sistema non monitorato non produce alcun rilevamento da segnalare. La presente descrizione non costituisce un parere legale; per chiarire se la vostra organizzazione sia soggetta all’obbligo di segnalazione, dovrete rivolgervi al vostro consulente legale.

WithSecure Elevate (1/0) soddisfa i requisiti della legislazione europea in materia di sicurezza informatica?

Nessun prodotto software o servizio di consulenza rende un’azienda conforme alla direttiva NIS 2. La direttiva NIS 2 richiede che i soggetti essenziali e importanti stabiliscano analisi dei rischi e politiche di sicurezza per i sistemi informativi, la gestione degli incidenti, la continuità operativa, la sicurezza della catena di approvvigionamento e la segnalazione di incidenti significativi all’autorità nazionale competente. Elevate contribuisce alla categoria della gestione degli incidenti: classificazione da parte di esperti di un rilevamento come minaccia reale, attività sospetta che richiede un intervento, comportamento rischioso accettabile o falso positivo, oltre a una registrazione scritta di ciò che è stato rilevato e delle raccomandazioni fornite. Non apporta alcun contributo all’analisi dei rischi, alla continuità operativa, alla sicurezza della catena di approvvigionamento, né agli obblighi di governance e formazione che la direttiva impone al management. Trattandosi di un servizio reattivo utilizzato caso per caso, non garantisce inoltre il monitoraggio continuo che le entità soggette a una supervisione più rigorosa sono normalmente tenute a dimostrare.

WithSecure Elevate (1/0) è d’aiuto per i questionari sulla sicurezza dei grandi clienti?

In parte, e principalmente in un ambito specifico. I questionari sulla sicurezza dei grandi clienti in genere chiedono se si utilizza un sistema EDR, se i rilevamenti vengono valutati da personale qualificato, con quale rapidità è possibile classificare un incidente e se i risultati vengono documentati. Elevate consente di rispondere in modo credibile alle domande relative alla valutazione e alle competenze: i casi vengono inoltrati agli analisti di WithSecure 24 ore su 24, 7 giorni su 7, con l’obiettivo di avviare la verifica entro due ore, e ogni caso si conclude con un verdetto scritto che è possibile allegare come prova. Non fornisce alcuna risposta in merito al monitoraggio continuo, al tempo medio di risposta, alla conservazione dei log oltre la finestra dei dati di Elements EDR, ai test di penetrazione, allo sviluppo sicuro o alla gestione dei rischi dei fornitori, poiché non svolge nessuna di queste funzioni. Se un questionario non supera i criteri relativi al monitoraggio continuo piuttosto che a quelli di competenza, passare, all’interno della stessa famiglia WithSecure, a un servizio gestito di rilevamento e risposta è solitamente più economico e più facile da dimostrare rispetto all’aggiunta di strumenti di un secondo fornitore accanto a Elements.

Qual è la differenza tra WithSecure Elevate (1/0) e WithSecure Elevate Package (2/1)?

La differenza determinante sta nel fatto che la fase più approfondita di “Threat Investigation” sia a vostra disposizione o meno. La notazione descrive l’ambito del servizio del pacchetto: la prima cifra copre i casi di “Threat Validation”, la seconda quelli di “Threat Investigation”. Con (1/0) un rilevamento può essere convalidato e classificato, ma se l’analista conferma un attacco effettivo e si desidera la cronologia completa dell’evento, le informazioni di intelligence sulle minacce con riferimenti incrociati e un piano di contenimento concreto, tale fase non fa parte di questo pacchetto. Lo stesso vale per qualsiasi rilevamento risalente a più di sette giorni fa, che salta la fase di validazione e passa direttamente a quella di indagine. Nessuno dei due pacchetti include il servizio separato WithSecure Incident Response.

Quali limitazioni è necessario conoscere prima dell’acquisto?

Tre limitazioni sono particolarmente rilevanti. Il servizio Elevate è disponibile solo in inglese, il che rappresenta un vero e proprio ostacolo per i team svizzeri ed europei il cui personale di reperibilità lavora in tedesco, francese o italiano: l’interfaccia di Elements Security Center è localizzata, mentre il dialogo con gli analisti non lo è. In secondo luogo, Elevate segue la copertura di Elements EDR, che protegge workstation e server; pertanto, una compromissione su un dispositivo mobile o su qualsiasi sistema privo di Elements Agent non genera alcun rilevamento che possa essere segnalato. In terzo luogo, gli analisti di WithSecure forniscono analisi e indicazioni piuttosto che eseguire il contenimento nel vostro ambiente; se un caso raggiunge la soglia di «Incidente Grave» del fornitore – ad esempio, più di cinque dispositivi infetti o una risorsa critica per l’azienda compromessa – la raccomandazione sarà quella di segnalare il caso al servizio separato di risposta agli incidenti, che non fa parte di questo prodotto.

La perdita di dati è costosa: in che modo i backup aiutano a evitare interruzioni di servizio.
Tratta l’aspetto del ripristino, che la consulenza degli esperti non può sostituire, e quanto costa effettivamente un’interruzione di servizio a un’azienda.

Domande frequenti su WithSecure Elevate (1/0)

Dove vengono archiviati i dati esaminati dagli analisti di WithSecure?

I dati relativi agli eventi comportamentali raccolti dall’Elements Agent vengono archiviati sull’infrastruttura AWS nell’Unione Europea (Irlanda) per un anno su base continuativa durante il periodo di collaborazione e vengono eliminati entro due mesi dalla conclusione della stessa. L’apertura di un caso Elevate garantisce agli analisti l’accesso ai metadati relativi a quel rilevamento specifico.

Gli analisti di WithSecure apportano modifiche ai nostri dispositivi?

No. Elevate fornisce il verdetto e le indicazioni su come reagire tramite l’Elements Security Center. L’isolamento di un host, la chiusura di un processo o la rimozione di file rimangono azioni che il vostro amministratore esegue dalla console.

Il nostro fornitore di servizi può aprire casi Elevate per nostro conto?

Sì, se il fornitore gestisce il vostro ambiente Elements. Elements Security Center dispone di una modalità gestita dal partner ed Elevate viene attivato dalla stessa vista “Broad Context Detections”, pertanto un fornitore con accesso alla console può aprire un caso per vostro conto.