Partner im Rampenlicht: Threat Stack- und Squadcast-Integration optimiert Warnmeldungen mit mehr Kontext

Veröffentlicht am 24. Juni 2021

Threat Stack heißt jetzt F5 Distributed Cloud App Infrastructure Protection (AIP). Beginnen Sie noch heute damit, Distributed Cloud AIP mit Ihrem Team zu verwenden.

Dies ist ein Gastbeitrag in Zusammenarbeit zwischen Squadcast und Threat Stack

Sicherheitsexperten werden häufig mit Warnmeldungen überschwemmt, insbesondere angesichts der rasanten Skalierung von Cloud-Umgebungen. Tatsächlich gaben in einer kürzlich durchgeführten SecOps-Umfrage 83 Prozent der Fachleute an, unter Alarmmüdigkeit zu leiden. Allerdings ist der Kontext entscheidend. Mit den richtigen Tools und Integrationen können Sie Ihre Warnmeldungen ganz einfach optimieren, um intelligentere Erkenntnisse zu gewinnen, die Ihnen dabei helfen, fundiertere Entscheidungen zu treffen und schneller zu handeln.

Bei Threat Stack wissen wir, wie wichtig es ist, Cybersicherheitsexperten, die an der Senkung wichtiger KPIs wie MTTK (Mean Time To Know) und MTTR (Mean Time To Response) arbeiten, die aussagekräftigsten Warnmeldungen bereitzustellen. Durch Partnerschaften wie mit Squadcast , einer Incident-Response-Plattform (IR), können wir Squadcast-Benutzern die branchenführenden Regeln von Threat Stack bereitstellen und ihnen so aussagekräftige Erkenntnisse aus der Echtzeit-Risiko- und ML-basierten Anomalieerkennung mit angereichertem Kontext liefern. Wir arbeiten außerdem mit führenden öffentlichen Cloud-Anbietern wie AWS zusammen, um eine nahtlose Integration in Ihre Cloud-Umgebung zu ermöglichen und Ihnen das lästige Wechseln zwischen verschiedenen Plattformen zu ersparen.

Mit diesen Partnerschaften und Integrationen zwischen Squadcast und Threat Stack können Kunden ihre Warnungen in unterschiedliche Schweregrade aggregieren, um das Risiko in ihrer Umgebung besser zu verstehen.

Warum Full-Stack-Beobachtbarkeit wichtig ist

Jeder, der mit der Cloud-Infrastruktur vertraut ist, weiß, dass er seine Systeme überwachen muss, um Risiken genau zu erkennen und darauf zu reagieren. Systeme werden für Cyberkriminelle zunehmend unterschiedlicher, komplexer und zu lukrativen Zielen. Daher ist es wichtig, über Tools zu verfügen, die bei der aktiven Überwachung sowie bei der schnellen Identifizierung und Behebung von Problemen helfen können.

Beispielsweise kann ein Unternehmen mit einer Infrastruktur auf AWS native Tools wie AWS CloudWatch für grundlegende Überwachungszwecke verwenden. Die grundlegende Überwachung reicht jedoch nur bis zu einem gewissen Punkt aus, und Sicherheitsteams müssen zusätzliche spezielle Tools nutzen, die Beobachtung ermöglichen, d. h. erweiterte Funktionen zur Überwachung und besseren Visualisierung von Umgebungen.

Threat Stack ermöglicht die vollständige Stack-Beobachtung durch das Sammeln umfassender Telemetriedaten von Cloud-Workloads, einschließlich der Infrastruktur- und Application . So können Sicherheitsteams verdächtige Aktivitäten schnell erkennen.

Erweiterte Überwachung ermöglicht kontextreiche Sicherheitswarnungen

Für den Erfolg moderner SaaS-Unternehmen ist es von entscheidender Bedeutung, Sicherheits- und Compliance-Vorfälle schnell zu beheben. Wenn eine Website oder ein Dienst auch nur für eine Minute ausfällt, kann dies möglicherweise zu erheblichen Umsatzeinbußen, einer Schädigung des Markenrufs und zu Misstrauen bei den Kunden führen.

Hier kommt die Kombination moderner IR-Plattformen wie Squadcast und der Beobachtbarkeit von Threat Stack ins Spiel. Im Falle eines Vorfalls können detaillierte Ereignisse vom Threat Stack per Squadcast an die entsprechenden Benutzer weitergeleitet werden.

Wenn Threat Stack ein Sicherheitsrisiko und/oder eine Anomalie erkennt, fungiert es als Warnquelle und sendet diese an Squadcast. Squadcast nutzt bewährte Methoden des Site Reliability Engineering (SRE), aggregiert diese Warnungen und leitet sie an den diensthabenden Techniker weiter. Die SRE- und Sicherheitsteams werden jedoch erst aktiv, nachdem solche Vorfälle gemeldet wurden.

Es kann mehrere Teams geben, die für verschiedene Komponenten der Infrastruktur verantwortlich sind. Und da Squadcast nativ in verschiedene Tools zur Application (APM)/Protokollierung und Fehlerverfolgung integriert ist, kann es das entsprechende Team benachrichtigen, indem es Warnmeldungen intelligent weiterleitet und ihnen hilft, in Echtzeit zusammenzuarbeiten, um Vorfälle innerhalb von Squadcast zu beheben.

Die Leistung von Squadcast und Threat Stack kombinieren

Um die Tiefe der Squadcast + Threat Stack-Integration vollständig zu verstehen, betrachten wir das frühere Beispiel eines Kunden, dessen Infrastruktur auf AWS liegt. In diesem Szenario beobachtet die Threat Stack Cloud Security Platform® die verschiedenen Schichten moderner Infrastrukturen, um eine große Bandbreite an Verhaltensweisen in Ihrer Umgebung zu erkennen. In Kombination mit AWS CloudWatch ermöglichen diese Lösungen die Überwachung der Infrastruktur/ des Application und die Verfolgung von Service Level Indicators (SLIs) und Service Level Objectives (SLOs). Falls ein SLO verletzt wird, werden Warnmeldungen an die Squadcast-Plattform gesendet.

Einfach ausgedrückt: Immer wenn es eine Warnung in der Threat Stack-Plattform gibt, wird der konfigurierte Webhook für Squadcast signalisiert und ein Vorfall erstellt. Wenn Threat Stack mehr als eine Warnung sendet, kann die Squadcast-Plattform Warnungen organisieren und gruppieren (Deduplizierung) und Benutzern, die an der Lösung des Vorfalls arbeiten, den vollständigen Kontext bereitstellen. Lassen Sie uns untersuchen, warum dies von Vorteil ist.

Vier Vorteile der Integration von Cloud-Monitoring- und Incident-Response-Plattformen

Schnellere Wiederherstellungszeit: Der erste Schritt zu einem optimalen Vorfallmanagement besteht darin, den Vorfällen bei ihrer Erkennung einen relevanten Kontext hinzuzufügen. Den Vorfallnutzdaten, die von Threat Stack an Squadcast gesendet werden, können Tags hinzugefügt werden, um Warnmeldungen kontextreicher zu gestalten. Beispiele für solche Tags sind Vorfallpriorität , Vorfallschweregrad , Umgebungsname usw. Sie bieten den Sicherheitsingenieuren beim Empfang einer Warnung einen besseren Kontext, helfen dabei, eine schnellere Reaktion auf den Vorfall einzuleiten und reduzieren letzten Endes die MTTR.

Höhere Transparenz bei Vorfällen: Als allgemeine Faustregel gilt: Mehr Transparenz führt nicht nur zu einem besseren Vorfallmanagement und Reaktionsprozess, sondern – was noch wichtiger ist – zu mehr Vertrauen zwischen den Teammitgliedern. Auf diese Weise können sie den Fehler besser ermitteln, bevor sie die nächsten Schritte zur Lösung des Problems planen.

Gemeinsam ermöglichen Threat Stack und Squadcast einen ganzheitlichen Ansatz für das Vorfallmanagement durch vollständige Transparenz hinsichtlich der Risiken und Echtzeit-Reaktionsfunktionen – wodurch Reibungsverluste im Lebenszyklus der Vorfallreaktion minimiert werden. Ebenso verbessert sich durch bessere Zusammenarbeit und Transparenz die Gesamtzuverlässigkeit kritischer IT-Systeme und -Dienste erheblich.

Schuldlose Obduktionen: Viele Vorfälle können mit Tools wie Infrastrukturautomatisierung, Runbooks, Feature-Flags, Versionskontrolle und kontinuierlicher Bereitstellung schnell behoben werden, um Ihr Team mit Chatops und Statusseiten auf dem Laufenden zu halten. Diese Maßnahmen helfen den Sicherheitsteams zwar dabei, die aktuelle Situation zu beheben, tragen jedoch kaum dazu bei, zu verstehen, was fehlgeschlagen ist und warum. Dies zu verstehen ist jedoch ein entscheidender Schritt, um ähnliche Vorkommnisse in Zukunft zu verhindern und sicherzustellen, dass die Teams eine Kultur der Nachbesprechung von Vorfällen ohne Schuldzuweisung entwickeln. Es sollte auch beachtet werden, dass die Post-Mortem-Besprechungen zu Vorfällen weniger schrecklich sein könnten, wenn man ihnen eine einfache und automatisierte Möglichkeit zur Erfassung von Vorfallinformationen und zur Veröffentlichung des Abschlussberichts mit wiederverwendbaren Checklisten und Vorlagen bietet.

Detaillierte Einblicke in die Zuverlässigkeit: Die Berichts- und Analysefunktion von Squadcast zeigt die Leistung des Teams beim Bestätigen und Beheben von Warnmeldungen an und hilft bei der Identifizierung von Verbesserungsbereichen. Es kann Teams dabei helfen, die Verteilung von Vorfällen auf alle Dienste für einen bestimmten Zeitraum und den Status jedes Dienstes zu visualisieren und zu analysieren.

Mit der steigenden Zahl von Vorfällen werden sich viele Muster herauskristallisieren, die häufige Probleme noch verstärken. Sie können mithilfe grafischer Darstellungen eine explorative Datenanalyse durchführen und mehr über vergangene Vorfälle erfahren. Diese Daten können auch durch Filterung basierend auf den mit den Vorfällen verbundenen Tags (z. B. Schweregrad-Tags, Alarmquelle, Status, Datum und Uhrzeit usw.) exportiert werden.

Zusammenfassend lässt sich sagen, dass die Kombination der Leistungsfähigkeit von Threat Stack und Squadcast Ihnen dabei hilft, Sicherheits- und Compliance-Risiken in Ihren Cloud-Workloads schnell zu erkennen und darauf zu reagieren. Dies trägt enorm zur Senkung von KPIs wie MTTK und MTTR bei.

Wenn Sie diese beiden Tools vereinheitlichen möchten, stehen Ihnen die Supportteams von Squadcast und Threat Stack zur Seite, um Sie zum Erfolg zu führen. Wenn Sie weitere Best Practices weitergeben möchten oder Hilfe beim Einrichten der Threat Stack/Squadcast-Integration benötigen, wenden Sie sich einfach an das Squadcast-Supportteam.