Edina i praktiken

En komplett hanterad säkerhetstjänst

Edina levereras inte som en plattform som lämnas över, utan som en komplett hanterad tjänst där Reykja ansvarar för den kontinuerliga operativa analysen och övervakning av kunders miljöer, rapportering och incidentstöd, säkerhetsexpertis samt den tekniska plattformen med löpande utveckling.

Det innebär att verksamheter får en kontinuerlig och kvalificerad insyn i hotbilder, tekniska avvikelser och risker som kan påverka verksamheten och dess tjänster negativt.

Vårt uppdrag är skydda verksamheter mot inre som yttre IT-hot, samt att arbeta proaktivt för ökad stabilitet och kontroll i miljöer där avbrott får konsekvenser.

Vad Reykja identifierar

Analysen omfattar både externa som interna hot, samt interna strukturella svagheter i miljön som påverkar stabilitet och säkerheten. Fokus ligger på beteenden och mönster i faktisk trafik, snarare än enbart loggbaserade indikatorer. Nedan följer några exempel på vad Reykja identifierar, baserat på kundens metadata.

Förberedelser av attacker och avvikelser:

Rekognosering och portscanningar
Informationsinhämtning i miljön
Förstadier till DDoS-attacker och andra attacker
Webbscanningar
Proxy-rekognosering

Hot och direkta attacker:

Intrångsförsök och aktiva pågående attacker
DDoS-attacker
Datainhämtning, dataläckage och exfiltreringsförsök
Otillåten kommunikation
Överträdelser av segmentering och nätverkspolicy

Tekniska och strukturella avvikelser (som kan indikera kommande driftstörningar):

Kommunikationsproblem mellan verksamheten och dess slutkunder, och vice versa
Felkonfigurationer i DNS, NTP, TCP, routing m.m.
Resursmissbruk och avvikande belastningsmönster
Oväntade förändringar i trafikmönster
Infrastrukturpåverkan hos leverantörer

Ovan är endast några få exempel. Då Edina analyserar den faktiska trafiken, det som verkligen skickas i infrastrukturen kommer Edina fånga upp alla tänkbara mönster, både kända som okända. Något som loggbaserade system inte klarar.

Vi ser ofta små signaler som vi identifierar timmar, dagar eller veckor innan de utvecklas till driftstörning eller incidenter.

Forensisk kapacitet på paketnivå

Vid avvikelser eller incidenter kan analys genomföras på full paketnivå i dåtid. Det innebär att vi kan stega tillbaka i tiden, innan incidenten började och återskapa händelsen från dess start.

Det möjliggör bl.a.:

Återspegla vad som har hänt, när det har hänt, innan incidenten startade
Verifiering av påstådda intrång, dataläckor, attacker m.m.
Underlag för rättsliga eller regulatoriska processer
Tidslinje över händelseförlopp
Identifiering av dataflöden

Denna funktion är även användbart för att (mer proaktiv del):

Identifiera problem i miljön på en djupare nivå
Identifiera problem/signaler som andra övervakningssystem, SIEM m.m. lösningar missar
Ta ut data och statistik som inte finns, eller ta ut statistik i efterhand
Genera grafer och flöden

Denna kapacitet kan inte återskapas med enbart loggbaserade system.

Anpassad och kontinuerlig analys

Varje Edina-installation byggs och konfigureras utifrån kundens arkitektur, trafikmönster och verksamhetskrav där det inte finns generiska “default-regler”.

Edina utvecklas kontinuerligt under pågående avtal. Regler, korrelationslogik och analysmodeller justeras och förfinas i takt med att miljön förändras och hotbilden utvecklas. Tjänsten är därmed inte en fast konfiguration, utan en löpande optimerad analysfunktion som ökar precisionen och minskar bruset över tid.

Edina analyserar nätverkstrafik och systembeteenden dygnet runt. Automatiserad analys sker kontinuerligt, medan kvalificerad manuell analys genomförs under avtalade operativa tider.

Tjänsten är inte ett 24/7-bemannat SOC, men analysen pågår 24/7 och incidenter hanteras utan fördröjning när det krävs.