In 2007, following public reporting on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 2006 State Department breach, I blogged When FISMA Bites, Initial Thoughts on Digital Security Hearing. and What Should cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Feds Do. These posts captured my thoughts on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 government's response to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 State Department intrusion.
The situation cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n mirrors cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 current one well: outrage over an intrusion affecting government systems, China suspected as cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 culprit, and questions regarding why cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 government's approach to security does not seem to be working.
Following that breach, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 State Department hired a new CISO who pioneered cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "continuous monitoring" program, now called "Continuous Diagnostic Monitoring" (CDM). That CISO eventually left State for DHS, and brought CDM to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 rest of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Federal government. He is now retired from Federal service, but CDM remains. Years later we're reading about anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r breach at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 State Department, plus cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 recent OPM intrusions. CDM is not working.
My last post, Continuous Diagnostic Monitoring Does Not Detect Hackers, explained that although CDM is a necessary part of a security program, it should not be cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 priority. CDM is at heart a "Find and Fix Flaws Faster" program. We should not prioritize closing and locking doors and windows while cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re are intruders in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 house. Accordingly, I recommend a "Detect and Respond" strategy first and foremost.
To implement that strategy, I recommend cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 following, three-phase approach. All phases can run concurrently.
Phase 1: Compromise Assessment: Assuming cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Federal government can muster cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 motivation, resources, and authority, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Office of Management and Budget (OMB), or anocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r agency such as DHS, should implement a government-wide compromise assessment. The compromise assessment involves deploying teams across government networks to perform point-in-time "hunting" missions to find, and if possible, remove, intruders. I suspect cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "remove" part will be more than cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se teams can handle, given cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 scope of what I expect cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y will find. Nevercá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365less, simply finding all of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 intruders, or a decent sample, should inspire additional defensive activities, and give authorities a true "score of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 game."
Phase 2: Improve Network Visibility: The following five points include actions to gain enhanced, enduring, network-centric visibility on Federal networks. While network-centric approaches are not a panacea, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y represent one of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 best balances between cost, effectiveness, and minimized disruption to business operations.
1. Accelerate cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 deployment of Einstein 3A, to instrument all Federal network gateways. Einstein is not cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 platform to solve cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Federal government's network visibility problem, but given cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 current situation, some visibility is better than no visibility. If cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 inline, "intrusion prevention system" (IPS) nature of Einstein 3A is being used as an excuse for slowly deploying cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 platform, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IPS capability should be disabled and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "intrusion detection system" (IDS) mode should be cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 default. Waiting until cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 end of 2016 is not acceptable. Equivalent technology should have been deployed in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 late 1990s.
2. Ensure DHS and US-CERT have cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 authority to provide centralizing monitoring of all deployed Einstein sensors. I imagine bureaucratic turf battles may have slowed Einstein deployment. "Who can see cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 data" is probably foremost among agency worries. DHS and US-CERT should be cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 home for centralized analysis of Einstein data. Monitored agencies should also be given access to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 data, and DHS, US-CERT, and agencies should begin a dialogue on whom should have ultimately responsibility for acting on Einstein discoveries.
3. Ensure DHS and US-CERT are appropriately staffed to operate and utilize Einstein. Collected security data is of marginal value if no one is able to analyze, escalate, and respond to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 data. DHS and US-CERT should set expectations for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 amount of time that should elapse from cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 time of collection to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 time of analysis, and staff cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IR team to meet those requirements.
4. Conduct hunting operations to identify and remove threat actors already present in Federal networks. Now we arrive at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 heart of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 counter-intrusion operation. The purpose of improving network visibility with Einstein (for lack of an alternative at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 moment) is to find intruders and eliminate cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m. This operation should be conducted in a coordinated manner, not in a whack-a-mole fashion that facilitates adversary persistence. This should be coordinated with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "hunt" mission in Phase 1.
5. Collect metrics on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 nature of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 counter-intrusion campaign and devise follow-on actions based on lessons learned. This operation will teach Federal network owners lessons about adversary campaigns and cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 unfortunate realities of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 state of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir enterprise. They must learn how to improve cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 speed, accuracy, and effectiveness of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir defensive campaign, and how to prioritize countermeasures that have cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 greatest impact on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 opponent. I expect cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y would begin considering additional detection and response technologies and processes, such as enterprise log management, host-based sweeping, modern inspection platforms with virtual execution and detonation chambers, and related approaches.
Phase 3. Continuous Diagnostic Monitoring, and Related Ongoing Efforts: You may be surprised to see that I am not calling for an end to CDM. Racá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r, CDM should not be cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 focus of Federal security measures. It is important to improve Federal security through CDM practices, such that it becomes more difficult for adversaries to gain access to government computers. I am also a fan of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Trusted Internet Connection program, whereby cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 government is consolidating cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 number of gateways to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Internet.
Note: I recommend anyone interested in details on this matter see my latest book, The Practice of Network Security Monitoring, especially chapter 9. In that chapter I describe how to run a network security monitoring operation, based on my experiences since cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 late 1990s.
Tweet
12 comments:
This is a worthwhile program, certainly. I fear, however, that it is utterly impractical in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 current environment.
Above all, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 politics of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 program, as you suggest in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 description of Phase 1, will prevent much of it from being put into place. Would that it were ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365rwise. Despite cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 breaches at OMB, State, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 IRS, and elsewhere, not enough people have suffered. Importantly, not enough heads have rolled.
Also, I have to wonder whecá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re are enough people skilled enough to find and remove cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 adversary. The OPM IG report suggests that it is hard enough to find people who can do compliance, which is less difficult technically. Finding enough competent people to scour all Federal networks for IOCs may be close to impossible.
These questions aside, however, thanks for laying out this program. It is, at cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 least, a useful model for those serious about cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 task.
Agree on cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 "hunter" mission to, as you stated, "Detect and Respond" - and this should be performed DoD-wide. And to utilize CDM as a Phase of this strategy, not cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 only phase. Unfortunately, staffing of skilled cyber professionals remains an issue and will probably be cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 last hurdle addressed - after useful tools and tactics are finally in place. Hopefully, someone in a position to bring change to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 current way tasking/performing computer network defense within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 government reads, and listens to your post.
There's only one disagreement I have with this, which is that you say that DHS should do this. Even staffing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365m up (and given cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 shortage of security professionals available in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 market, that's no easy task), cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y're mindset and structure is suboptimal at best for owning this; cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y will never be cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 experts on this, even if it is technically cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir job thanks to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir poorly structured charter. Security of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 .gov domain should always have been an NSA function, given cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 technical skills and security roles cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y already have.
This blog lays out cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 basics to get started, cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re could be much more but this is a very good start. However cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 current culture in cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 government; executive, and legislative, looks for quick fixes - and we get whack a mole) or attempts to invent new programs. Until cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re is a major culture shift in how security is viewed, unfortunately, no one will act on this minimum list. Currently Agency Heads do not "own" cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365ir cyber risk; cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y should and should be terminated no matter how competent in ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r areas for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365se types of breaches just like cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Target CEO/CISO. Until we look at cyber security as a business practice enables operation and is "owned" by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Agency head and deputy cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n we'll not make progress. While I don't advocate current heads to roll, after cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 next breach cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365y should and this needs to be made clear by cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 White House to all cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Departments/Agencies. Only cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365n will a culture shift start to occur. Harsh but necessary. The ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r component is CISOs need to speak in terms of risk to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Department/Agency not in technical terms. That is required for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 leadership to understand what is at risk.
To instill a culture of security is more than just technology, it is policy and it's enforcement, training for all users on a continual basis, and regular reviews of cyber security operation in light of new threats. This will ensure cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 basic program outlined in this blog will endure. We need cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 cyber equivalent of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 WWII "loose lips sink ships" idea that everyone must be aware and on guard.
Security operations to identify and remove threat actors already present...
Any documentation on how to go about this?
Re: Anonymous:
http://nostarch.com/nsm
This is a great guidance. I couldn't agree more about CDM not working.
Being a former Fed and hearing similar concerns from ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r former Feds; cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re is a large problem with focus on FISMA scores, since FISMA scores drive funding, as opposed to focusing first on security application from a strategic/tactical angle which would still eventually lead to compliance.
Hi, just curious -- cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 DHS says that CDM stands for "Continuous Diagnostics and Mitigation," but in this post and your previous one, you refer to cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 program as "Continuous Diagnostic Monitoring." Is this because you believe cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re's no true "mitigation" going on with cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 CDM program?
Thanks for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 comment Frank. "Continuous Diagnostics and Mitigation" is cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 third name for this program. First it was "Continuous Monitoring." Then it became "Continuous Diagnostic Monitoring." Now it's "Continuous Diagnostics and Mitigation," as you mentioned. I have been using cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 2nd term recently. I should have adopted cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 third, although cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 programs are cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 same.
Can anyone tell me if cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re are any resources out cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re for
procedures and strategies to conduct "Hunting" operations
for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 private sector? I know that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 NSA has special
training for that mission skill set, but any recommendations
for outside of that venue?
Position: Supervisory IT Specialist (INFOSEC) – Director, Cybersecurity Division, OCIO, GS-2210-15
Open Period: Wednesday, June 17, 2015 to Wednesday, June 24, 2015
Incumbent serves as Director, Cybersecurity Division for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Security Operations Center (SOC) and has responsibility for cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 overall leadership of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Division, cybersecurity Executive Office of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 President (EOP)-wide, and management of cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 SOC. The Director will be responsible for oversight of cybersecurity through all branches within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 Division; advising cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 CIO and ocá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365r EOP stakeholders of cybersecurity concepts and outcomes; identifying and executing standardized IT solutions; assessing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 impact on security of Federal regulation/policy compliance and ensuring that cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 business impact of implementing cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 best practices within cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365 EOP are understood.
https://www.usajobs.gov/GetJob/ViewDetails/407274700 - Supervisory IT Specialist (INFOSEC) – Delegated Examining
Was cá cược thể thao bet365_cách nạp tiền vào bet365_ đăng ký bet365re any answer to Anon's question about resources for procedures and strategies for ops of this sort? VUlturing this blog entry for such, thanks.
Post a Comment