SEC511: Monitoramento Contínuo e Operações de Segurança (48 CPEs)

Analisar Ameaças. Detectar anomalias. Pare de intrusões.

Continuamos a subestimar a tenacidade de nossos adversários! As organizações estão investindo uma quantidade significativa de tempo, bem como recursos financeiros e humanos, tentando combater ameaças cibernéticas e prevenir ataques cibernéticos. Apesar desse tremendo esforço, as organizações ainda estão sendo comprometidas. A abordagem tradicional da arquitetura de segurança, com foco em perímetro e dominante na prevenção, falhou em evitar invasões. Nenhuma rede é impenetrável, uma realidade que executivos de negócios e profissionais de segurança têm que aceitar. A prevenção é fundamental e não podemos perder de vista que é o objetivo principal. No entanto, é necessária uma nova abordagem proativa à segurança para aprimorar os recursos das organizações para detectar ameaças que inevitavelmente passarão por suas defesas.

SEC511: Monitoramento Contínuo e Operações de Segurança ensinarão como fortalecer suas habilidades para adotar essa abordagem proativa.

O desafio subjacente para as organizações vitimadas por um ataque é a detecção oportuna de incidentes. Dados do setor sugerem que a maioria das violações de segurança geralmente não são descobertas por uma média de sete meses. Os invasores simplesmente precisam encontrar um caminho para entrar na maioria das organizações, porque sabem que a falta de visibilidade e controles internos de segurança permitirão que eles cumpram metodicamente sua missão e alcancem seus objetivos.

A Arquitetura de Segurança Defensável, Monitoramento de Segurança de Rede (NSM)/Diagnóstico e Mitigação Contínuos (CDM)/Monitoramento de Segurança Contínuo (CSM) ensinados neste curso irão posicionar melhor sua organização ou Centro de Operações de Segurança (SOC) para analisar ameaças e detectar anomalias que possam indicam comportamento de criminosos cibernéticos. A recompensa para essa nova abordagem proativa seria a detecção precoce de uma intrusão ou frustrar com sucesso os esforços dos invasores.

A SANS é excepcionalmente qualificada para oferecer este curso. Os autores do curso Eric Conrad (GSE #13) e Seth Misenar (GSE #28) possuem a distinta Certificação GIAC Security Expert, e ambos são profissionais experientes, do mundo real, que aplicam os conceitos e técnicas que ensinam neste curso diariamente . SEC511 irá levá-lo em uma jornada e tanto. Começamos explorando a arquitetura de segurança tradicional para avaliar seu estado atual e os ataques contra ela. Em seguida, discutimos e descobrimos o design de segurança moderno que representa uma nova abordagem proativa para essa arquitetura que pode ser facilmente compreendida e defendida. Em seguida, fazemos a transição para como realmente construir a segurança da rede e do endpoint e, em seguida, navegamos cuidadosamente pela automação, NSM/CDM/CSM. Para a detecção oportuna de possíveis invasões, a rede e os sistemas devem ser monitorados proativamente e continuamente para quaisquer alterações na postura de segurança que possam aumentar a probabilidade de sucesso dos invasores.

Sua jornada SEC511 terminará com uma última colina para escalar! O último dia apresenta uma competição de defesa da bandeira que desafia você a aplicar as habilidades e técnicas aprendidas no curso para detectar e defender a arquitetura de segurança moderna que foi projetada. A competição foi projetada para ser divertida, envolvente, abrangente e desafiadora. Você não vai se decepcionar!

Com sua jornada de treinamento concluída e suas habilidades aprimoradas e aprimoradas, é hora de voltar ao trabalho e cumprir a promessa da SANS de que você poderá aplicar o que aprendeu neste curso no dia em que retornar ao escritório.

Requisitos do computador

Importante! Configure o seu sistema de acordo com as instruções do SANS!

É necessário um sistema devidamente configurado para participar plenamente deste curso. Se você não ler atentamente e seguir as instruções, provavelmente sairá da aula insatisfeito porque não poderá participar de exercícios práticos essenciais para este curso. Portanto, recomendamos fortemente que você chegue com um sistema que atenda a todos os requisitos especificados para o curso.

Isso é senso comum, mas vamos dizer de qualquer maneira. Faça backup do seu sistema antes da aula. Melhor ainda, não tenha nenhum dado sensível armazenado no sistema. SANS não pode ser responsável por seu sistema ou dados.

CPU: Intel i5/i7 de 64 bits (4ª geração+) – processador x64 bits 2.0+ GHz ou processador mais recente é obrigatório para esta classe (Importante – Leia: um processador de sistema de 64 bits é obrigatório)

NOTA CRÍTICA: Os sistemas Apple que utilizam a linha de processadores M1 não podem executar a funcionalidade de virtualização necessária e, portanto, não podem de forma alguma ser usados para este curso.

Para mais detalhe sobre os requisitos de hardware e software, clique aqui

Quem deve participar do SEC511?

• Arquitetos de segurança
• Engenheiros de segurança sênior
• Gerentes técnicos de segurança
• Analistas SOC
• Engenheiros SOC
• Gerentes de SOC
• Analistas CND
• Indivíduos que trabalham para implementar Diagnóstico e Mitigação Contínuos (CDM), Monitoramento de Segurança Contínuo (CSM) ou Monitoramento de Segurança de Rede (NSM)

Certificação GIAC Continuous Monitoring Certification

A certificação GIAC Continuous Monitoring (GMON) valida a capacidade de um profissional de impedir invasões e detectar rapidamente atividades anômalas. Os detentores de certificação GMON demonstraram conhecimento de arquitetura de segurança defensável, monitoramento de segurança de rede, diagnóstico e mitigação contínuos e monitoramento contínuo de segurança.

• Arquitetura de segurança e centros de operações de segurança (SOCs)
• Arquitetura e monitoramento de segurança de rede
• Arquitetura de segurança de endpoint, automação e monitoramento contínuo

Para mais detalhes sobre a certificação GIAC Continuous Monitoring (GMON), clique aqui

O que você vai receber

• Acesso a desafios personalizados hospedados na nuvem para melhor compreensão
• Arquivos de áudio MP3 da palestra completa do curso
• Máquina virtual Windows 10 licenciada
• Uma VM Linux carregada com toneladas de logs extras, PCAPs e outros recursos
• Um pacote de download digital que inclui o acima e mais

SEC511.1: Avaliação do Estado Atual, Centros de Operações de Segurança e Arquitetura de Segurança

• O modelo de segurança de prevenção dominante falhou. Dada a frequência e extensão de intrusões significativas, isso não deve ser uma surpresa. Para abordar a raiz do problema, devemos entender a arquitetura atual e as lacunas de design que facilitam o domínio do adversário. O que precisamos abordar para começar a melhorar as coisas? Podemos esperar vencer? Como seria a vitória? Essas são perguntas importantes que devemos responder se esperamos melhorar substancialmente nossa postura de segurança.
• Começamos com o objetivo em mente e definimos as principais técnicas e princípios que nos permitirão alcançar esse estado. Um Centro de Operações de Segurança ou Arquitetura de Segurança moderno e eficaz deve permitir que uma organização encontre rapidamente invasões para facilitar a contenção e a resposta. Tanto o conhecimento significativo quanto o compromisso com o monitoramento contínuo são necessários para atingir esse objetivo.

SEC511.2: Arquitetura de Segurança de Rede

• Compreender os problemas com o ambiente atual e perceber onde precisamos chegar está longe de ser suficiente: precisamos de um roteiro detalhado para preencher a lacuna entre o estado atual e o desejado. O segundo dia apresenta a arquitetura de confiança zero (ZTA) e detalha os componentes de nossa infraestrutura que se tornam parte de uma arquitetura de segurança de rede e SOC defensáveis. Já passamos dos dias em que um firewall de perímetro e um antivírus onipresente eram segurança suficiente. Existem muitas peças e partes móveis que compõem uma arquitetura de segurança defensável moderna.
• Além de discutir tecnologias como firewalls de última geração, firewalls de aplicativos da Web, dispositivos de detonação de malware, SIEMs, DLP e Honeypots que podem não ser encontrados em todas as organizações, nos concentraremos em redirecionar dispositivos tradicionais, como firewalls de camada 3/4, roteadores , interruptores e NIDS. O objetivo deste curso não é fornecer uma longa lista de itens para adicionar ao orçamento do próximo ano, portanto, nos concentraremos em maximizar os recursos de sua arquitetura de segurança da informação atual, ao mesmo tempo em que apontamos novas tecnologias que podem oferecer um retorno atraente em investimento.

SEC511.3: Monitoramento de Segurança de Rede

• Projetar um SOC ou arquitetura de segurança que aprimore a visibilidade e os recursos de detecção representa uma mudança de paradigma para a maioria das organizações. No entanto, o design é simplesmente o começo. O elemento mais importante de uma arquitetura de segurança moderna é a ênfase na detecção. A arquitetura de segurança de rede apresentada nos dias um e dois enfatizou a visibilidade e os recursos de detecção no design. Agora precisamos descobrir como examinar os dados e monitorar continuamente a empresa em busca de evidências de comprometimento ou alterações que aumentem a probabilidade de comprometimento.
• Devemos primeiro entender a abordagem e os objetivos do monitoramento e definir uma metodologia de análise. Termos-chave como Monitoramento de Segurança de Rede (NSM), Diagnóstico e Mitigação Contínuos (CDM) e Monitoramento de Segurança Contínuo (CSM) podem causar confusão, e garantiremos que esses termos sejam entendidos, permitindo que o profissional de segurança guie uma organização no uso as melhores práticas. Falando em boas práticas, daremos ênfase ao monitoramento contínuo dos Controles Críticos de Segurança.
• A habilitação do monitoramento contínuo será estudada desenvolvendo um modelo para empregar NSM robusto. Isso permitirá que uma organização lide e compreenda os dados para permitir rapidamente a detecção de possíveis invasões ou ações não autorizadas.

SEC511.4: Arquitetura de Segurança de Endpoint

• Uma das características dos ataques modernos é a ênfase na exploração do lado do cliente. Os dias de invasão de redes por meio de ataques frontais diretos em servidores de e-mail, web ou DNS não corrigidos ficaram para trás. Devemos nos concentrar em mitigar o risco de comprometimento dos clientes. O quarto dia detalha as maneiras pelas quais os sistemas de endpoint podem ser mais resilientes a ataques e também aprimorar os recursos de detecção.

SEC511.5: Automação e Monitoramento Contínuo de Segurança

• O Network Security Monitoring (NSM) é o começo: precisamos não apenas detectar invasões ativas e ações não autorizadas, mas também saber quando nossos sistemas, redes e aplicativos estão com maior probabilidade de comprometimento. Uma maneira forte de conseguir isso é por meio do Monitoramento de Segurança Contínuo (CSM) ou Diagnóstico e Mitigação Contínuos (CDM). Em vez de esperar pelos resultados de uma verificação trimestral ou de um teste de penetração anual para determinar o que precisa ser resolvido, o monitoramento contínuo avalia e reavalia de forma proativa e repetida a postura de segurança atual quanto a possíveis pontos fracos que precisam ser resolvidos.
• O volume de dados que deve ser continuamente buscado e extraído é vasto: o objetivo do monitoramento contínuo estaria fora de alcance sem scripts e automação. Naturalmente, existem fornecedores e ferramentas para coçar essa coceira, mas eles serão incompletos e exigirão seus próprios cuidados, alimentação e monitoramento. O quinto dia descreve como realizar o monitoramento contínuo com ferramentas e scripts simples. Saber como criar scripts e automatizar é inútil, a menos que você saiba quais dados devem ser capturados e analisados ??continuamente. Mais uma vez, apoiando-nos nos Controles de Segurança Críticos, determinaremos alvos de alto valor para monitoramento contínuo em uma empresa.

SEC511.6: Capstone: Projetar, Detectar, Defender

• O curso culmina em um projeto baseado em equipe, detectar e defender a competição da bandeira. Desenvolvido por NetWars, o sexto dia oferece um dia inteiro de trabalho prático aplicando os princípios ensinados ao longo da semana.
• Sua equipe progredirá em vários níveis e missões projetadas para garantir o domínio das modernas técnicas de defesa cibernética promovidas durante toda a semana. Da arquitetura de segurança, monitoramento de segurança de rede, segurança de endpoint e monitoramento contínuo, este exercício desafiador reforçará os princípios-chave em um desafio divertido, prático e baseado em equipe.

• Noções básicas de protocolos e dispositivos de rede
• Experiência com Linux e Windows a partir da linha de comando

• Analisar uma arquitetura de segurança para deficiências
• Aplicar os princípios aprendidos no curso para projetar uma arquitetura de segurança defensável
• Compreender a importância de uma arquitetura de segurança dominante em detecção e Centros de Operações de Segurança (SOC)
• Identificar os principais componentes do Monitoramento de Segurança de Rede (NSM)/Diagnóstico e Mitigação Contínua (CDM)/Monitoramento Contínuo (CM)
• Determinar as necessidades de monitoramento de segurança apropriadas para organizações de todos os tamanhos
• Implementar monitoramento de segurança de rede robusto/monitoramento de segurança contínuo
• Determinar os recursos de monitoramento necessários para um ambiente SOC