Maskinassistert analyse og åpne datamodeller for sikkerhetsmonitorering

Offentlig prosjektsammendrag

Sikkerhetsmonitorering i IT-systemer er i konstant endring, og er et kappløp der utviklingen av angrepsteknikker og kunnskap om målenes IT-systemer, står mot analytikeres evne til å se, forstå og reagere på sikkerhetstrusler. Analytikere er raskt i ferd med å drukne i mengden observasjoner og tilgjengelige data - svært mange observasjoner kan være en mulig trussel, og svært mye data kan være relevant for å bekrefte eller avkrefte trusselen. Hvordan skal analytikere klare å holde hodet over vannet? Dette prosjektet søker å løse disse utfordringene ved automatisering - av innhenting av data, parsing og datauttrekk, sammenstilling av flere dataelementer, og om mulig også beregning av sannsynlighet basert på tidligere erfaringer. Dette vil gi analytiker mer ferdige datasett å jobbe på, og fristiller mye tid fra analytiker til å gjøre de viktige vurderingene som maskinassistert analyse ikke kan gjøre. Å bygge et slikt system er i utgangspunktet en omfattende oppgave, men det ville risikere å være utdatert lenge før det ble ferdig. Den kontinuerlige endringen av trusselbildet og teknikkene som er i bruk, gjør at løsningen må kunne bygges om i fart for kontinuerlig å kunne prøve ut nye analysemetoder, verktøy og algoritmer, og hurtig bringe disse inn i ordinær drift for å bedre deteksjonsevnen. Dette prosjektet dreier seg også om utviklingen av analysegrensesnittet for å gi analytiker best mulig oversikt over enkeltresultater, sammenhengen mellom resultater, og visualiseringen av store datasett for oversikt. Sikkerhetstrusselen blir ikke borte av at den oppdages. En voksende utfordring er at tiden fra deteksjon og varsling til korrekt respons er for lang, slik at trusselen rekker å bli til et sikkerhetsbrudd, med langt større konsekvenser enn nødvendig. Vi vil derfor tilrettelegge for mer automatisert respons ved oppdagede sikkerhetsbrudd, for å sikre korrekt og tidsnok reaksjon.