ESET breidt zijn Threat Intelligence-aanbod uit met Investigation Lab. Securityanalisten kunnen met deze dienst indicatoren en verdachte bestanden laten controleren tegen ESET-telemetrie en dreigingsinformatie. De dienst combineert IOC-zoekopdrachten met sandboxanalyse en richt zich op SOC’s, CERT’s en MSSP’s. Toegang loopt via het ESET TI-portaal en een API.
ESET presenteert Threat Intelligence Investigation Lab als een tweede oordeel voor analisten die verdachte activiteit moeten beoordelen. De dienst bouwt voort op telemetrie en dreigingsinformatie die het bedrijf zelf verzamelt. ESET stelt dat analisten hiermee beter onderbouwde beslissingen kunnen nemen en sneller kunnen bepalen welke incidenten directe aandacht vragen.
Roman Kováč, Chief Research Officer bij ESET, geeft aan dat beveiligingsteams dagelijks verdachte bestanden en indicatoren van mogelijke aanvallen tegenkomen. Ze moeten volgens hem snel vaststellen wat er speelt, met aandacht voor privacy. Kováč stelt dat Investigation Lab zich op drie vragen richt: is iets gevaarlijk, waar is de dreiging eerder gezien en wat is de volgende stap. Volgens Kováč maakt de dienst de telemetriegegevens van ESET toegankelijker voor klanten en voegt hij informatie toe over het gedrag van mogelijke dreigingen. Op basis daarvan kunnen teams bepalen of ze een dreiging blokkeren, verder onderzoeken, escaleren of een melding afsluiten.
Componenten uit bestaande producten
Investigation Lab combineert technologie uit verschillende onderdelen van ESET. De dienst gebruikt inzichten uit ESET LiveGuard Advanced, de module voor gedragsmonitoring binnen ESET PROTECT. Daarnaast put de dienst volgens het bedrijf uit de kennis van ESET Research en de eigen Threat Intelligence- en MDR-teams.
IOC Search en Sample Submission
De dienst bestaat uit twee functies die binnen één werkwijze samenkomen. Met IOC Search controleer je IP-adressen, URL’s, bestandshashes en domeinen. ESET vergelijkt deze gegevens met zijn eigen geselecteerde telemetrie en dreigingsinformatie.
Met Sample Submission lever je verdachte bestanden aan voor analyse. ESET voert die bestanden uit in een sandbox, een afgeschermde omgeving, en analyseert het gedrag dat ze daar vertonen. De resultaten verschijnen in rapporten waarmee analisten volgens het bedrijf direct aan de slag kunnen.
ESET beoogt met de combinatie van beide functies de stap van een eerste controle naar een vervolgactie te verkorten. Als mogelijke vervolgstappen noemt het bedrijf het verzamelen van aanvullende informatie, het blokkeren van dreigingen, het isoleren van getroffen systemen, verder onderzoek of het afsluiten van een incident.
Doelgroep en integratie
ESET richt Investigation Lab op Security Operations Centers (SOC’s) van grote organisaties, overheidsinstellingen, Computer Emergency Response Teams (CERT’s) en Managed Security Service Providers (MSSP’s). Het bedrijf meldt dat de dienst aansluit op bestaande oplossingen voor Cyber Threat Intelligence, zonder dat ingrijpende aanpassingen aan bestaande SOC-processen nodig zijn.
De dienst is als afzonderlijk onderdeel af te nemen binnen het ESET Threat Intelligence-aanbod. Gebruik verloopt via het ESET TI-portaal of via een API, waarmee andere systemen automatisch informatie met de dienst kunnen uitwisselen. Over prijzen en licentievormen vermeldt het bedrijf in de aankondiging niets.
