System Ochrony Stacji i Serwerów EDR dla Wojskowej Akademii Technicznej

Wojskowa Akademia Techniczna (WAT) to największa uczelnia wojskowo-cywilna w Polsce, nadzorowana przez Ministra Obrony Narodowej. Jako otwarty uniwersytet techniczny kształci przyszłych oficerów, dowódców, ekspertów technicznych dla Wojska Polskiego oraz przygotowuje cywilne kadry dla gospodarki narodowej. Proces dydaktyczny w WAT realizuje osiem wydziałów akademickich: Bezpieczeństwa, Logistyki i Zarządzania, Cybernetyki, Elektroniki, Inżynierii Lądowej i Geodezji, Inżynierii Mechanicznej, Mechatroniki, Uzbrojenia i Lotnictwa, Nowych Technologii i Chemii oraz Instytut Optoelektroniki.

W ofercie dydaktycznej uczelni znajdują się: jednolite studia magisterskie, studia pierwszego stopnia (inżynierskie i licencjackie), studia drugiego stopnia (magisterskie), studia podyplomowe, studia MBA oraz kursy i szkolenia. Kształcenie odbywa się na kierunkach, takich jak m.in.: budownictwo, chemia,  elektronika i telekomunikacja, energetyka, informatyka, kryptologia i cyberbezpieczeństwo, inżynieria kosmiczna i satelitarna, mechanika i budowa maszyn, mechatronika, technologie przełomowe, logistyka, bezpieczeństwo narodowe oraz obronność państwa.

Funkcjonująca od 1951 r. Akademia jest ważnym ośrodkiem badań naukowych, prowadzi innowacyjne projekty i prace wdrożeniowe, szczególnie w zakresie technologii wojskowych, bezpieczeństwa i obronności oraz cyberbezpieczeństwa. Naukowcy WAT uczestniczą w projektach badawczych NATO, Unii Europejskiej, Europejskiej Agencji Obrony i Europejskiej Agencji Kosmicznej.

Podstawowym wyzwaniem, przed jakim stała Wojskowa Akademia Techniczna, było pogodzenie trzech potrzeb zidentyfikowanych przez Zespół ds. Cyberbezpieczeństwa:

• Zwiększenie ochrony stacji roboczych i serwerów poprzez zastosowanie systemu zdolnego do odparcia nie tylko znanych ataków, ale także tych najbardziej zaawansowanych, w tym wykorzystujących nieznane próbki złośliwego oprogramowania (Malware), techniki wykorzystujące wbudowane w system operacyjny narzędzia systemowe (Living of the Land), ataki bezplikowe, czy w całości operujące w pamięci procesów.
• Minimalizacja fałszywych alarmów (False Positive), które w obecnym systemie powodowały nadmierne obciążenie dla zespołu analityków i utrudniały skupienie się na analizie rzeczywistych incydentów.
• Implementacja systemu w pełnym trybie zainstalowanym w infrastrukturze WAT (on-premise), bez przesyłania jakichkolwiek danych poza infrastrukturę WAT, z zachowaniem pełni funkcjonalności systemu, bez zależności od zasobów chmury publicznej.

Wyznacznikiem skuteczności rozwiązania były wyniki ewaluacji systemów klasy Endpoint Detection and Response (EDR) realizowanych przez niezależną organizację MITRE Engenuity, co pozwoliło na zweryfikowanie, jak potencjalne systemy radzą sobie w szerokim spektrum Taktyk, Technik i Procedur (TTP), stosowanych przez grupy specjalizujące się w ukierunkowanych atakach motywowanych politycznie lub finansowo.

Implementacja systemu była realizowana w ścisłej współpracy i pełnym zaangażowaniu pracowników Zespołu ds. Cyberbezpieczeństwa WAT. Środowisko zarządzania zostało uruchomione w formie kilku wirtualnych serwerów zlokalizowanych w infrastrukturze WAT, co pozwoliło błyskawicznie przejść do etapu dystrybucji sensorów. Już po 3 tygodniach uzyskano pokrycie ponad 2000 stacji. Ogromną zaletą systemu Cybereason, która znacząco przyspieszyła wdrożenie, była możliwość współistnienia z obecną ochroną antymalware, aż do uzyskania finalnej polityki ochrony stacji roboczych i serwerów.

✅ DRASTYCZNE OBNIŻENIE LICZBY DOSTARCZANYCH ALERTÓW

W porównaniu do systemów pierwotnie używanych przez WAT, Cybereason generuje kilkaset razy mniej incydentów. Dzięki unikalnemu podejściu, incydenty, którymi operator systemu powinien się zająć, są prezentowane w formie MalOp (Malicious Operation), czyli zagregowanej informacji o wystąpieniu tego incydentu na wielu stacjach roboczych lub użytkownikach, wraz z osią czasu odzwierciedlającą moment wystąpienia pojedynczych zdarzeń. Przejrzysta reprezentacja MalOp pozwala operatorom na szybką ocenę zakresu incydentu, jego przyczyny źródłowej oraz ewentualne zaaplikowanie akcji remediacyjnych na wszystkich stacjach objętych incydentem jednocześnie.

✅ WYSOKA SKUTECZNOŚĆ BEZ FAŁSZYWYCH ZDARZEŃ

Zespół ds. Cyberbezpieczeństwa WAT docenia również wysoką skuteczność rozwiązania Cybereason w stosunku do liczby incydentów False Positive. System wymaga reakcji od operatora jedynie w pojedynczych sytuacjach, gdy zgromadzone metadane z aktywności nie dają pewności co do intencji. Takie podejście pozwala operatorom systemu na skupieniu się tylko na tych incydentach, które faktycznie wymagają reakcji specjalisty. Pozostałe incydenty są rozstrzygane i blokowane przez system Cybereason automatycznie.