Obveščanje o grožnjah: Obvladovanje analize kazalnikov ogroženosti za proaktivno obrambo

V današnjem dinamičnem kibernetskovarnostnem okolju se organizacije soočajo z nenehnim valom sofisticiranih groženj. Proaktivna obramba ni več razkošje; je nuja. Temelj proaktivne obrambe je učinkovito obveščanje o grožnjah, v središču katerega je analiza kazalnikov ogroženosti (Indicators of Compromise - IOC). Ta vodnik ponuja celovit pregled analize IOC, ki zajema njen pomen, metodologije, orodja in najboljše prakse za organizacije vseh velikosti, ki delujejo po vsem svetu.

Kaj so kazalniki ogroženosti (IOC)?

Kazalniki ogroženosti (IOC) so forenzični artefakti, ki identificirajo potencialno zlonamerno ali sumljivo dejavnost na sistemu ali v omrežju. Služijo kot namigi, da je bil sistem ogrožen ali da obstaja tveganje za ogroženost. Te artefakte je mogoče opazovati neposredno na sistemu (na osnovi gostitelja) ali znotraj omrežnega prometa.

Pogosti primeri IOC vključujejo:

Zgoščene vrednosti datotek (MD5, SHA-1, SHA-256): Edinstveni prstni odtisi datotek, ki se pogosto uporabljajo za identifikacijo znanih vzorcev zlonamerne programske opreme. Na primer, določena različica izsiljevalske programske opreme ima lahko enako zgoščeno vrednost SHA-256 na različnih okuženih sistemih, ne glede na geografsko lokacijo.
IP naslovi: IP naslovi, za katere je znano, da so povezani z zlonamerno dejavnostjo, kot so strežniki za poveljevanje in nadzor ali kampanje lažnega predstavljanja. Pomislite na strežnik v državi, znani po gostovanju botnet dejavnosti, ki dosledno komunicira z notranjimi napravami.
Imena domen: Imena domen, ki se uporabljajo pri napadih z lažnim predstavljanjem, distribuciji zlonamerne programske opreme ali infrastrukturi za poveljevanje in nadzor. Na primer, na novo registrirana domena z imenom, podobnim legitimni banki, ki se uporablja za gostovanje lažne strani za prijavo, usmerjene na uporabnike v več državah.
URL-ji: Enotni lokatorji virov (URL), ki kažejo na zlonamerno vsebino, kot so prenosi zlonamerne programske opreme ali spletna mesta za lažno predstavljanje. URL, skrajšan prek storitve, kot je Bitly, ki preusmerja na lažno stran z računom, ki zahteva poverilnice od uporabnikov po Evropi.
E-poštni naslovi: E-poštni naslovi, ki se uporabljajo za pošiljanje e-pošte z lažnim predstavljanjem ali neželene pošte. E-poštni naslov, ki se lažno predstavlja kot znani vodstveni delavec v multinacionalnem podjetju in se uporablja za pošiljanje zlonamernih priponk zaposlenim.
Registrski ključi: Specifični registrski ključi, ki jih zlonamerna programska oprema spremeni ali ustvari. Registrski ključ, ki ob zagonu sistema samodejno zažene zlonamerni skript.
Imena datotek in poti: Imena datotek in poti, ki jih zlonamerna programska oprema uporablja za skrivanje ali izvajanje svoje kode. Datoteka z imenom "svchost.exe", ki se nahaja v nenavadnem imeniku (npr. v uporabnikovi mapi "Prenosi"), lahko kaže na zlonamernega vsiljivca.
Nizi uporabniškega agenta: Specifični nizi uporabniškega agenta, ki jih uporablja zlonamerna programska oprema ali botneti, kar omogoča odkrivanje nenavadnih vzorcev prometa.
Imena MutEx: Edinstveni identifikatorji, ki jih uporablja zlonamerna programska oprema, da prepreči hkratno izvajanje več primerkov.
Pravila YARA: Pravila, napisana za odkrivanje specifičnih vzorcev znotraj datotek ali pomnilnika, ki se pogosto uporabljajo za identifikacijo družin zlonamerne programske opreme ali specifičnih tehnik napada.

Zakaj je analiza IOC pomembna?

Analiza IOC je ključnega pomena iz več razlogov:

Proaktivni lov na grožnje: Z aktivnim iskanjem IOC-jev v vašem okolju lahko prepoznate obstoječe ogroženosti, preden povzročijo večjo škodo. To je premik od reaktivnega odzivanja na incidente k proaktivni varnostni drži. Na primer, organizacija lahko uporabi vire obveščanja o grožnjah za identifikacijo IP naslovov, povezanih z izsiljevalsko programsko opremo, in nato proaktivno pregleda svoje omrežje za povezave s temi IP naslovi.
Izboljšano odkrivanje groženj: Vključevanje IOC-jev v vaše sisteme za upravljanje varnostnih informacij in dogodkov (SIEM), sisteme za odkrivanje/preprečevanje vdorov (IDS/IPS) in rešitve za odkrivanje in odzivanje na končnih točkah (EDR) izboljša njihovo sposobnost odkrivanja zlonamerne dejavnosti. To pomeni hitrejša in natančnejša opozorila, kar varnostnim ekipam omogoča hiter odziv na potencialne grožnje.
Hitrejši odziv na incidente: Ko pride do incidenta, IOC-ji zagotavljajo dragocene namige za razumevanje obsega in vpliva napada. Pomagajo lahko pri identifikaciji prizadetih sistemov, določanju taktik, tehnik in postopkov (TTP) napadalca ter pospešijo proces omejevanja in izkoreninjenja.
Izboljšano obveščanje o grožnjah: Z analizo IOC-jev lahko pridobite globlje razumevanje pokrajine groženj in specifičnih groženj, ki ciljajo na vašo organizacijo. Te informacije se lahko uporabijo za izboljšanje vaše varnostne obrambe, usposabljanje zaposlenih in oblikovanje vaše celotne strategije kibernetske varnosti.
Učinkovita razporeditev virov: Analiza IOC lahko pomaga pri določanju prednosti varnostnih prizadevanj z osredotočanjem na najpomembnejše in kritične grožnje. Namesto da bi lovili vsako opozorilo, se lahko varnostne ekipe osredotočijo na preiskovanje incidentov, ki vključujejo visoko zanesljive IOC-je, povezane z znanimi grožnjami.

Postopek analize IOC: Vodnik po korakih

Postopek analize IOC običajno vključuje naslednje korake:

1. Zbiranje IOC-jev

Prvi korak je zbiranje IOC-jev iz različnih virov. Ti viri so lahko notranji ali zunanji.

Viri obveščanja o grožnjah: Komercialni in odprtokodni viri obveščanja o grožnjah zagotavljajo urejene sezname IOC-jev, povezanih z znanimi grožnjami. Primeri vključujejo vire ponudnikov kibernetske varnosti, vladnih agencij ter panožnih centrov za izmenjavo in analizo informacij (ISAC). Pri izbiri vira obveščanja o grožnjah upoštevajte geografsko relevantnost za vašo organizacijo. Vir, ki se osredotoča izključno na grožnje, ki ciljajo na Severno Ameriko, je morda manj koristen za organizacijo, ki deluje predvsem v Aziji.
Sistemi za upravljanje varnostnih informacij in dogodkov (SIEM): Sistemi SIEM zbirajo varnostne dnevnike iz različnih virov in zagotavljajo centralizirano platformo za odkrivanje in analizo sumljive dejavnosti. Sisteme SIEM je mogoče konfigurirati za samodejno generiranje IOC-jev na podlagi odkritih anomalij ali znanih vzorcev groženj.
Preiskave odzivanja na incidente: Med preiskavami odzivanja na incidente analitiki identificirajo IOC-je, povezane s specifičnim napadom. Te IOC-je je mogoče nato uporabiti za proaktivno iskanje podobnih ogroženosti znotraj organizacije.
Pregledi ranljivosti: Pregledi ranljivosti identificirajo slabosti v sistemih in aplikacijah, ki bi jih napadalci lahko izkoristili. Rezultate teh pregledov je mogoče uporabiti za identifikacijo potencialnih IOC-jev, kot so sistemi z zastarelo programsko opremo ali napačno konfiguriranimi varnostnimi nastavitvami.
Vabe (honeypots) in tehnologija zavajanja: Vabe so sistemi vabe, zasnovani za privabljanje napadalcev. S spremljanjem dejavnosti na vabah lahko analitiki identificirajo nove IOC-je in pridobijo vpogled v taktike napadalcev.
Analiza zlonamerne programske opreme: Analiza vzorcev zlonamerne programske opreme lahko razkrije dragocene IOC-je, kot so naslovi strežnikov za poveljevanje in nadzor, imena domen in poti do datotek. Ta postopek pogosto vključuje tako statično analizo (pregledovanje kode zlonamerne programske opreme brez njenega izvajanja) kot dinamično analizo (izvajanje zlonamerne programske opreme v nadzorovanem okolju). Na primer, analiza bančnega trojanca, ki cilja na evropske uporabnike, lahko razkrije specifične URL-je bančnih spletnih mest, ki se uporabljajo v kampanjah lažnega predstavljanja.
Obveščanje iz odprtih virov (OSINT): OSINT vključuje zbiranje informacij iz javno dostopnih virov, kot so družbeni mediji, novičarski članki in spletni forumi. Te informacije je mogoče uporabiti za identifikacijo potencialnih groženj in povezanih IOC-jev. Na primer, spremljanje družbenih medijev za omembe specifičnih različic izsiljevalske programske opreme ali kršitev podatkov lahko zagotovi zgodnja opozorila o potencialnih napadih.

2. Preverjanje IOC-jev

Niso vsi IOC-ji enaki. Ključnega pomena je, da IOC-je preverite, preden jih uporabite za lov na grožnje ali odkrivanje. To vključuje preverjanje točnosti in zanesljivosti IOC-ja ter oceno njegove relevantnosti za profil groženj vaše organizacije.

Navzkrižno preverjanje z več viri: Potrdite IOC z več uglednimi viri. Če en sam vir obveščanja o grožnjah poroča, da je IP naslov zlonameren, preverite te informacije z drugimi viri obveščanja o grožnjah in platformami za varnostno obveščanje.
Ocenjevanje ugleda vira: Ocenite verodostojnost in zanesljivost vira, ki zagotavlja IOC. Upoštevajte dejavnike, kot so zgodovina vira, strokovno znanje in preglednost.
Preverjanje lažno pozitivnih rezultatov: Preizkusite IOC na majhnem podnaboru vašega okolja, da zagotovite, da ne ustvarja lažno pozitivnih rezultatov. Na primer, preden blokirate IP naslov, preverite, ali ne gre za legitimno storitev, ki jo uporablja vaša organizacija.
Analiziranje konteksta: Razumejte kontekst, v katerem je bil IOC opažen. Upoštevajte dejavnike, kot so vrsta napada, ciljna industrija in TTP-ji napadalca. IOC, povezan z državno sponzoriranim akterjem, ki cilja na kritično infrastrukturo, je lahko bolj relevanten za vladno agencijo kot za majhno maloprodajno podjetje.
Upoštevanje starosti IOC-ja: IOC-ji lahko sčasoma postanejo zastareli. Zagotovite, da je IOC še vedno relevanten in ga niso nadomestile novejše informacije. Starejši IOC-ji lahko predstavljajo zastarelo infrastrukturo ali taktike.

3. Določanje prednosti IOC-jev

Glede na ogromno količino razpoložljivih IOC-jev je bistveno, da jih razvrstite po prednosti glede na njihov potencialni vpliv na vašo organizacijo. To vključuje upoštevanje dejavnikov, kot so resnost grožnje, verjetnost napada in kritičnost prizadetih sredstev.

Resnost grožnje: Dajte prednost IOC-jem, povezanim z visoko resnimi grožnjami, kot so izsiljevalska programska oprema, kršitve podatkov in izkoriščanja ničelnega dne. Te grožnje lahko pomembno vplivajo na delovanje, ugled in finančno stanje vaše organizacije.
Verjetnost napada: Ocenite verjetnost napada na podlagi dejavnikov, kot so industrija vaše organizacije, geografska lokacija in varnostna drža. Organizacije v visoko ciljanih panogah, kot sta finance in zdravstvo, se lahko soočajo z večjim tveganjem napada.
Kritičnost prizadetih sredstev: Dajte prednost IOC-jem, ki vplivajo na kritična sredstva, kot so strežniki, baze podatkov in omrežna infrastruktura. Ta sredstva so bistvena za delovanje vaše organizacije in njihova ogroženost bi lahko imela uničujoč vpliv.
Uporaba sistemov za točkovanje groženj: Uvedite sistem za točkovanje groženj za samodejno določanje prednosti IOC-jev na podlagi različnih dejavnikov. Ti sistemi običajno dodelijo točke IOC-jem na podlagi njihove resnosti, verjetnosti in kritičnosti, kar varnostnim ekipam omogoča, da se osredotočijo na najpomembnejše grožnje.
Usklajevanje z okvirom MITRE ATT&CK: Povežite IOC-je s specifičnimi taktikami, tehnikami in postopki (TTP) znotraj okvira MITRE ATT&CK. To zagotavlja dragocen kontekst za razumevanje obnašanja napadalca in določanje prednosti IOC-jev na podlagi zmožnosti in ciljev napadalca.

4. Analiziranje IOC-jev

Naslednji korak je analiziranje IOC-jev za globlje razumevanje grožnje. To vključuje preučevanje značilnosti, izvora in odnosov IOC-ja z drugimi IOC-ji. Ta analiza lahko zagotovi dragocene vpoglede v motivacijo, zmožnosti in strategije ciljanja napadalca.

Vzvratni inženiring zlonamerne programske opreme: Če je IOC povezan z vzorcem zlonamerne programske opreme, lahko vzvratni inženiring zlonamerne programske opreme razkrije dragocene informacije o njeni funkcionalnosti, komunikacijskih protokolih in mehanizmih ciljanja. Te informacije je mogoče uporabiti za razvoj učinkovitejših strategij odkrivanja in blaženja.
Analiziranje omrežnega prometa: Analiziranje omrežnega prometa, povezanega z IOC-jem, lahko razkrije informacije o infrastrukturi napadalca, komunikacijskih vzorcih in metodah eksfiltracije podatkov. Ta analiza lahko pomaga pri identifikaciji drugih ogroženih sistemov in motenju operacij napadalca.
Preiskovanje dnevniških datotek: Preučevanje dnevniških datotek iz različnih sistemov in aplikacij lahko zagotovi dragocen kontekst za razumevanje dejavnosti in vpliva IOC-ja. Ta analiza lahko pomaga pri identifikaciji prizadetih uporabnikov, sistemov in podatkov.
Uporaba platform za obveščanje o grožnjah (TIP): Platforme za obveščanje o grožnjah (TIP) zagotavljajo centralizirano shrambo za shranjevanje, analiziranje in deljenje podatkov o grožnjah. TIP-i lahko avtomatizirajo številne vidike postopka analize IOC, kot so preverjanje, določanje prednosti in obogatitev IOC-jev.
Obogatitev IOC-jev s kontekstualnimi informacijami: Obogatite IOC-je s kontekstualnimi informacijami iz različnih virov, kot so zapisi whois, zapisi DNS in podatki o geolokaciji. Te informacije lahko zagotovijo dragocene vpoglede v izvor, namen in odnose IOC-ja z drugimi entitetami. Na primer, obogatitev IP naslova s podatki o geolokaciji lahko razkrije državo, kjer se strežnik nahaja, kar lahko kaže na izvor napadalca.

5. Izvajanje ukrepov za odkrivanje in blaženje

Ko ste analizirali IOC-je, lahko izvedete ukrepe za odkrivanje in blaženje, da zaščitite svojo organizacijo pred grožnjo. To lahko vključuje posodabljanje vaših varnostnih nadzorov, popravljanje ranljivosti in usposabljanje zaposlenih.

Posodabljanje varnostnih nadzorov: Posodobite svoje varnostne nadzore, kot so požarni zidovi, sistemi za odkrivanje/preprečevanje vdorov (IDS/IPS) in rešitve za odkrivanje in odzivanje na končnih točkah (EDR), z najnovejšimi IOC-ji. To bo tem sistemom omogočilo odkrivanje in blokiranje zlonamerne dejavnosti, povezane z IOC-ji.
Popravljanje ranljivosti: Popravite ranljivosti, odkrite med pregledi ranljivosti, da preprečite, da bi jih napadalci izkoristili. Dajte prednost popravljanju ranljivosti, ki jih napadalci aktivno izkoriščajo.
Usposabljanje zaposlenih: Usposobite zaposlene, da prepoznajo in se izogibajo e-pošti z lažnim predstavljanjem, zlonamernim spletnim mestom in drugim napadom socialnega inženiringa. Zagotovite redno usposabljanje o ozaveščenosti o varnosti, da bodo zaposleni seznanjeni z najnovejšimi grožnjami in najboljšimi praksami.
Izvajanje segmentacije omrežja: Segmentirajte svoje omrežje, da omejite vpliv morebitne kršitve. To vključuje delitev vašega omrežja na manjše, izolirane segmente, tako da če je en segment ogrožen, se napadalec ne more zlahka premakniti na druge segmente.
Uporaba večfaktorske avtentikacije (MFA): Uvedite večfaktorsko avtentikacijo (MFA) za zaščito uporabniških računov pred nepooblaščenim dostopom. MFA od uporabnikov zahteva, da pred dostopom do občutljivih sistemov in podatkov zagotovijo dva ali več oblik avtentikacije, kot sta geslo in enkratna koda.
Namestitev požarnih zidov za spletne aplikacije (WAF): Požarni zidovi za spletne aplikacije (WAF) ščitijo spletne aplikacije pred običajnimi napadi, kot sta SQL injekcija in skriptiranje med spletnimi mesti (XSS). WAF-e je mogoče konfigurirati za blokiranje zlonamernega prometa na podlagi znanih IOC-jev in vzorcev napadov.

6. Deljenje IOC-jev

Deljenje IOC-jev z drugimi organizacijami in širšo kibernetskovarnostno skupnostjo lahko pomaga izboljšati kolektivno obrambo in preprečiti prihodnje napade. To lahko vključuje deljenje IOC-jev s panožnimi ISAC-i, vladnimi agencijami in komercialnimi ponudniki obveščanja o grožnjah.

Pridružitev centrom za izmenjavo in analizo informacij (ISAC): ISAC-i so panožne organizacije, ki omogočajo izmenjavo podatkov o grožnjah med svojimi člani. Pridružitev ISAC-u lahko zagotovi dostop do dragocenih podatkov o grožnjah in priložnosti za sodelovanje z drugimi organizacijami v vaši panogi. Primeri vključujejo Finančne storitve ISAC (FS-ISAC) in Center za izmenjavo obveščevalnih podatkov o kibernetski varnosti v maloprodaji (R-CISC).
Uporaba standardiziranih formatov: Delite IOC-je z uporabo standardiziranih formatov, kot sta STIX (Structured Threat Information Expression) in TAXII (Trusted Automated eXchange of Indicator Information). To drugim organizacijam olajša porabo in obdelavo IOC-jev.
Anonimizacija podatkov: Pred deljenjem IOC-jev anonimizirajte vse občutljive podatke, kot so osebni identifikacijski podatki (PII), da zaščitite zasebnost posameznikov in organizacij.
Sodelovanje v programih za odkrivanje hroščev (Bug Bounty): Sodelujte v programih za odkrivanje hroščev, da spodbudite varnostne raziskovalce k identifikaciji in poročanju o ranljivostih v vaših sistemih in aplikacijah. To vam lahko pomaga pri identifikaciji in odpravljanju ranljivosti, preden jih izkoristijo napadalci.
Prispevanje k odprtokodnim platformam za obveščanje o grožnjah: Prispevajte k odprtokodnim platformam za obveščanje o grožnjah, kot je MISP (Malware Information Sharing Platform), da delite IOC-je s širšo kibernetskovarnostno skupnostjo.

Orodja za analizo IOC

Pri analizi IOC lahko pomaga vrsta orodij, od odprtokodnih pripomočkov do komercialnih platform:

SIEM (Upravljanje varnostnih informacij in dogodkov): Splunk, IBM QRadar, Microsoft Sentinel, Elastic Security
SOAR (Varnostna orkestracija, avtomatizacija in odzivanje): Swimlane, Palo Alto Networks Cortex XSOAR, Rapid7 InsightConnect
Platforme za obveščanje o grožnjah (TIP): Anomali ThreatStream, Recorded Future, ThreatQuotient
Peskovniki za analizo zlonamerne programske opreme: Any.Run, Cuckoo Sandbox, Joe Sandbox
Mehanizmi za pravila YARA: Yara, LOKI
Orodja za analizo omrežja: Wireshark, tcpdump, Zeek (prej Bro)
Odkrivanje in odzivanje na končnih točkah (EDR): CrowdStrike Falcon, SentinelOne, Microsoft Defender for Endpoint
Orodja OSINT: Shodan, Censys, Maltego

Najboljše prakse za učinkovito analizo IOC

Da bi povečali učinkovitost vašega programa za analizo IOC, upoštevajte te najboljše prakse:

Vzpostavite jasen postopek: Razvijte dobro opredeljen postopek za zbiranje, preverjanje, določanje prednosti, analiziranje in deljenje IOC-jev. Ta postopek mora biti dokumentiran in redno pregledovan, da se zagotovi njegova učinkovitost.
Avtomatizirajte, kjer je mogoče: Avtomatizirajte ponavljajoče se naloge, kot sta preverjanje in obogatitev IOC-jev, da izboljšate učinkovitost in zmanjšate človeške napake.
Uporabite različne vire: Zbirajte IOC-je iz različnih virov, tako notranjih kot zunanjih, da pridobite celovit pogled na pokrajino groženj.
Osredotočite se na visoko zanesljive IOC-je: Dajte prednost IOC-jem, ki so zelo specifični in zanesljivi, ter se izogibajte zanašanju na preveč splošne ali generične IOC-je.
Nenehno spremljajte in posodabljajte: Nenehno spremljajte svoje okolje za IOC-je in ustrezno posodabljajte svoje varnostne nadzore. Pokrajina groženj se nenehno razvija, zato je bistveno, da ste na tekočem z najnovejšimi grožnjami in IOC-ji.
Vključite IOC-je v vašo varnostno infrastrukturo: Vključite IOC-je v vaše rešitve SIEM, IDS/IPS in EDR, da izboljšate njihove zmožnosti odkrivanja.
Usposobite svojo varnostno ekipo: Zagotovite svoji varnostni ekipi potrebno usposabljanje in vire za učinkovito analiziranje in odzivanje na IOC-je.
Delite informacije: Delite IOC-je z drugimi organizacijami in širšo kibernetskovarnostno skupnostjo, da izboljšate kolektivno obrambo.
Redno pregledujte in izboljšujte: Redno pregledujte svoj program za analizo IOC in uvajajte izboljšave na podlagi svojih izkušenj in povratnih informacij.

Prihodnost analize IOC

Prihodnost analize IOC bodo verjetno oblikovali številni ključni trendi:

Povečana avtomatizacija: Umetna inteligenca (AI) in strojno učenje (ML) bosta igrala vse pomembnejšo vlogo pri avtomatizaciji nalog analize IOC, kot so preverjanje, določanje prednosti in obogatitev.
Izboljšano deljenje obveščevalnih podatkov o grožnjah: Deljenje podatkov o grožnjah bo postalo bolj avtomatizirano in standardizirano, kar bo organizacijam omogočilo učinkovitejše sodelovanje in obrambo pred grožnjami.
Bolj kontekstualizirano obveščanje o grožnjah: Obveščanje o grožnjah bo postalo bolj kontekstualizirano in bo organizacijam zagotavljalo globlje razumevanje motivacije, zmožnosti in strategij ciljanja napadalca.
Poudarek na analizi obnašanja: Večji poudarek bo na analizi obnašanja, ki vključuje identifikacijo zlonamerne dejavnosti na podlagi vzorcev obnašanja namesto specifičnih IOC-jev. To bo organizacijam pomagalo pri odkrivanju in odzivanju na nove in nastajajoče grožnje, ki morda niso povezane z znanimi IOC-ji.
Integracija s tehnologijo zavajanja: Analiza IOC bo vse bolj integrirana s tehnologijo zavajanja, ki vključuje ustvarjanje vab in pasti za privabljanje napadalcev in zbiranje obveščevalnih podatkov o njihovih taktikah.

Zaključek

Obvladovanje analize IOC je bistvenega pomena za organizacije, ki želijo zgraditi proaktivno in odporno kibernetskovarnostno držo. Z izvajanjem metodologij, orodij in najboljših praks, opisanih v tem vodniku, lahko organizacije učinkovito identificirajo, analizirajo in se odzivajo na grožnje, s čimer ščitijo svoja kritična sredstva in ohranjajo močno varnostno držo v nenehno spreminjajoči se pokrajini groženj. Ne pozabite, da je učinkovito obveščanje o grožnjah, vključno z analizo IOC, neprekinjen proces, ki zahteva nenehne naložbe in prilagajanje. Organizacije morajo biti obveščene o najnovejših grožnjah, izboljševati svoje procese in nenehno izboljševati svojo varnostno obrambo, da ostanejo korak pred napadalci.