النقطة العمياء في MDR: لماذا لا تزال التنبيهات الحرجة تتسرب، وماذا يكلف ذلك رؤساء أمن المعلومات

إن وعد الكشف والاستجابة المدارة (MDR) واضح: مراقبة أمنية على مدار الساعة طوال أيام الأسبوع من قبل خبراء، مما يخفف العبء الهائل لبناء وتوظيف مركز عمليات أمنية (SOC) داخلي. ومع ذلك، ظهر نمط مقلق من الحوادث، يكشف أنه حتى مع الاستثمارات الكبيرة في MDR، يتم تفويت التنبيهات الحرجة، مما يؤدي إلى اختراقات تستمر لأيام متعددة مع عواقب وخيمة. هذا ليس عيبًا معزولًا؛ إنه تحدٍ نظامي متجذر في الحجم الهائل والتعقيد للمشهد التهديدي الحديث.

ماذا حدث

السيناريو المتكرر متسق بشكل مقلق: تتعاقد منظمة مع مزود MDR للكشف عن التهديدات والاستجابة لها بشكل شامل. تبدأ الهجمات الأولية، مما يولد تنبيهات داخل البنية التحتية الأمنية. ومع ذلك، فإن هذه التنبيهات الحاسمة، التي تشير إلى المراحل المبكرة من الاختراق أو النشاط المستمر، إما لا يتم تصعيدها، أو يتم تخفيض أولويتها، أو ببساطة لا تتم مراجعتها. يواصل المهاجمون، دون عوائق، عملياتهم لأيام، وأحيانًا أسابيع، قبل أن يتم اكتشاف الاختراق أخيرًا، غالبًا من قبل طرف خارجي أو من خلال تأثير كارثي. يؤكد هذا النمط على فجوة حرجة في اليقظة المتوقعة على مدار الساعة طوال أيام الأسبوع لخدمات MDR.

تشير بعض التحليلات إلى أن جزءًا كبيرًا من التنبيهات قد لا يتم مراجعته في الشركات الكبيرة. يشير هذا إلى مشكلة أساسية كبيرة - سيل من بيانات تتبع الأمان التي يمكن أن تطغى حتى على العمليات البشرية المتطورة. عندما يتم التغاضي باستمرار عن التنبيهات المصممة للإشارة إلى اختراق، فإن فعالية إطار الكشف والاستجابة بأكمله تتعرض للخطر بشدة.

لماذا يتكرر هذا النمط

تُعزى ظاهرة التنبيهات المفقودة، لا سيما تلك التي تسمح باختراقات متعددة الأيام، إلى حد كبير إلى إرهاق التنبيهات. هذه ليست مشكلة بشرية فحسب؛ إنها مشكلة معمارية. ينشأ إرهاق التنبيهات من عدة عوامل مترابطة. أولاً، انتشار الأدوات: غالبًا ما تنشر المنظمات العديد من أدوات الأمان، يولد كل منها تدفقًا خاصًا به من التنبيهات، غالبًا بمعلومات متداخلة أو متناقضة. يؤدي هذا إلى ضجيج من الإشعارات التي يجب على محللي الأمن فرزها.

ثانيًا، القياس عن بعد والتنبيهات غير المفلترة: يتم تكوين العديد من الأنظمة لرمي شبكة واسعة، وجمع كميات هائلة من البيانات دون معالجة مسبقة أو تحديد أولويات كافية. يؤدي هذا إلى حجم كبير من التنبيهات منخفضة الدقة التي تُغرق الإشارات الحرجة حقًا. ومما يزيد الأمر تعقيدًا هو معدل الإيجابيات الكاذبة المرتفع، حيث تُصنف سلوكيات النظام المشروعة على أنها مشبوهة، مما يزيد من إزالة حساسية المحللين تجاه التهديدات الفعلية. العنصر البشري، على الرغم من أهميته، يمكن أن يصبح عنق الزجاجة عند مواجهة قائمة انتظار لا يمكن إدارتها من الإشعارات، مما يؤدي إلى تفويت التنبيهات الحرجة وتأخير الاستجابة للحوادث. يؤدي الإرهاق المتزايد ودوران الموظفين بين محللي الأمن بسبب هذا الضغط المستمر إلى تفاقم المشكلة.

خطة عمل المهاجم خطوة بخطوة

يدرك المهاجمون تمامًا هذه الثغرات الأمنية ويستغلونها بشكل منهجي. غالبًا ما تبدأ خطة عملهم بالوصول الأولي، باستخدام التصيد الاحتيالي، أو الثغرات الأمنية غير المصححة، أو بيانات الاعتماد المخترقة. بمجرد الدخول، يتحركون ببطء وعمد. قد تولد إجراءاتهم الأولية - الاستطلاع، أو تصعيد الامتيازات، أو تأسيس الاستمرارية - تنبيهات منخفضة الحجم أو غامضة، والتي، بشكل فردي، لا تصرخ "اختراق". ومع ذلك، فإن هذه التنبيهات التي تبدو غير ضارة، عند ربطها، ترسم صورة أوضح للنية الخبيثة.

مع العلم أن نسبة كبيرة من التنبيهات قد لا تتم مراجعتها، يمكن للمهاجمين العمل بدرجة معينة من الثقة بأن فحصهم الأولي وحركتهم الجانبية قد لا يؤديان إلى استجابة بشرية فورية ذات أولوية عالية. يستغلون التأخير بين إصدار التنبيه ومراجعته، مستخدمين هذه النافذة لتعميق موطئ قدمهم، أو سرقة البيانات تدريجياً، أو التحضير لمرحلة أكثر تأثيرًا، مثل نشر برامج الفدية. الاختراق متعدد الأيام ليس حادثًا؛ غالبًا ما يكون نتيجة للمهاجمين الذين يتنقلون بصبر بين الضجيج والحمل الزائد للتنبيهات المتأصلة في العديد من بيئات أمن المؤسسات.

ما فات المدافعين

المدافعون، أو بشكل أكثر دقة، خدمات MDR التي يعتمدون عليها، غالبًا ما يفوتهم الغابة من أجل الأشجار. الفشل الأساسي ليس بالضرورة نقصًا في تكنولوجيا الكشف، بل بالأحرى نقصًا في التحديد الفعال للأولويات والارتباط. قد توجد التنبيهات الفردية داخل النظام، لكن المحللين البشريين، المثقلين بإرهاق التنبيهات، إما يتجاهلونها أو يسيئون تفسير أهميتها المجمعة. يؤدي هذا إلى تفويت التنبيهات الحرجة، وبالتالي، تأخير الاستجابة للحوادث. الخطر هنا عميق: يمكن أن تؤدي الاستجابة المتأخرة إلى زيادة الأضرار وتكاليف الاختراق بشكل كبير، وتحويل حادث محتوي إلى أزمة شاملة.

تكمن المشكلة الأساسية في عدم القدرة على التمييز باستمرار بين الضوضاء الحميدة ومؤشرات التهديد الحقيقية على نطاق واسع وبسرعة. بينما تجمع MDR بين تكنولوجيا الكشف، ومعلومات التهديدات، والمحللين البشريين، يمكن أن يطغى العنصر البشري على الحجم الهائل. غالبًا ما يظل التركيز على التحليل التفاعلي للتنبيهات الفردية بدلاً من البحث الاستباقي عن أنماط خبيثة خفية ومترابطة قد تمتد لأيام أو أسابيع. يتيح ذلك للمهاجمين الحفاظ على التخفي وتحقيق أهدافهم على مدى فترة طويلة.

لقد أدى الحجم الهائل للتنبيهات الأمنية، التي غالبًا ما تكون غير مصنفة وغير ذات أولوية وعالية في الإيجابيات الكاذبة، إلى خلق ميزة استراتيجية غير مقصودة للمهاجمين الصبورين، مما حول وعد MDR على مدار الساعة طوال أيام الأسبوع إلى رد فعل متأخر في الممارسة.

قائمة مرجعية دفاعية عملية

للتخفيف من خطر التنبيهات المفقودة والاختراقات متعددة الأيام، يجب على رؤساء أمن المعلومات ومهندسي الأمن تنفيذ استراتيجية متعددة الجوانب:

• تحسين عتبات وقواعد التنبيه: مراجعة وتعديل تكوينات أدوات الأمان باستمرار لتقليل الإيجابيات الكاذبة ورفع نسبة الإشارة إلى الضوضاء للتنبيهات. التركيز على مؤشرات الاختراق عالية الدقة.
• تنفيذ أطر عمل قوية لتحديد أولويات التنبيهات: تطوير وتطبيق أنظمة واضحة ومؤتمتة لتحديد الأولويات تصعد التنبيهات الحرجة حقًا بناءً على السياق، وأهمية الأصول، ومعلومات التهديدات.
• تجميع ودمج بيانات تتبع الأمان: العمل نحو رؤية موحدة لبيانات الأمان، ودمج التنبيهات من مختلف الأدوات في SIEM مركزي أو بحيرة بيانات لتمكين الارتباط عبر الأنظمة الأساسية.
• اختبار فعالية MDR بانتظام: إجراء اختبارات اختراق واقعية ودورية وتمارين الفريق الأحمر المصممة خصيصًا لإطلاق التنبيهات وتقييم قدرات الكشف والاستجابة لمزود MDR.
• التركيز على التحليلات السلوكية: تجاوز الكشف القائم على التوقيعات للاستفادة من التحليلات السلوكية التي يمكنها تحديد نشاط المستخدم أو النظام الشاذ الذي يشير إلى تهديدات متقدمة، حتى مع التنبيهات منخفضة الحجم.
• تعزيز قدرات البحث عن التهديدات: استكمال الكشف التلقائي بالبحث الاستباقي عن التهديدات بقيادة بشرية للكشف عن مؤشرات الاختراق الخفية التي قد تتجاوز الأنظمة التلقائية.
• إنشاء بروتوكولات اتصال واضحة مع MDR: تحديد اتفاقيات مستوى الخدمة (SLAs) صارمة لمراجعة التنبيهات والاستجابة لها، وضمان مسارات تصعيد سريعة للحوادث الحرجة وحلقات تغذية راجعة واضحة للتحسين المستمر.

كيف كان من الممكن أن يكتشف الاختبار الهجومي الحديث هذا

تسلط المشكلة المستمرة للتنبيهات المفقودة الضوء على الحاجة الملحة للتحقق الاستباقي من ضوابط الأمان. هذا هو المكان الذي يصبح فيه الاختبار الهجومي الحديث، لا سيما الاختبار الهجومي المستقل مع إثباتات المفهوم (PoCs) القابلة للتنفيذ، لا غنى عنه. اختبار الاختراق التقليدي، على الرغم من قيمته، يقدم لقطة في الوقت المناسب. ما هو مطلوب هو اختبار مستمر ومتكيف يعكس منهجيات المهاجمين في العالم الحقيقي.

يمكن للمنصات التي تجري اختبارًا هجوميًا مستقلاً باستخدام PoCs القابلة للتنفيذ معالجة هذا الأمر بشكل مباشر. بدلاً من مجرد محاكاة هجوم، فإنها تنفذ تقنيات هجومية واقعية ضد دفاعات المنظمة، بما في ذلك خدمة MDR الخاصة بها. ستولد عملية التحقق المستمرة هذه التنبيهات التي يطلقها المهاجمون عادةً. من خلال مراقبة ما إذا كانت هذه التنبيهات الناتجة عن PoC القابلة للتنفيذ يتم اكتشافها وتحديد أولوياتها والتصرف بناءً عليها من قبل مزود MDR في غضون أطر زمنية مقبولة، يمكن للمؤسسات الحصول على رؤى في الوقت الفعلي حول النقاط العمياء المحتملة. يختبر هذا النهج بشكل فعال سلسلة الكشف والاستجابة بأكملها، ويحدد الأماكن التي يتم فيها تفويت التنبيهات أو التعامل معها بشكل خاطئ قبل أن يستغل خصم حقيقي نقاط الضعف هذه.

ما يجب مراقبته لاحقًا

يتطور مشهد الأمن السيبراني بسرعة، مع تبني كل من المهاجمين والمدافعين للذكاء الاصطناعي. سيؤثر هذا السباق التسليحي بلا شك على خدمات MDR. سلطت المناقشات الأخيرة في الصناعة الضوء على الحاجة إلى "إعادة التفكير في MDR مع تبني المهاجمين والمدافعين للذكاء الاصطناعي". مع تزايد انتشار الأدوات التي تعمل بالذكاء الاصطناعي لكل من الهجوم والدفاع، سيزداد حجم التنبيهات وتعقيدها فقط. يدمج مزودو MDR بالفعل الدعم المدعوم بالذكاء الاصطناعي لتعزيز قدراتهم، لكن التحدي الأساسي المتمثل في فرز كميات هائلة من البيانات وتحديد التهديدات الحقيقية سيظل قائمًا.

يجب على رؤساء أمن المعلومات مراقبة كيفية دمج مزودي MDR للذكاء الاصطناعي ليس فقط لتوليد التنبيهات، ولكن لربط التنبيهات الذكي، وتحديد الأولويات، والاستجابة الأولية التلقائية. من المرجح أن يعتمد مستقبل MDR الفعال على قدرته على الاستفادة من الذكاء الاصطناعي لتقليل الضوضاء، وتمكين المحللين البشريين من التركيز على التهديدات الأكثر أهمية وعالية الدقة. سيصبح التحقق المستمر من خلال الاختبار الهجومي المستقل أكثر أهمية لضمان أن هذه الدفاعات المتطورة التي تعتمد على الذكاء الاصطناعي فعالة حقًا ضد مشهد التهديدات المتطور بنفس القدر.