عندما تفشل المراقبة: فك شفرة الاختراقات متعددة الأيام التي فوتتها MDR

يتحدد مشهد الأمن السيبراني بشكل متزايد بالسرعة والتخفي. ومع ذلك، ظهر نمط مقلق: الاختراقات التي تمر دون اكتشاف لعدة أيام، حتى مع وجود خدمات الكشف والاستجابة المدارة (MDR). لا يتعلق الأمر هنا بتنبيه واحد فائت؛ بل هو انهيار منهجي حيث تضيع مؤشرات التهديد الحرجة في الضوضاء، مما يؤدي إلى اختراق مطول وتضخيم للأضرار.

ماذا حدث

تتعرض المؤسسات، على الرغم من الاستثمارات الكبيرة في تقنيات الكشف، لاختراقات متعددة الأيام حيث يتم تفويت نشاط الاختراق الأولي بالكامل من قبل مزودي MDR. يسمح هذا الإغفال للمهاجمين بتأسيس الثبات، وسرقة البيانات، والتحرك جانبيًا عبر الشبكات قبل إطلاق أي إنذار. وغالبًا ما تنبع المشكلة الأساسية من حجم هائل من التنبيهات التي حتى الفرق الخبيرة تكافح لفرزها بفعالية.

تُبرز بعض الملاحظات حالات يتم فيها اكتشاف نشاط الاختراق وإيقافه، حتى عندما لا تكون حلول الأمان الأخرى قد حددته. وهذا يؤكد الاعتماد على خدمات الكشف المتقدمة لالتقاط ما لا تفعله الأدوات الأخرى، مما يجعل أي فشل في القيام بذلك حرجًا بشكل خاص. والهدف من هؤلاء المزودين هو ضمان المراقبة المستمرة للتهديدات لمنع الاختراقات من الاستمرار دون رادع حتى فوات الأوان.

لماذا يتكرر هذا النمط

السبب الجذري لهذا النمط المتكرر متعدد الأوجه، ولكن إرهاق التنبيهات يبرز كدافع أساسي. يغرق محللو مركز العمليات الأمنية (SOC) بآلاف الإشعارات يوميًا، مما يجعل من الصعب تحديد التهديدات الحقيقية. تتسارع هذه المشكلة، حيث يعمل الذكاء الاصطناعي على خفض الحاجز بشكل كبير أمام مجرمي الإنترنت لشن هجمات واسعة النطاق ومربكة.

تسمح حملات التصيد الاحتيالي التي يتم إنشاؤها بواسطة الذكاء الاصطناعي، وتطوير البرامج الضارة الآلي، والاستطلاع الذكي للمهاجمين بإنشاء المزيد من الأنشطة الضارة أكثر من أي وقت مضى. ومع زيادة حجم الهجمات، تزداد أيضًا التنبيهات التي تولدها أدوات الأمان التقليدية. وهذا يخلق موقفًا حيث تقضي فرق الأمان وقتًا أطول في فرز التنبيهات بدلاً من إيقاف الهجمات بنشاط، مما يجعل الحوادث الحرجة أسهل في التغاضي عنها.

إن الحجم الهائل للهجمات التي يولدها الذكاء الاصطناعي يربك آليات الكشف التقليدية، ويحول إدارة التنبيهات إلى مخاطر أعمال حرجة بدلاً من مجرد مخاطر تشغيلية.

خطة عمل المهاجم خطوة بخطوة

يستفيد المهاجمون من الذكاء الاصطناعي لأتمتة مراحل مختلفة من عملياتهم، مما يساهم في فيضان التنبيهات. أصبحت خطة عملهم أكثر تعقيدًا وحجمًا. ويشمل ذلك إنشاء رسائل بريد إلكتروني تصيدية مقنعة في ثوانٍ، وإنشاء متغيرات فريدة من البرامج الضارة للتهرب من اكتشاف التوقيعات، ومسح آلاف الأنظمة المواجهة للإنترنت في وقت واحد. كما يشنون هجمات على بيانات الاعتماد على نطاقات غير مسبوقة.

تعني هذه الأتمتة أن محاولات الوصول الأولية، التي قد تولد العديد من التنبيهات منخفضة الأولوية، غالبًا ما تكون مجرد مقدمات لاختراق أكبر. يمكن أن يحجب العدد الهائل من هذه المحاولات نقطة الدخول الناجحة، مما يسمح للمهاجم بتجاوز الاكتشاف الأولي وتأسيس موطئ قدم. وبمجرد الدخول، يمكنهم العمل بحرية نسبية حتى يؤدي مؤشر أكثر تحديدًا، غالبًا ما يكون متأخرًا جدًا، إلى بدء تحقيق.

ما فات المدافعين

يفوت المدافعون، حتى أولئك الذين يعتمدون على MDR، المؤشرات المبكرة الحرجة للاختراق. هذا ليس بالضرورة نقصًا في الأدوات، بل فشل في واجهة الإنسان والآلة. يهدف EDR المدار، على سبيل المثال، إلى إضافة طبقة من خبراء الأمن الذين يراقبون البيئات على مدار الساعة، ويحققون في كل تنبيه، ويستجيبون. ومع ذلك، إذا غمر هؤلاء الخبراء، تقل القيمة.

غالبًا ما يكون التغاضي الرئيسي هو عدم القدرة على تمييز الإشارات الحرجة عن الضوضاء الخلفية. بينما توجد تقنيات الكشف، فإن الحجم الهائل للتنبيهات، الذي يتفاقم بسبب الهجمات المدعومة بالذكاء الاصطناعي، يعني أن التهديدات الحقيقية يتم التغاضي عنها. وهذا يؤدي إلى موقف حيث لا يتم اكتشاف الاختراق إلا بعد أن يكون قد تقدم بشكل كبير، غالبًا بعد أيام من الدخول الأولي، عندما تكون الأضرار المحتملة أكبر بكثير.

قائمة مراجعة دفاعية عملية

لمواجهة هذا التهديد المتطور، يجب على مسؤولي أمن المعلومات (CISOs) ومهندسي الأمن إعادة تقييم وضعهم الدفاعي. يعد النهج الاستباقي الذي يركز على تقليل الضوضاء وتعزيز وضوح الإشارة ضروريًا:

• تطبيق آليات قوية لربط التنبيهات وتحديد الأولويات لتقليل عبء عمل المحللين.
• الاستفادة من خلاصات معلومات التهديدات لتوحيد سياق التنبيهات وتحديد تكتيكات المهاجمين المعروفة وتقنياتهم وإجراءاتهم (TTPs).
• مراجعة قواعد الكشف وتعديلها بانتظام لتقليل الإيجابيات الكاذبة ورفع مستوى التنبيهات الحرجة.
• إجراء تدريبات دورية للاستجابة للحوادث لتحسين كفاءة الفريق في حالات الضغط العالي.
• التأكد من أن مزودي MDR يوضحون منهجيات تحديد أولويات التنبيهات ومسارات التصعيد.
• الاستثمار في تحليلات السلوك المتقدمة للكشف عن الشذوذات التي قد تتجاوز الاكتشافات القائمة على التوقيعات.
• أتمتة مهام فرز التنبيهات الروتينية حيثما أمكن لتحرير وقت المحلل للتحقيقات المعقدة.

كيف كان من الممكن أن تكشف الاختبارات الهجومية الحديثة عن ذلك

تظهر طرق الاختبار الهجومي الحديثة كعناصر مكملة حاسمة للاستراتيجيات الدفاعية التقليدية، خاصة ضد الهجمات المتسارعة بالذكاء الاصطناعي. تتضمن هذه الأساليب غالبًا محاكاة مستمرة لسيناريوهات الهجوم في العالم الحقيقي، بما في ذلك تلك التي تستفيد من الذكاء الاصطناعي، ضد بيئة المؤسسة الحية. من خلال إطلاق تقنيات هجوم محاكاة بشكل مستقل، يمكن لهذه الأنظمة تحديد الثغرات في قدرات الكشف والاستجابة قبل أن يستغلها مهاجم حقيقي. يضمن هذا التحقق الاستباقي إنشاء التنبيهات وتحديد أولوياتها والتصرف بناءً عليها بشكل صحيح، مما يعالج بشكل مباشر إرهاق التنبيهات وأنماط التنبيهات الفائتة التي يمكن أن تؤثر على عمليات الأمان. ويوفر تقييمًا موضوعيًا ومستمرًا لما إذا كانت الإجراءات الأمنية فعالة حقًا أو ما إذا كانت تنبيهاتها تضيع.

ما يجب مراقبته لاحقًا

يجب أن تستعد صناعة الأمن السيبراني لتصاعد أكبر في تعقيد وحجم الهجمات المدعومة بالذكاء الاصطناعي. يشهد سوق خدمات الكشف والاستجابة المدارة (MDR) نموًا كبيرًا، مما يشير إلى تزايد الاعتماد على هذه الخدمات. ومع ذلك، يجب أن يصاحب هذا النمو ابتكار يعالج مشكلة إرهاق التنبيهات مباشرة.

توقع استمرار التركيز على ربط التنبيهات المدعومة بالذكاء الاصطناعي، وقدرات الاستجابة المستقلة، ونمذجة التهديدات الأكثر تعقيدًا ضمن عروض MDR. ستعمل القدرة على تصفية الضوضاء بفعالية وتحديد أولويات التهديدات الحقيقية على تمييز مزودي MDR الرائدين. علاوة على ذلك، سيصبح دمج الاختبار الهجومي المستمر كممارسة قياسية أمرًا بالغ الأهمية للتحقق من فعالية هذه الخدمات في الوقت الفعلي، مما يضمن أن برج المراقبة يقف حارسًا حقًا.