ภัยคุกคามจากการละเมิดที่เงียบงัน: ความเหนื่อยหน่ายของนักวิเคราะห์ SOC กระตุ้นความอ่อนล้าจากแจ้งเตือนและเปิดทางให้ผู้โจมตี

ศูนย์ปฏิบัติการความปลอดภัย (SOC) เป็นศูนย์กลางในการป้องกันภัยคุกคามที่เปลี่ยนแปลงตลอดเวลา อย่างไรก็ตาม ภายใต้พื้นผิวของเครื่องมือและโปรโตคอลที่ซับซ้อน ยังคงมีความท้าทายที่สำคัญ: ความเหนื่อยหน่ายของนักวิเคราะห์ SOC ที่แพร่หลายซึ่งเกิดจากความอ่อนล้าจากแจ้งเตือน ปัจจัยมนุษย์นี้ซึ่งมักถูกประเมินต่ำไป ถือเป็นความเสี่ยงด้านความปลอดภัยที่สำคัญที่ผู้นำและวิศวกรด้านความปลอดภัยต้องให้ความสำคัญ

เกิดอะไรขึ้น

ในอุตสาหกรรม ศูนย์ปฏิบัติการความปลอดภัยมักเผชิญกับความท้าทายในการดำเนินงาน รายงานระบุว่านักวิเคราะห์ SOC จำนวนมากประสบกับความเหนื่อยหน่าย ซึ่งมักเกี่ยวข้องกับความอ่อนล้าจากแจ้งเตือน ปัญหานี้ขยายวงกว้างเกินกว่าทรัพยากรบุคคล โดยส่งผลกระทบต่อประสิทธิภาพด้านความปลอดภัย ปริมาณการแจ้งเตือนที่สูงมาก ซึ่งหลายรายการมีความสำคัญน้อยกว่า อาจทำให้ความสามารถของมนุษย์ตึงเครียด ซึ่งอาจนำไปสู่การพลาดการตรวจจับที่สำคัญได้

สภาพแวดล้อมนี้สามารถนำไปสู่การลาออกของพนักงาน โดยอายุงานเฉลี่ยของนักวิเคราะห์ในบางศูนย์ค่อนข้างสั้น การลาออกดังกล่าวอาจส่งผลกระทบต่อความรู้เชิงสถาบันและประสิทธิภาพในการดำเนินงาน ซึ่งส่งผลกระทบต่อพนักงานที่เหลืออยู่ ผลลัพธ์อาจเป็นสถานะความปลอดภัยที่มีช่องโหว่ ซึ่งภัยคุกคามอาจถูกมองข้ามท่ามกลางข้อมูลจำนวนมาก

ทำไมรูปแบบนี้จึงเกิดขึ้นซ้ำๆ

ลักษณะที่เกิดขึ้นซ้ำๆ ของความอ่อนล้าจากแจ้งเตือนของ SOC มักเชื่อมโยงกับรูปแบบการดำเนินงานปัจจุบัน ระบบ Security Information and Event Management (SIEM) แม้จะรวบรวมข้อมูลบันทึกได้ แต่ก็สามารถสร้างการแจ้งเตือนจำนวนมากได้ หากไม่มีการปรับปรุงและบริบทที่เพียงพอ การแจ้งเตือนเหล่านี้อาจกลายเป็นเรื่องที่ท่วมท้นมากกว่าที่จะให้ข้อมูลเชิงลึกที่ชัดเจนและนำไปใช้ได้จริง

องค์กรมักลงทุนในเครื่องมือตรวจจับเพิ่มเติม ซึ่งอาจเพิ่มปริมาณการแจ้งเตือนโดยไม่ตั้งใจโดยไม่มีการเพิ่มทรัพยากรบุคคลหรือการปรับปรุงคุณภาพการแจ้งเตือนตามสัดส่วน สิ่งนี้สามารถสร้างวงจร: การแจ้งเตือนที่มากขึ้นอาจนำไปสู่ความเหนื่อยล้าที่เพิ่มขึ้น ซึ่งอาจส่งผลให้การคัดแยกมีประสิทธิภาพน้อยลง และด้วยเหตุนี้ โอกาสที่ภัยคุกคามที่ถูกต้องจะถูกมองข้ามก็สูงขึ้น ปริมาณข้อมูลที่ต้องวิเคราะห์อาจเกินขีดความสามารถในการประมวลผลของมนุษย์ในบางครั้ง

ปริมาณการแจ้งเตือนที่ไม่ได้แยกแยะจำนวนมากสามารถส่งผลกระทบต่อความสามารถในการตรวจจับที่สำคัญ ทำให้ยากต่อการระบุภัยคุกคามที่แท้จริงภายในข้อมูลดิจิทัลจำนวนมาก

กลยุทธ์ของผู้โจมตีทีละขั้นตอน

ผู้โจมตีสามารถใช้ประโยชน์จากปัจจัยมนุษย์ในการป้องกันได้ วิธีการของพวกเขาอาจเริ่มต้นด้วยการสอดแนมแบบปริมาณต่ำอย่างต่อเนื่อง สร้างการแจ้งเตือนที่ไม่สำคัญจำนวนมากที่อาจถูกลดความสำคัญหรือถูกละเลยในสภาพแวดล้อมที่มีเสียงดัง ระยะเริ่มต้นนี้ช่วยให้พวกเขาเข้าใจโครงสร้างเครือข่ายและระบุจุดอ่อนที่อาจเกิดขึ้นโดยไม่กระตุ้นการตอบสนองที่มีลำดับความสำคัญสูงในทันที

ต่อมา พวกเขาอาจใช้แคมเปญที่ซับซ้อนเพื่อเข้าถึงเบื้องต้น การพยายามประนีประนอมครั้งแรกเหล่านี้มักจะละเอียดอ่อน ออกแบบมาให้ดูคล้ายกับการรับส่งข้อมูลที่ถูกต้องตามกฎหมายหรือกระตุ้นการแจ้งเตือนที่ไม่เร่งด่วน เมื่อนักวิเคราะห์กำลังยุ่งอยู่กับการแจ้งเตือนตามปกติ ตัวบ่งชี้เริ่มต้นที่อาจมีความสำคัญเหล่านี้อาจถูกมองข้ามหรือล่าช้าในการสอบสวน

เมื่อเข้ามาได้แล้ว ผู้โจมตีอาจเคลื่อนที่ในแนวนอน เพิ่มสิทธิ์และสร้างความคงทน แต่ละขั้นตอนจะสร้างข้อมูลบันทึกเพิ่มเติม แต่บ่อยครั้งในลักษณะที่ดูผิดปกติแต่ไม่สำคัญในทันที โดยเฉพาะอย่างยิ่งสำหรับนักวิเคราะห์ที่รับมือกับปริมาณงานที่สูง ปริมาณการแจ้งเตือน SIEM จำนวนมากหมายความว่าการค้นพบที่สำคัญอาจถูกบดบังด้วยสิ่งที่สำคัญน้อยกว่า ซึ่งอาจทำให้ผู้โจมตีมีเวลาบรรลุวัตถุประสงค์ก่อนที่จะถูกตรวจจับ

สิ่งที่ผู้ป้องกันพลาดไป

ผู้ป้องกันซึ่งมักจะตอบสนองต่อการแจ้งเตือนตามปกติ อาจพลาดโอกาสสำคัญหลายประการ ประการแรก พวกเขามักประสบปัญหาในการจัดลำดับความสำคัญและให้บริบทแก่การแจ้งเตือนได้อย่างมีประสิทธิภาพ SOC จำนวนมากอาจขาดแนวทางปฏิบัติทางวิศวกรรมการตรวจจับที่แข็งแกร่งซึ่งมุ่งเน้นไปที่การลดการแจ้งเตือนที่ไม่สำคัญและเชื่อมโยงเหตุการณ์ที่เกี่ยวข้องให้เป็นเหตุการณ์ที่มีความหมาย มากกว่าแค่การแจ้งเตือนแต่ละรายการ

นอกจากนี้ บางครั้งองค์ประกอบของมนุษย์ก็ไม่ได้รับการชื่นชมอย่างเต็มที่ ความต้องการทางจิตใจของนักวิเคราะห์อาจมีมาก และการขาดเครื่องมือที่ช่วยลดภาระทางปัญญาอย่างแท้จริง — แทนที่จะเป็นเพียงการทำงานอัตโนมัติ — อาจเป็นข้อผิดพลาดที่สำคัญ หากไม่มีระบบอัตโนมัติที่เหมาะสมสำหรับงานประจำและการจัดลำดับความสำคัญอัจฉริยะ นักวิเคราะห์อาจต้องคัดแยกข้อมูลจำนวนมากด้วยตนเอง ซึ่งอาจนำไปสู่การละเว้นได้ บางครั้งการมุ่งเน้นไปที่ปริมาณการตรวจจับมากกว่าประสิทธิภาพ

รายการตรวจสอบการป้องกันเชิงปฏิบัติ

• ใช้การปรับแต่งและการเชื่อมโยงการแจ้งเตือนที่แข็งแกร่ง: ปรับปรุงกฎ SIEM อย่างต่อเนื่องเพื่อกรองข้อมูลที่ไม่สำคัญและรวบรวมเหตุการณ์ที่เกี่ยวข้องให้เป็นเหตุการณ์ที่นำไปใช้ได้จริง จัดลำดับความสำคัญของการแจ้งเตือนที่มีความน่าเชื่อถือสูง
• ทำงานประจำวันในการคัดแยกและการตอบสนองอัตโนมัติ: ใช้แพลตฟอร์ม Security Orchestration, Automation, and Response (SOAR) เพื่อจัดการงานซ้ำๆ เช่น การรวบรวมข้อมูลและการกักกันภัยคุกคามเบื้องต้นโดยอัตโนมัติ
• ลงทุนในการฝึกอบรมและสวัสดิภาพของนักวิเคราะห์: จัดให้มีการศึกษาต่อเนื่อง การฝึกอบรมข้ามสายงาน และการสนับสนุนเพื่อลดความเหนื่อยหน่ายและปรับปรุงความพึงพอใจในงาน
• ใช้แนวทางวิศวกรรมการตรวจจับที่เน้นภัยคุกคาม: เปลี่ยนจุดเน้นจากการสร้างการแจ้งเตือนเพียงอย่างเดียวไปสู่การออกแบบการตรวจจับตามกลยุทธ์ เทคนิค และขั้นตอนของผู้โจมตี (TTPs) ที่รู้จัก
• ตรวจสอบและเพิ่มประสิทธิภาพ Playbooks อย่างสม่ำเสมอ: ตรวจสอบให้แน่ใจว่า Playbooks การตอบสนองต่อเหตุการณ์เป็นปัจจุบัน มีประสิทธิภาพ และผสานรวมกับเครื่องมืออัตโนมัติเพื่อปรับปรุงขั้นตอนการทำงานของนักวิเคราะห์
• นำ AI และ Machine Learning มาใช้ในการตรวจจับความผิดปกติ: ใช้ AI และ ML เพื่อสร้างค่าพื้นฐาน ระบุความเบี่ยงเบนจากพฤติกรรมปกติ และรับรู้รูปแบบการโจมตีที่ซับซ้อนที่นักวิเคราะห์อาจพลาดไป

การทดสอบเชิงรุกสมัยใหม่จะตรวจจับสิ่งนี้ได้อย่างไร

การทดสอบการเจาะระบบแบบดั้งเดิมมักให้ภาพรวม แต่การทดสอบเชิงรุกแบบต่อเนื่องและอัตโนมัติให้แนวทางที่ยืดหยุ่นและมีประสิทธิภาพมากขึ้นสำหรับความท้าทายเรื่องความอ่อนล้าจากการแจ้งเตือน ด้วยการจำลอง TTPs ของผู้โจมตีในโลกแห่งความเป็นจริงด้วย Proofs of Concept (PoCs) ที่สามารถดำเนินการได้ แพลตฟอร์มดังกล่าวสามารถตรวจสอบประสิทธิภาพของการตรวจจับที่มีอยู่ต่อภัยคุกคามในปัจจุบันได้

แพลตฟอร์มที่เน้นการทดสอบเชิงรุกแบบอัตโนมัติด้วย PoCs ที่สามารถดำเนินการได้ สามารถระบุช่องโหว่ในความสามารถในการตรวจจับของ SOC ได้อย่างรวดเร็วก่อนที่จะเกิดเหตุการณ์จริง มันสามารถจำลองกลยุทธ์การสอดแนม การเคลื่อนที่ในแนวนอน และเทคนิคการยกระดับสิทธิ์ที่อาจเลี่ยงการตรวจจับของนักวิเคราะห์ที่วุ่นวายได้ ด้วยการดำเนินสถานการณ์การโจมตีในโลกแห่งความเป็นจริงเหล่านี้อย่างต่อเนื่อง แพลตฟอร์มดังกล่าวสามารถเน้นการแจ้งเตือนที่ได้ผลจริง การแจ้งเตือนที่สำคัญน้อยกว่า และจุดที่การตรวจจับที่สำคัญหายไปทั้งหมด สิ่งนี้ช่วยให้สามารถปรับแต่งกฎ SIEM และ Playbooks SOAR ได้อย่างรวดเร็ว ซึ่งอาจลดภาระของนักวิเคราะห์โดยทำให้มั่นใจว่าพวกเขาเห็นเฉพาะการแจ้งเตือนที่มีความน่าเชื่อถือสูงและนำไปใช้ได้จริง

สิ่งที่ต้องจับตาดูต่อไป

อนาคตของการดำเนินงานของ SOC อาศัยระบบอัตโนมัติอัจฉริยะและการเปลี่ยนไปสู่การตรวจสอบความปลอดภัยเชิงรุกเพิ่มขึ้น การสนทนาจะก้าวข้ามการสร้างการแจ้งเตือนที่มากขึ้นไปสู่การสร้างการแจ้งเตือนที่ ชาญฉลาดขึ้น คาดว่าจะเห็นการรวม AI และ Machine Learning เข้าไปอีก ไม่ใช่แค่สำหรับการตรวจจับความผิดปกติเท่านั้น แต่ยังรวมถึงการแจ้งเตือนภัยคุกคามเชิงคาดการณ์และบริบทเหตุการณ์อัตโนมัติด้วย

นอกจากนี้ จุดเน้นจะเพิ่มขึ้นในวิศวกรรมการตรวจจับในฐานะสาขาวิชาหลัก โดยทีมรักษาความปลอดภัยพยายามสร้างการตรวจจับที่แม่นยำ เกี่ยวข้อง และเชื่อมโยงโดยตรงกับพฤติกรรมของผู้โจมตี เป้าหมายคือการเปลี่ยน SOC จากศูนย์ตอบสนองต่อการแจ้งเตือนแบบเชิงรับให้กลายเป็นศูนย์ล่าภัยคุกคามและการตรวจสอบเชิงรุก ซึ่งความเชี่ยวชาญของมนุษย์ได้รับการเสริม ไม่ใช่ถูกครอบงำด้วยเทคโนโลยี ความยั่งยืนระยะยาวของความปลอดภัยขององค์กรขึ้นอยู่กับการจัดการสวัสดิภาพของนักวิเคราะห์ในฐานะปัจจัยสำคัญในตัวเอง