ผู้ร้ายเงียบ: เจาะลึกระยะเวลาแฝงตัวของแรนซัมแวร์และช่องว่างการตรวจจับที่ขยายตัว

แรนซัมแวร์ยังคงโจมตีองค์กรในทุกภาคส่วนอย่างต่อเนื่อง แต่การวิเคราะห์เหตุการณ์ล่าสุดได้เน้นย้ำถึงวิวัฒนาการที่ร้ายกาจเป็นพิเศษ นั่นคือ การใช้ประโยชน์เชิงกลยุทธ์จากระยะเวลาแฝงตัวที่ยาวนาน วันเวลาของแรนซัมแวร์ที่ 'ส่งเสียงดัง' ซึ่งประกาศตัวทันทีที่เข้าสู่ระบบ กำลังจะผ่านพ้นไปเรื่อยๆ แทนที่จะเป็นเช่นนั้น ผู้ไม่ประสงค์ดีที่ซับซ้อนกำลังใช้ประโยชน์จากช่วงเวลาที่เข้าถึงได้โดยไม่ถูกตรวจจับเป็นเวลานาน เพื่อเพิ่มผลกระทบให้สูงสุด ขโมยข้อมูล และสร้างฐานที่มั่นที่ถาวร รูปแบบนี้เผยให้เห็นช่องว่างในการตรวจจับที่สำคัญ โดยเฉพาะอย่างยิ่งสำหรับการบุกรุกที่เงียบกว่า ซึ่งเกิดขึ้นก่อนการส่งมอบชุดคำสั่งแรนซัมแวร์ที่สร้างความเสียหายในท้ายที่สุด

เกิดอะไรขึ้น

รายงานเหตุการณ์ล่าสุดเผยให้เห็นแนวโน้มที่น่าเป็นห่วงในพลวัตของการโจมตีด้วยแรนซัมแวร์ ในขณะที่การรับรู้ทั่วไปมักจะเชื่อมโยงแรนซัมแวร์เข้ากับเหตุการณ์การเข้ารหัสที่รบกวนทันที แต่ความเป็นจริงภาคพื้นดินนั้นมีความแตกต่างกันมาก การวิเคราะห์ชี้ให้เห็นถึงความแตกต่างที่น่าสังเกตในความเร็วในการตรวจจับระหว่างภัยคุกคามที่ 'ส่งเสียงดัง' และ 'การบุกรุกที่เงียบ' แรนซัมแวร์โดยธรรมชาติแล้วจะประกาศตัวเมื่อการเข้ารหัสเริ่มต้นขึ้น แต่การเตรียมการสำหรับขั้นตอนสุดท้ายนี้มักจะไม่ถูกสังเกตเห็นเป็นเวลานาน

แม้แต่องค์กรที่มีความสามารถในการเฝ้าระวังที่แข็งแกร่งก็ยังประสบกับระยะเวลาแฝงตัวที่สำคัญก่อนที่จะตรวจพบการละเมิด ซึ่งตอกย้ำว่าการครอบคลุมอย่างต่อเนื่องอาจประสบปัญหาในระยะที่ซ่อนเร้นของการโจมตี ในบางกรณี ช่องว่างที่สำคัญระหว่างการบุกรุกครั้งแรกกับการตรวจจับเน้นย้ำถึงความสามารถของผู้โจมตีในการดำเนินการภายใต้เรดาร์ เปลี่ยนสิ่งที่อาจดูเหมือนเป็นเหตุการณ์กะทันหันให้กลายเป็นจุดสูงสุดของการทำงานที่ไม่ถูกตรวจจับเป็นเวลาหลายสัปดาห์ ระยะเวลาแฝงตัวที่ยาวนานนี้ทำให้ผู้คุกคามมีโอกาสมากมายในการเคลื่อนที่ในแนวนอน ยกระดับสิทธิ์ และเตรียมพร้อมสำหรับผลกระทบสูงสุด

ทำไมรูปแบบนี้จึงเกิดขึ้นซ้ำๆ

ความคงอยู่ของรูปแบบนี้สามารถนำมาประกอบกับปัจจัยหลายประการ ส่วนใหญ่เกิดจากความซับซ้อนที่เพิ่มขึ้นของผู้คุกคามและความอ่อนแอพื้นฐานในกลยุทธ์การป้องกัน ความอ่อนแอที่แพร่หลายยังคงเป็นความปลอดภัยที่ต่ำกว่าหลายระดับ โดยเฉพาะอย่างยิ่งภายในห่วงโซ่อุปทาน ซึ่งเกี่ยวข้องกับผู้จำหน่ายที่เข้าถึงระบบหลัก แต่บ่อยครั้งขาดความสามารถในการตรวจสอบที่เทียบเท่ากัน สิ่งนี้สร้างจุดเข้าโจมตีที่ผู้ไม่ประสงค์ดีสามารถใช้ประโยชน์เพื่อสร้างการบุกรุกที่เงียบได้

ปัจจัยสำคัญอีกประการหนึ่งคือความแตกต่างโดยธรรมชาติในการแสดงออกของภัยคุกคามประเภทต่างๆ ไม่เหมือนกับลักษณะที่แรนซัมแวร์เข้ารหัสที่แจ้งเตือนตัวเองทันที การบุกรุกรูปแบบอื่นๆ เช่น การขโมยข้อมูลประจำตัว การขโมยข้อมูลแบบเงียบ หรือการสร้างการเข้าถึงที่อยู่เฉยๆ เพื่อใช้ในอนาคต จะไม่มีการแจ้งเตือนที่เทียบเท่ากัน กลไกการตรวจจับแบบดั้งเดิม ซึ่งมักจะถูกปรับให้ตรวจจับการแจ้งเตือนที่ 'ส่งเสียงดัง' จะมีประสิทธิภาพน้อยกว่าในการต่อต้านกลยุทธ์ที่ซ่อนเร้นเหล่านี้ ความแตกต่างนี้หมายความว่าการครอบคลุมที่สร้างขึ้นเพื่อตรวจจับเหตุการณ์ที่ชัดเจนเป็นหลัก จะปล่อยให้การบุกรุกที่ช้าและเงียบกว่าได้รับการป้องกันน้อยกว่ามาก สิ่งเหล่านี้เป็นประเภทของการบุกรุกที่ผู้โจมตีที่มุ่งมั่นมีแนวโน้มที่จะใช้ ทำให้พวกเขาสามารถหลีกเลี่ยงการตรวจจับได้เป็นเวลานาน และเพิ่มความได้เปรียบในการปฏิบัติงานให้สูงสุด

ความท้าทายด้านความมั่นคงทางไซเบอร์ไม่ใช่เรื่องของการต่อสู้ที่เปิดเผย แต่เป็นการแทรกซึมอย่างเงียบๆ เมื่อผู้ไม่ประสงค์ดีสามารถแฝงตัวอยู่ได้โดยไม่ถูกตรวจจับ ความได้เปรียบจะเปลี่ยนไปอยู่กับพวกเขาอย่างเด็ดขาด ทำให้การป้องกันเชิงรับส่วนใหญ่ไม่มีประสิทธิภาพ

กลยุทธ์ของผู้โจมตีทีละขั้นตอน

การโจมตีด้วยแรนซัมแวร์สมัยใหม่ไม่ค่อยเป็นเหตุการณ์เดียวที่เกิดขึ้นเองตามธรรมชาติ แต่จะดำเนินไปตามกลยุทธ์หลายขั้นตอนที่ออกแบบมาเพื่อการซ่อนเร้นและความคงทน โดยใช้ประโยชน์จากช่องว่างในการตรวจจับที่พบในเหตุการณ์ล่าสุด แนวทางที่เป็นระบบนี้ช่วยให้ผู้โจมตีเพิ่มความได้เปรียบสูงสุดก่อนที่จะเปิดตัวชุดคำสั่งที่สร้างความเสียหายในท้ายที่สุด

ในเบื้องต้น ผู้ไม่ประสงค์ดีจะมุ่งเน้นไปที่การเข้าถึงเบื้องต้น ซึ่งมักจะผ่านผู้จำหน่ายบุคคลที่สามที่ถูกบุกรุกหรือแคมเปญฟิชชิงที่กำหนดเป้าหมายไปยังจุดอ่อนขององค์กร เมื่อเข้ามาได้แล้ว วัตถุประสงค์จะเปลี่ยนจากการกระทำที่เปิดเผยไปสู่การลาดตระเวนอย่างลับๆ พวกเขาจะทำแผนผังเครือข่ายอย่างละเอียด ระบุสินทรัพย์ที่สำคัญ และค้นหาข้อมูลที่ละเอียดอ่อน เฟสนี้โดดเด่นด้วยกิจกรรมที่มีเสียงรบกวนต่ำ เช่น การเก็บเกี่ยวข้อมูลประจำตัว การสร้างกลไกคงทน และการสร้างแบ็คดอร์ที่กลมกลืนกับการรับส่งข้อมูลเครือข่ายที่ถูกต้องตามกฎหมาย

หลังจากการลาดตระเวน ผู้โจมตีจะเคลื่อนที่ในแนวนอน ขยายขอบเขตการเข้าถึงทั่วทั้งเครือข่ายเพื่อรักษาจุดที่ถูกบุกรุกหลายจุด สิ่งนี้ช่วยให้มั่นใจถึงความยืดหยุ่นต่อการตรวจจับและทำให้การแก้ไขทำได้ยากขึ้น พวกเขายกระดับสิทธิ์ แสวงหาการเข้าถึงระบบบริหารจัดการไปยังระบบที่สำคัญ ซึ่งมักจะขโมยข้อมูลไปพร้อมกัน การขโมยข้อมูลนี้มีวัตถุประสงค์สองประการ: ให้ประโยชน์เพิ่มเติมสำหรับการขู่กรรโชกและสามารถขายได้โดยอิสระ แม้ว่าการติดตั้งแรนซัมแวร์จะล้มเหลวก็ตาม ขั้นตอนสุดท้ายคือการติดตั้งแรนซัมแวร์ ซึ่งจากมุมมองของเหยื่อ ดูเหมือนจะเกิดขึ้นกะทันหัน แต่เป็นเพียงจุดสูงสุดของการเตรียมการที่ไม่ถูกตรวจจับเป็นเวลาหลายสัปดาห์หรือหลายเดือน การเตรียมการที่ยาวนานนี้ช่วยให้สามารถโจมตีแบบกำหนดเป้าหมายได้ เพิ่มโอกาสในการเข้ารหัสที่ประสบความสำเร็จและมีผลกระทบ

สิ่งที่ผู้ป้องกันพลาดไป

เมื่อเผชิญกับรูปแบบการโจมตีที่พัฒนาขึ้นเหล่านี้ ผู้ป้องกันกำลังพลาดสัญญาณสำคัญ ส่วนใหญ่เกิดจากการพึ่งพากลยุทธ์การตรวจจับที่ปรับให้เหมาะสมกับภัยคุกคามที่ 'ส่งเสียงดัง' มากเกินไป ข้อมูลความเร็วในการตรวจจับที่มีอยู่บ่งชี้ว่าเหตุการณ์ที่ชัดเจนและส่งเสียงดังถูกพบในอัตราที่แตกต่างกันอย่างมากเมื่อเทียบกับการบุกรุกที่เงียบ ความไม่ตรงกันพื้นฐานในความสามารถในการตรวจจับนี้เป็นข้อผิดพลาดที่สำคัญ

ศูนย์ปฏิบัติการความปลอดภัย (SOC) และบริการตรวจจับและตอบสนองแบบจัดการ (MDR) จำนวนมาก แม้จะให้บริการครอบคลุมตลอด 24 ชั่วโมงทุกวัน แต่ก็ได้รับการจัดเตรียมมาเพื่อจับภาพผลที่ตามมาของการโจมตีทันทีเป็นหลัก พวกเขาเก่งในการระบุตัวบ่งชี้การบุกรุก (IOC) ที่ส่งเสียงดังซึ่งส่งสัญญาณถึงเหตุการณ์การเข้ารหัสที่ใช้งานอยู่หรือความพยายามในการขโมยข้อมูลที่โจ่งแจ้ง อย่างไรก็ตาม ขั้นตอนก่อนหน้า – การยกระดับสิทธิ์ที่ละเอียดอ่อน การเคลื่อนที่ในแนวนอนอย่างเงียบๆ การสร้างการเข้าถึงที่อยู่เฉยๆ – มักจะไม่ถูกสังเกตเห็น กิจกรรมเหล่านี้ แม้จะเล็กน้อยเป็นรายบุคคล แต่โดยรวมแล้วเป็นช่วงเวลาสำคัญสำหรับโอกาสในการตรวจจับตั้งแต่เนิ่นๆ

ความอ่อนแอที่แพร่หลายในการรักษาความปลอดภัยของห่วงโซ่อุปทานทำให้ปัญหานี้รุนแรงขึ้น ผู้จำหน่ายที่เข้าถึงระบบขององค์กรบ่อยครั้งไม่มีระดับการตรวจสอบความปลอดภัยเดียวกัน สร้างจุดบอดที่ผู้โจมตีใช้ประโยชน์ได้อย่างง่ายด ซึ่งหมายความว่าการบุกรุกที่มาจากบุคคลที่สามที่เชื่อถือได้สามารถหลีกเลี่ยงการป้องกันภายในที่ออกแบบมาสำหรับการโจมตีโดยตรงได้ การมุ่งเน้นไปที่การป้องกันขอบเขตและการป้องกันปลายทาง แม้ว่าจะจำเป็น แต่ก็มักจะมองข้ามการลาดตระเวนภายในที่ซับซ้อนและการสร้างความคงทนซึ่งกำหนดลักษณะของแคมเปญแรนซัมแวร์สมัยใหม่ ทำให้องค์กรเสี่ยงต่อผู้ร้ายเงียบ

รายการตรวจสอบการป้องกันเชิงปฏิบัติ

เพื่อตอบโต้ภัยคุกคามจากระยะเวลาแฝงตัวของแรนซัมแวร์ที่ยาวนาน CISO และวิศวกรความปลอดภัยต้องนำกลยุทธ์การป้องกันแบบหลายชั้นเชิงรุกมาใช้ ซึ่งให้ความสำคัญกับการตรวจจับการบุกรุกที่เงียบตั้งแต่เนิ่นๆ สิ่งนี้ต้องมีการเปลี่ยนจากมาตรการเชิงรับล้วนๆ ไปสู่การตรวจสอบและปรับปรุงท่าทางการป้องกันอย่างต่อเนื่อง

• ปรับปรุงการตรวจสอบความปลอดภัยของห่วงโซ่อุปทาน: ประเมินความปลอดภัยของผู้จำหน่ายบุคคลที่สามทั้งหมดที่มีสิทธิ์เข้าถึงเครือข่ายอย่างเข้มงวด กำหนดข้อกำหนดการตรวจสอบอย่างต่อเนื่อง และตรวจสอบให้แน่ใจว่าการควบคุมความปลอดภัยของพวกเขาเข้ากันได้กับของคุณ โดยเน้นที่การแบ่งส่วนการเข้าถึงและการบันทึกข้อมูล
• ใช้การวิเคราะห์พฤติกรรมขั้นสูง: ปรับใช้เครื่องมือที่สามารถตรวจจับพฤติกรรมผู้ใช้และเอนทิตีที่ผิดปกติ (UEBA) ซึ่งบ่งชี้ถึงการเคลื่อนที่ในแนวนอนอย่างละเอียด การยกระดับสิทธิ์ และการจัดเตรียมข้อมูล แทนที่จะเป็นเพียง IOC ที่รู้จัก มุ่งเน้นไปที่ความเบี่ยงเบนจากกิจกรรมพื้นฐาน
• เสริมสร้างขีดความสามารถในการตรวจจับและตอบสนองของปลายทาง (EDR): ตรวจสอบให้แน่ใจว่าโซลูชัน EDR ไม่เพียงแต่ตรวจจับ แต่ยังป้องกันและตอบสนองต่อกระบวนการที่น่าสงสัย โดยเฉพาะอย่างยิ่งกระบวนการที่พยายามปิดใช้งานการควบคุมความปลอดภัยหรือสร้างความคงทน
• แบ่งส่วนเครือข่ายและบังคับใช้สิทธิ์ขั้นต่ำ: ลดขนาดของผลกระทบจากการละเมิดที่อาจเกิดขึ้นอย่างมากโดยการแบ่งส่วนเครือข่ายย่อยและบังคับใช้หลักการสิทธิ์ขั้นต่ำสำหรับผู้ใช้และบริการทั้งหมดอย่างเคร่งครัด จำกัดเส้นทางการเคลื่อนที่ในแนวนอน
• ฝึกฝนแผนการตอบสนองต่อเหตุการณ์ (IR) เป็นประจำ: ดำเนินการฝึกซ้อมบนโต๊ะและการจำลองการโจมตีด้วยแรนซัมแวร์แบบสดเป็นประจำ โดยเน้นเฉพาะการตรวจจับและตอบสนองต่อการบุกรุกแบบหลายขั้นตอนที่ซ่อนเร้น สิ่งนี้จะสร้างความทรงจำของกล้ามเนื้อและระบุช่องว่าง
• ทำให้การวิเคราะห์บันทึกและการแจ้งเตือนเป็นแบบอัตโนมัติ: ใช้แพลตฟอร์มการจัดการข้อมูลและเหตุการณ์ด้านความปลอดภัย (SIEM) และการประสานงาน การทำงานอัตโนมัติ และการตอบสนองด้านความปลอดภัย (SOAR) เพื่อเชื่อมโยงบันทึกที่แตกต่างกันและทำให้การตรวจจับเหตุการณ์ที่มีสัญญาณต่ำเป็นแบบอัตโนมัติ ซึ่งเมื่อรวมกันแล้วบ่งชี้ถึงการโจมตีที่ใหญ่ขึ้น
• ผสานรวมข่าวกรองภัยคุกคามและการล่า: ล่าภัยคุกคามขั้นสูงที่คงอยู่ (APT) และตัวบ่งชี้แรนซัมแวร์ภายในสภาพแวดล้อมของคุณอย่างต่อเนื่อง โดยใช้ข่าวกรองภัยคุกคามที่อัปเดตเพื่อแจ้งรูปแบบการค้นหาและสมมติฐานของคุณ

การทดสอบเชิงรุกสมัยใหม่จะตรวจจับสิ่งนี้ได้อย่างไร

ระยะเวลาแฝงตัวที่ยาวนานที่พบในเหตุการณ์แรนซัมแวร์ล่าสุดเน้นย้ำถึงข้อบกพร่องที่สำคัญในระเบียบวิธีทดสอบความปลอดภัยแบบดั้งเดิม การทดสอบเชิงรุกสมัยใหม่ โดยเฉพาะการทดสอบเชิงรุกอัตโนมัติด้วย Proofs of Concept (PoCs) ที่สามารถรันได้ นำเสนอโซลูชันที่มีประสิทธิภาพในการระบุและแก้ไขเส้นทางการโจมตีที่ซ่อนเร้นเหล่านี้ในเชิงรุกก่อนที่ผู้ไม่ประสงค์ดีจะใช้ประโยชน์จากมัน แพลตฟอร์มที่มุ่งเน้นแนวทางนี้กำลังเกิดขึ้น

การทดสอบการเจาะระบบและการประเมินช่องโหว่แบบดั้งเดิม แม้จะมีคุณค่า แต่ก็มักจะให้ภาพรวมในช่วงเวลาหนึ่งและอาจไม่สามารถจำลองความคงทนและความละเอียดอ่อนของผู้โจมตีในโลกแห่งความเป็นจริงที่ดำเนินการเป็นระยะเวลานานได้อย่างเต็มที่ พวกเขาอาจระบุช่องโหว่แต่ละรายการ แต่บ่อยครั้งไม่สามารถเปิดเผยการโจมตีแบบลูกโซ่และเส้นทางการเคลื่อนที่ในแนวนอนที่กำหนดลักษณะของแคมเปญแรนซัมแวร์ที่ประสบความสำเร็จได้ กลยุทธ์ของผู้โจมตีที่มุ่งมั่น ซึ่งเกี่ยวข้องกับการลาดตระเวนอย่างเงียบๆ การขโมยข้อมูลประจำตัว และการเข้าถึงที่อยู่เฉยๆ ต้องใช้กลยุทธ์การป้องกันที่สามารถคาดการณ์และตรวจจับพฤติกรรมที่ละเอียดอ่อนเหล่านี้ได้

การทดสอบเชิงรุกอัตโนมัติ โดยใช้ PoCs ที่สามารถรันได้ จะจำลองสถานการณ์การโจมตีแบบหลายขั้นตอนเหล่านี้อย่างต่อเนื่องและปลอดภัย ไม่เพียงแต่ค้นหาช่องโหว่ที่รู้จักเท่านั้น แต่ยังพยายามใช้ประโยชน์จากช่องโหว่เหล่านั้น เคลื่อนที่ในแนวนอน ยกระดับสิทธิ์ และสร้างความคงทน ซึ่งสะท้อนวงจรชีวิตของผู้โจมตีทั้งหมด การจำลองอย่างต่อเนื่องนี้ ซึ่งดำเนินการในสภาพแวดล้อมที่ควบคุม จะเปิดเผยเส้นทางเฉพาะที่ผู้โจมตีสามารถใช้เพื่อแฝงตัวโดยไม่ถูกตรวจจับ ระบุจุดอ่อนในห่วงโซ่อุปทาน และเปิดเผยรูปแบบพฤติกรรมที่ละเอียดอ่อนที่การป้องกันปัจจุบันพลาดไป ด้วยการตรวจสอบการควบคุมการป้องกันเชิงรุกกับเทคนิคการโจมตีจริง องค์กรสามารถปรับระบบตรวจจับของตนให้จับตัวบ่งชี้การบุกรุกที่เงียบในช่วงต้น ลดระยะเวลาแฝงตัวลงอย่างมาก และป้องกันผลกระทบที่สร้างความเสียหายจากการติดตั้งแรนซัมแวร์เต็มรูปแบบ

สิ่งที่ต้องจับตาดูต่อไป

ภูมิทัศน์ความมั่นคงทางไซเบอร์มีการเปลี่ยนแปลงอยู่ตลอดเวลา และภัยคุกคามจากแรนซัมแวร์จะยังคงพัฒนาต่อไป CISO และวิศวกรความปลอดภัยต้องระมัดระวังและคาดการณ์การเปลี่ยนแปลงในอนาคต หนึ่งในประเด็นสำคัญที่ต้องจับตาคือความซับซ้อนที่เพิ่มขึ้นของเทคนิค Living-off-the-Land (LotL) ซึ่งผู้โจมตีใช้เครื่องมือและกระบวนการของระบบที่ถูกต้องตามกฎหมายเพื่อหลีกเลี่ยงการตรวจจับ สิ่งนี้ทำให้เส้นแบ่งระหว่างกิจกรรมที่ไม่เป็นอันตรายและกิจกรรมที่เป็นอันตรายพร่ามัวยิ่งขึ้น ทำให้การวิเคราะห์พฤติกรรมมีความสำคัญมากยิ่งขึ้น

คาดว่าจะมีการมุ่งเน้นอย่างต่อเนื่องไปที่การโจมตีห่วงโซ่อุปทาน เนื่องจากผู้ไม่ประสงค์ดีกำหนดเป้าหมายผู้จำหน่ายรายย่อยที่มีความปลอดภัยน้อยกว่ามากขึ้นเรื่อยๆ เพื่อเป็นประตูสู่องค์กรขนาดใหญ่ ผลกระทบที่ต่อเนื่องของการละเมิดดังกล่าวจะทำให้การจัดการความเสี่ยงของผู้จำหน่ายเข้มงวดขึ้นและข้อกำหนดการตรวจสอบอย่างต่อเนื่องที่เข้มงวดขึ้น นอกจากนี้ การบรรจบกันของเทคโนโลยีการปฏิบัติงาน (OT) และสภาพแวดล้อมเทคโนโลยีสารสนเทศ (IT) จะนำเสนอเวกเตอร์ใหม่สำหรับแรนซัมแวร์ โดยเฉพาะอย่างยิ่งในโครงสร้างพื้นฐานที่สำคัญและภาคการผลิต ซึ่งการหยุดทำงานที่ไม่ได้วางแผนไว้อาจมีผลกระทบร้ายแรงในโลกแห่งความเป็นจริง

สุดท้ายนี้ ภูมิทัศน์ด้านกฎระเบียบเกี่ยวกับการรายงานเหตุการณ์และการแจ้งเตือนการละเมิดข้อมูลมีแนวโน้มที่จะเข้มงวดขึ้น เพิ่มแรงกดดันต่อองค์กรไม่เพียงแต่จะตรวจจับเหตุการณ์ได้เร็วขึ้นเท่านั้น แต่ยังต้องแสดงให้เห็นถึงท่าทางการรักษาความปลอดภัยที่แข็งแกร่งอีกด้วย การเน้นจะเปลี่ยนจากการฟื้นตัวจากการโจมตีไปสู่การป้องกันระยะเวลาแฝงตัวที่ยาวนานซึ่งทำให้เกิดการโจมตีตั้งแต่แรก ซึ่งเรียกร้องให้มีกลยุทธ์การป้องกันเชิงรุกและเชิงรุกมากขึ้น