เมื่อผู้เฝ้าระวังพลาด: แกะรอยการละเมิดหลายวันหลังจากพลาดการแจ้งเตือน MDR

ในขณะที่ภัยคุกคามทางไซเบอร์มีความซับซ้อนมากขึ้น องค์กรต่างๆ ก็พึ่งพิงบริการ Managed Detection and Response (MDR) มากขึ้นเพื่อเสริมสร้างความมั่นคงปลอดภัย อย่างไรก็ตาม รูปแบบที่น่ากังวลได้ปรากฏขึ้น: การแจ้งเตือนการละเมิดเริ่มต้น ซึ่งมักจะละเอียดอ่อนและดูไม่เป็นอันตราย กำลังถูกผู้ให้บริการ MDR มองข้าม ทำให้ผู้โจมตีสามารถสร้างความคงทนและยกระดับสิทธิ์ได้ตลอดหลายวัน ระยะเวลาที่ผู้โจมตีอยู่ในระบบนานขึ้นนี้เปลี่ยนเหตุการณ์ที่อาจถูกจำกัดวงให้กลายเป็นการละเมิดข้อมูลขนาดใหญ่ ก่อให้เกิดความเสียหายทางการเงินและชื่อเสียงอย่างมหาศาล

บทความนี้จะเจาะลึกถึงลักษณะของเหตุการณ์ดังกล่าว โดยสำรวจว่าทำไมการแจ้งเตือนที่สำคัญเหล่านี้จึงถูกมองข้าม ระเบียบวิธีการโจมตีทั่วไปที่ใช้ประโยชน์จากช่องว่างนี้ และกลยุทธ์ที่ CISO สามารถนำมาใช้เพื่อป้องกันไม่ให้องค์กรของตนตกเป็นเหยื่อรายต่อไป

เกิดอะไรขึ้น

ในสถานการณ์ที่เกิดขึ้นซ้ำๆ ทีมรักษาความปลอดภัยขององค์กรค้นพบการละเมิดที่สำคัญ ซึ่งมักเกิดขึ้นหลังจากหลายวันหรือหลายสัปดาห์ของการเข้าถึงโดยไม่ได้รับอนุญาต การวิเคราะห์ย้อนหลังชี้ให้เห็นถึงสัญญาณเตือนล่วงหน้าเสมอ ไม่ว่าจะเป็นการเข้าสู่ระบบที่ถูกตั้งค่าสถานะ กระบวนการที่ผิดปกติ หรือความผิดปกติของเครือข่าย ที่ถูกสร้างขึ้นโดย Endpoint Detection and Response (EDR) หรือเครื่องมือรักษาความปลอดภัยอื่นๆ การแจ้งเตือนเริ่มต้นนี้ไม่ได้รับการยกระดับ ถูกตีความผิด หรือเพียงแค่ถูกกลืนหายไปในกระแสข้อมูลโดยผู้ให้บริการ MDR ภายนอก

ตัวอย่างเช่น เอเจนต์ EDR ซึ่งบันทึกกิจกรรมบนอุปกรณ์ต่างๆ เช่น แล็ปท็อป เดสก์ท็อป และเซิร์ฟเวอร์อย่างต่อเนื่อง อาจตรวจพบพฤติกรรมที่ตรงกับเทคนิคการโจมตีที่รู้จัก เช่น การดัมพ์ข้อมูลประจำตัว (credential dumping) หรือมัลแวร์เรียกค่าไถ่ที่เข้ารหัสไฟล์ มันอาจตั้งค่าสถานะกิจกรรมของผู้ใช้ที่ผิดปกติ เช่น การย้ายพนักงานเข้าสู่กลุ่มผู้ใช้ระยะไกลในเวลาที่ผิดปกติ การแจ้งเตือนดังกล่าวเป็นเสียงกระซิบแรกของการบุกรุกที่อาจเกิดขึ้น ความสามารถของเครื่องมือ EDR ในการตรวจจับและบันทึกเหตุการณ์เหล่านี้เป็นพื้นฐาน อย่างไรก็ตาม ผู้เชี่ยวชาญด้านความปลอดภัยทางไซเบอร์คนหนึ่งกล่าวว่า "เครื่องมือสร้างการแจ้งเตือน บริการที่มีการจัดการจะจัดหาบุคลากรที่ตัดสินใจว่าการแจ้งเตือนเหล่านั้นหมายถึงอะไรและดำเนินการกับมันทั้งกลางวันและกลางคืน" เมื่อบุคลากรเหล่านั้นพลาดการแจ้งเตือนแรกที่สำคัญ การละเมิดก็จะเริ่มดำเนินไปหลายวัน

บริการ EDR แบบ Managed ได้รับการออกแบบมาเพื่อให้องค์ประกอบของมนุษย์ในการตีความและดำเนินการกับการแจ้งเตือนเหล่านี้ พวกเขามีจุดประสงค์เพื่อจัดหานักวิเคราะห์ที่ทำการสอบสวน ควบคุม และแก้ไข แต่เมื่อมนุษย์ที่อยู่ในวงจรล้มเหลว หรือกระบวนการมีข้อบกพร่อง ผู้โจมตีก็จะได้เวลาอันมีค่า ผลที่ตามมานั้นรุนแรง โดยเฉพาะอย่างยิ่งในภาคส่วนเช่นการศึกษา ซึ่งการศึกษาบางชิ้นแนะนำว่าสถาบันอาจเผชิญกับเวลาการฟื้นตัวที่ยาวนานจากการโจมตีทางไซเบอร์ ซึ่งอาจก่อให้เกิดค่าใช้จ่ายในการฟื้นตัวจำนวนมากและการสูญเสียประสิทธิภาพการทำงาน

ทำไมรูปแบบนี้จึงเกิดขึ้นซ้ำๆ

มีหลายปัจจัยที่นำไปสู่ความล้มเหลวซ้ำๆ ของบริการ MDR ในการตรวจจับตัวบ่งชี้เริ่มต้น สาเหตุหลักประการหนึ่งอยู่ที่ปริมาณและความซับซ้อนของการแจ้งเตือนจำนวนมากที่สร้างขึ้นโดยระบบรักษาความปลอดภัยสมัยใหม่ ศูนย์ปฏิบัติการรักษาความปลอดภัย (SOC) ไม่ว่าจะเป็นภายในหรือภายนอก มักจะถูกท่วมท้นด้วยข้อมูล ทำให้ยากที่จะแยกแยะความผิดปกติที่ไม่เป็นอันตรายออกจากภัยคุกคามที่แท้จริง "การแจ้งเตือนแรกมีความสำคัญ" เนื่องจากทุกการละเมิดครั้งใหญ่มีจุดเริ่มต้นที่ไม่ค่อยน่าตื่นเต้น มักจะเป็นเพียงการเข้าสู่ระบบที่ถูกตั้งค่าสถานะหนึ่งครั้งหรือกระบวนการที่ผิดปกติหนึ่งครั้ง

ปัจจัยอีกประการหนึ่งคือลักษณะที่เปลี่ยนแปลงไปของภูมิทัศน์ภัยคุกคาม ผู้โจมตีมีความเชี่ยวชาญมากขึ้นในการใช้เครื่องมือและกระบวนการที่ถูกต้องตามกฎหมายเพื่อกลมกลืน ทำให้กิจกรรมของพวกเขาแยกแยะได้ยากจากปฏิบัติการปกติ สิ่งนี้ต้องอาศัยความเข้าใจอย่างลึกซึ้งเกี่ยวกับพฤติกรรมพื้นฐานขององค์กร ซึ่งอาจเป็นเรื่องท้าทายสำหรับผู้ให้บริการ MDR ภายนอก โดยเฉพาะอย่างยิ่งหากกระบวนการเริ่มต้นและการเรียนรู้อย่างต่อเนื่องของพวกเขาไม่แข็งแกร่ง

นอกจากนี้ ความแตกต่างระหว่างผู้ให้บริการ Managed Service Provider (MSP) และ Managed Security Service Provider (MSSP) หรือผู้ให้บริการ MDR บางครั้งอาจไม่ชัดเจน ในขณะที่ MSP มุ่งเน้นการดูแลให้เทคโนโลยีทำงานได้อย่างราบรื่น MSSP/MDR จะปกป้องเทคโนโลยีนั้นโดยเฉพาะ โดยมุ่งเน้นที่การตรวจจับภัยคุกคาม การสอบสวนการแจ้งเตือน และการตอบสนองต่อเหตุการณ์ ความแตกต่างอยู่ที่สิ่งที่แต่ละฝ่ายถูกสร้างขึ้นเพื่อเฝ้าระวัง: MSP จะเฝ้าระวังว่าระบบทำงานหรือไม่ ในขณะที่ MSSP/MDR จะเฝ้าระวังว่าระบบกำลังถูกโจมตีหรือไม่ หากความเข้าใจขององค์กรหรือขอบเขตของผู้ให้บริการไม่สอดคล้องกัน การแจ้งเตือนด้านความปลอดภัยอาจไม่ได้รับการดูแลจากผู้เชี่ยวชาญที่ทุ่มเทตามที่ต้องการ

การแจ้งเตือนที่อันตรายที่สุดมักจะเงียบที่สุด ถูกละเลยได้ง่ายท่ามกลางเสียงรบกวนประจำวันของระบบ แต่กลับกระซิบถึงพายุที่กำลังจะมาถึง

แผนการเล่นของผู้โจมตีทีละขั้นตอน

ผู้โจมตีที่ใช้ประโยชน์จากจุดบอดของ MDR มักจะปฏิบัติตามแผนการเล่นที่คาดเดาได้หลายขั้นตอน โดยใช้การเข้าถึงเริ่มต้นที่ไม่ถูกตรวจจับเพื่อขยายฐานที่มั่นของตน:

1. การเข้าถึงเริ่มต้น (Initial Access) (การแจ้งเตือนที่พลาดไป): สิ่งนี้มักจะเริ่มต้นด้วยเหตุการณ์เล็กน้อยที่ดูเหมือนไม่มีอะไร อาจเป็นการโจมตีแบบฟิชชิ่งที่สำเร็จ การใช้ช่องโหว่ของบริการภายนอก หรือข้อมูลประจำตัวที่ถูกบุกรุก ระบบ EDR อาจตั้งค่าสถานะการเข้าสู่ระบบที่ผิดปกติ การดำเนินการกระบวนการที่น่าสงสัย หรือการเชื่อมต่อเครือข่ายไปยัง IP ที่เป็นอันตรายที่รู้จัก นี่คือช่วงเวลาสำคัญที่บริการ MDR ล้มเหลวในการระบุหรือยกระดับอย่างเหมาะสม
2. การสร้างฐานที่มั่นและความคงทน (Foothold and Persistence): เมื่อการเข้าถึงเริ่มต้นถูกสร้างขึ้น ผู้โจมตีจะดำเนินการเพื่อให้แน่ใจว่าสามารถเข้าถึงได้อย่างต่อเนื่อง ซึ่งอาจเกี่ยวข้องกับการสร้างบัญชีผู้ใช้ใหม่ การแก้ไขบัญชีที่มีอยู่ การปรับใช้ Backdoor หรือการสร้างเครื่องมือเข้าถึงระยะไกล EDR อาจตรวจพบกิจกรรมเหล่านี้ แต่หากไม่มีการตอบสนองที่ทันท่วงที กิจกรรมเหล่านี้ก็จะฝังรากลึก
3. การสำรวจภายใน (Internal Reconnaissance): จากนั้นผู้โจมตีจะสำรวจเครือข่ายเพื่อทำความเข้าใจสภาพแวดล้อม พวกเขาสร้างแผนที่โครงสร้างเครือข่าย ระบุระบบที่สำคัญ ค้นหาตำแหน่งข้อมูลที่ละเอียดอ่อน และแจกแจงผู้ใช้และกลุ่ม ขั้นตอนนี้สร้างกิจกรรมที่ผิดปกติมากขึ้น เช่น การสแกนภายในที่ผิดปกติ การเข้าถึงไดเรกทอรีโดยบัญชีที่ไม่ได้รับอนุญาต ซึ่งหากพลาดไป จะทำให้การละเมิดลึกซึ้งยิ่งขึ้น
4. การยกระดับสิทธิ์ (Privilege Escalation): เพื่อให้ได้การควบคุมที่มากขึ้น ผู้โจมตีจะพยายามยกระดับสิทธิ์ของตน ซึ่งอาจเกี่ยวข้องกับการใช้ประโยชน์จากการกำหนดค่าที่ไม่ถูกต้อง ช่องโหว่ของเคอร์เนล หรือการดัมพ์ข้อมูลประจำตัว เครื่องมือเช่น Mimikatz หรือการใช้ช่องโหว่กับ Active Directory เป็นเรื่องปกติ EDR อาจตั้งค่าสถานะเทคนิคเฉพาะเหล่านี้ แต่ความล่าช้าในการตรวจจับและการตอบสนองเป็นสิ่งสำคัญอีกครั้ง
5. การเคลื่อนที่ด้านข้าง (Lateral Movement): เมื่อได้รับสิทธิ์ที่สูงขึ้น ผู้โจมตีจะเคลื่อนที่ข้ามเครือข่ายเพื่อบรรลุวัตถุประสงค์ ซึ่งมักจะเกี่ยวข้องกับเทคนิคเช่น Pass-the-Hash, การจี้ RDP หรือการใช้ประโยชน์จากเครื่องมือการดูแลระบบระยะไกลที่ถูกต้องตามกฎหมาย การกระโดดข้ามด้านข้างแต่ละครั้งสร้างสิ่งประดิษฐ์ทางนิติวิทยาศาสตร์ใหม่ที่สามารถตรวจจับได้
6. การบรรลุวัตถุประสงค์ (Objective Achievement): ขั้นตอนสุดท้ายนี้ขึ้นอยู่กับเป้าหมายของผู้โจมตี ไม่ว่าจะเป็นการขโมยข้อมูล การปรับใช้มัลแวร์เรียกค่าไถ่ การก่อวินาศกรรม หรือการรักษาสายลับระยะยาว ณ จุดนี้ ผู้โจมตีมีเวลาหลายวันหรือหลายสัปดาห์ในการดำเนินการ ทำให้การควบคุมและการกู้คืนซับซ้อนและมีค่าใช้จ่ายสูงขึ้นอย่างมาก

สิ่งที่ผู้ป้องกันพลาดไป

ในสถานการณ์การละเมิดหลายวันนี้ ผู้ป้องกัน โดยเฉพาะผู้ให้บริการ MDR มักจะพลาดองค์ประกอบสำคัญหลายประการ:

• การจัดบริบทของการแจ้งเตือน: เครื่องมือ EDR มีประสิทธิภาพในการบันทึกและตรวจจับการกระทำเฉพาะ อย่างไรก็ตาม หากไม่มีการจัดบริบทที่เหมาะสมโดยนักวิเคราะห์ที่เป็นมนุษย์ การแจ้งเตือนเช่น "ผู้ใช้ถูกเพิ่มในกลุ่มผู้ใช้ระยะไกล" อาจถูกละเลยว่าเป็นกิจกรรมที่ถูกต้องตามกฎหมายในเวลากลางคืน แทนที่จะเป็นสัญญาณบ่งชี้การโจมตีที่ใหญ่ขึ้น คุณค่าของ EDR อยู่ที่บุคคลที่ตีความผลลัพธ์ของมัน
• ความสัมพันธ์ของเหตุการณ์: ผู้โจมตีไม่ค่อยบรรลุเป้าหมายด้วยการกระทำเพียงครั้งเดียว พวกเขาดำเนินการเป็นลูกโซ่ของเหตุการณ์ บริการ MDR ที่ล้มเหลวในการเชื่อมโยงการแจ้งเตือนที่ดูเหมือนไม่เกี่ยวข้องกันในระบบหรือช่วงเวลาที่แตกต่างกัน จะพลาดภาพรวมที่ใหญ่ขึ้นของการโจมตีที่กำลังพัฒนา "การเข้าสู่ระบบที่ถูกตั้งค่าสถานะครั้งเดียว" ไม่ค่อยเกิดขึ้นโดดเดี่ยว
• การสอบสวนและการตอบสนองที่ทันท่วงที: การตอบสนองตามปกติจากบริการ Managed EDR ควรเกี่ยวข้องกับการสอบสวนและการควบคุมอย่างรวดเร็ว หากการแจ้งเตือนไม่ได้รับการสอบสวนทันที หรือหากการสอบสวนเป็นเพียงผิวเผิน หน้าต่างแห่งโอกาสของผู้โจมตีก็จะกว้างขึ้น ผู้ให้บริการ MDR บางรายเน้นการแจ้งเตือนแบบเรียลไทม์และการตอบสนองที่รวดเร็ว ซึ่งเน้นย้ำถึงความสำคัญของความเร็ว
• ความเข้าใจในพฤติกรรมพื้นฐาน: ผู้ให้บริการ MDR จำเป็นต้องมีความเข้าใจที่ชัดเจนเกี่ยวกับรูปแบบการดำเนินงานปกติของลูกค้า หากไม่มีสิ่งนี้ กิจกรรมที่ผิดปกติก็จะระบุได้ยากขึ้น สิ่งที่ผิดปกติสำหรับองค์กรหนึ่งอาจเป็นเรื่องปกติสำหรับอีกองค์กรหนึ่ง สิ่งนี้ต้องอาศัยการผสานรวมอย่างลึกซึ้งและการเรียนรู้อย่างต่อเนื่องจากฝั่ง MDR
• การล่าภัยคุกคามเชิงรุก: ในขณะที่ EDR มุ่งเน้นไปที่เทคนิคการโจมตีที่รู้จัก MDR ที่มีประสิทธิภาพควรเกี่ยวข้องกับการล่าภัยคุกคามเชิงรุก (proactive threat hunting) – การค้นหาภัยคุกคามที่ไม่รู้จักหรือไม่ถูกตั้งค่าสถานะภายในสภาพแวดล้อม หาก MDR ตอบสนองต่อการแจ้งเตือนเท่านั้น การเคลื่อนไหวของผู้โจมตีที่ละเอียดอ่อนก็อาจไม่ถูกสังเกตเห็นได้

รายการตรวจสอบการป้องกันที่นำไปปฏิบัติได้จริง

เพื่อลดความเสี่ยงของการละเมิดหลายวันที่เกิดจากการพลาดการแจ้งเตือน MDR, CISO และวิศวกรความปลอดภัยควรใช้กลยุทธ์ที่แข็งแกร่งและหลายชั้น:

• ทบทวน SLA และเส้นทางการยกระดับของ MDR: ตรวจสอบให้แน่ใจว่าสัญญา MDR ของคุณกำหนดความรุนแรงของการแจ้งเตือน เวลาตอบสนอง และขั้นตอนการยกระดับที่ชัดเจน โดยเฉพาะอย่างยิ่งสำหรับความผิดปกติทางพฤติกรรมที่สำคัญหรือน่าสงสัย ทดสอบเส้นทางเหล่านี้เป็นประจำ
• เรียกร้องรายงานตามบริบท: อย่าพอใจกับข้อมูลการแจ้งเตือนดิบ ยืนยันให้ MDR ของคุณให้การแจ้งเตือนที่เสริมด้วยข้อมูลบริบท โดยเชื่อมโยงเหตุการณ์ต่างๆ ทั่วทั้ง Endpoint และเครือข่ายเพื่อสร้างภาพที่ชัดเจนยิ่งขึ้นของภัยคุกคามที่อาจเกิดขึ้น
• ผสานรวมทีมภายในกับ MDR: ส่งเสริมการสื่อสารและการทำงานร่วมกันอย่างราบรื่นระหว่างทีมรักษาความปลอดภัยภายในของคุณและนักวิเคราะห์ MDR แบ่งปันข้อมูลเชิงลึกเกี่ยวกับการดำเนินงานทางธุรกิจที่เป็นเอกลักษณ์และพฤติกรรมพื้นฐานของคุณเพื่อปรับปรุงประสิทธิภาพการแจ้งเตือน
• ใช้การทดสอบเชิงรุกแบบอัตโนมัติ: ท้าทายความสามารถในการตรวจจับของ MDR ของคุณอย่างต่อเนื่องด้วย Proof-of-Concepts (PoCs) ที่สามารถดำเนินการได้จริงและเลียนแบบ TTP ของผู้โจมตีจริง แทนที่จะพึ่งพาการประเมินเชิงทฤษฎีเพียงอย่างเดียว สิ่งนี้ช่วยตรวจสอบประสิทธิภาพของพวกเขาในสถานการณ์จริง
• ปรับปรุงการมองเห็น Endpoint: ตรวจสอบให้แน่ใจว่าเอเจนต์ EDR ของคุณถูกปรับใช้ทั่วทั้ง Endpoint ที่สำคัญทั้งหมด (แล็ปท็อป เซิร์ฟเวอร์ โทรศัพท์มือถือ) และได้รับการกำหนดค่าให้รวบรวมบันทึกที่ครอบคลุม เพื่อให้หลักฐานทางนิติวิทยาศาสตร์ที่จำเป็นสำหรับการสอบสวนอย่างละเอียด
• ฝึกฝนแผนการตอบสนองต่อเหตุการณ์เป็นประจำ: ดำเนินการฝึกซ้อมบนโต๊ะ (tabletop exercises) และการจำลองสถานการณ์ที่รวมถึงสถานการณ์ที่พลาดการแจ้งเตือนเริ่มต้น โดยประเมินว่าองค์กรของคุณและพันธมิตร MDR ของคุณจะตรวจจับและตอบสนองต่อการค้นพบการละเมิดที่ล่าช้าได้อย่างไร
• ตรวจสอบความสามารถในการล่าภัยคุกคาม: ยืนยันว่าผู้ให้บริการ MDR ของคุณทำการล่าภัยคุกคามเชิงรุกอย่างจริงจัง ไม่ใช่แค่การตรวจสอบการแจ้งเตือนแบบตอบสนองเท่านั้น เพื่อค้นพบเทคนิคการโจมตีที่ซ่อนเร้นหรือแปลกใหม่ที่อาจเลี่ยงกฎการตรวจจับแบบดั้งเดิมได้

การทดสอบเชิงรุกสมัยใหม่จะช่วยตรวจจับสิ่งนี้ได้อย่างไร

รูปแบบการแจ้งเตือนที่พลาดไปซ้ำๆ เน้นย้ำถึงช่องว่างพื้นฐานในกลยุทธ์การป้องกัน: การพึ่งพาการตรวจสอบแบบตอบสนองเพียงอย่างเดียว นี่คือจุดที่การทดสอบเชิงรุกสมัยใหม่ โดยเฉพาะอย่างยิ่งการทดสอบเชิงรุกแบบอัตโนมัติด้วย Proof-of-Concepts (PoCs) ที่สามารถดำเนินการได้ กลายเป็นสิ่งที่มีค่าอย่างยิ่ง แพลตฟอร์มของเราซึ่งเชี่ยวชาญในการทดสอบเชิงรุกแบบอัตโนมัติของ SOC แบบสดด้วย PoCs ที่สามารถดำเนินการได้ ได้รับการออกแบบมาเพื่อแก้ไขช่องโหว่นี้โดยตรง

แทนที่จะรอการละเมิดจริง แพลตฟอร์มของเราจะจำลองกลยุทธ์ เทคนิค และขั้นตอน (TTPs) ของผู้โจมตีในโลกแห่งความเป็นจริงภายในสภาพแวดล้อมจริงของคุณ นี่ไม่ใช่แค่การสแกนช่องโหว่เท่านั้น แต่ยังเกี่ยวกับการดำเนินการห่วงโซ่การโจมตีที่ไม่เป็นอันตรายแต่สมจริง ซึ่งเลียนแบบวิธีการทำงานของผู้บุกรุก ตัวอย่างเช่น มันสามารถจำลองความพยายามในการดัมพ์ข้อมูลประจำตัว การเคลื่อนที่ด้านข้าง หรือการสร้างความคงทน ซึ่งเป็นประเภทของกิจกรรมที่สร้าง "การเข้าสู่ระบบที่ถูกตั้งค่าสถานะหนึ่งครั้ง" หรือ "กระบวนการที่ผิดปกติหนึ่งครั้ง" ที่มักจะถูกมองข้ามไป

เมื่อ PoCs ที่สามารถดำเนินการได้เหล่านี้ทำงาน พวกมันจะกระตุ้นการแจ้งเตือนเช่นเดียวกับที่ผู้โจมตีจริงจะทำได้ ความแตกต่างคือสิ่งเหล่านี้เป็นเหตุการณ์ที่ถูกควบคุมและรู้จัก สิ่งนี้ช่วยให้องค์กรของคุณสามารถตรวจสอบได้แบบเรียลไทม์ว่าเครื่องมือ EDR ของผู้ให้บริการ MDR และนักวิเคราะห์ที่เป็นมนุษย์กำลังตรวจจับ ยกระดับ และตอบสนองต่อตัวบ่งชี้ที่ละเอียดอ่อนเหล่านี้อย่างเหมาะสมหรือไม่ หาก PoC ทำงานและ MDR ล้มเหลวในการสร้างการตอบสนองที่ทันท่วงทีและเหมาะสม มันจะเปิดเผยจุดบอดที่สำคัญ ก่อน ที่ผู้โจมตีจริงจะใช้ประโยชน์จากมัน สิ่งนี้ให้ข้อมูลเชิงลึกที่นำไปปฏิบัติได้เพื่อปรับแต่งกฎการตรวจจับ ปรับปรุงการฝึกอบรมนักวิเคราะห์ และปรับปรุงขั้นตอนการยกระดับ ซึ่งจะเปลี่ยนการละเมิดที่อาจเกิดขึ้นหลายวันให้กลายเป็นเหตุการณ์ที่ตรวจพบและควบคุมได้ทันที

สิ่งที่ต้องจับตาดูต่อไป

ภูมิทัศน์ความปลอดภัยทางไซเบอร์ยังคงพัฒนาอย่างต่อเนื่อง และด้วยเหตุนี้ กลยุทธ์ที่จำเป็นในการป้องกันภัยคุกคามที่ซับซ้อนก็เช่นกัน ในอนาคต CISO จะต้องมุ่งเน้นไปที่ประเด็นสำคัญหลายประการเพื่อนำหน้ารูปแบบเหตุการณ์นี้ ประการแรก คาดว่าจะมีการตรวจสอบประสิทธิภาพของผู้ให้บริการ MDR เพิ่มขึ้น โดยก้าวข้ามการรับประกันการทำงานปกติไปสู่ประสิทธิภาพการตรวจจับและตอบสนองต่อภัยคุกคามที่พิสูจน์ได้ สิ่งนี้จะทำให้ต้องมีการรายงานที่โปร่งใสมากขึ้น และอาจมีการตรวจสอบความสามารถของพวกเขาโดยอิสระ

ประการที่สอง การรวม AI และ Machine Learning เข้ากับการปฏิบัติการด้านความปลอดภัยทั้งเชิงรุกและเชิงรับจะเร่งตัวขึ้น แม้ว่าเทคโนโลยีเหล่านี้จะสัญญาว่าจะช่วยเพิ่มความสัมพันธ์ของการแจ้งเตือนและลด False Positive แต่ก็ยังนำเสนอความท้าทายใหม่ๆ ในการทำความเข้าใจและตรวจสอบผลลัพธ์ของพวกเขา CISO จะต้องลงทุนในทีมรักษาความปลอดภัยที่มีความสามารถในการกำกับดูแลและเพิ่มประสิทธิภาพของเครื่องมือขั้นสูงเหล่านี้

สุดท้าย การเน้นย้ำถึงการตรวจสอบการควบคุมความปลอดภัยอย่างต่อเนื่องและเชิงรุกจะเติบโตขึ้นเท่านั้น ยุคของการ 'ตั้งค่าและลืม' สำหรับบริการรักษาความปลอดภัยได้สิ้นสุดลงแล้ว องค์กรต่างๆ จะนำวิธีการต่างๆ เช่น การทำ Red Teaming อย่างต่อเนื่อง และการทดสอบเชิงรุกแบบอัตโนมัติมาใช้มากขึ้น เพื่อให้แน่ใจว่าการป้องกันของพวกเขา รวมถึงพันธมิตร MDR ของพวกเขา มีความยืดหยุ่นอย่างแท้จริงต่อภัยคุกคามล่าสุด เป้าหมายคือการเปลี่ยนจากท่าทีตอบสนอง ซึ่งการละเมิดถูกค้นพบในหลายวันต่อมา ไปสู่ท่าทีเชิงรุก ซึ่งเสียงกระซิบแรกของการโจมตีจะได้รับการตอบสนองทันทีและเด็ดขาด