เมื่อ Watchtower ล้มเหลว: การเจาะลึกการละเมิดหลายวันที่ MDR มองข้าม
เจาะลึกช่องโหว่ที่สำคัญของการแจ้งเตือนที่พลาดโดยผู้ให้บริการ MDR ซึ่งนำไปสู่ระยะเวลาการละเมิดที่ยาวนานขึ้นและความเสี่ยงทางธุรกิจที่เพิ่มขึ้น ซึ่งได้รับแรงหนุนจากปริมาณการโจมตีที่ขับเคลื่อนด้วย AI
ภูมิทัศน์ความปลอดภัยทางไซเบอร์ถูกกำหนดโดยความเร็วและการซ่อนเร้นเพิ่มมากขึ้น อย่างไรก็ตาม รูปแบบที่น่าตกใจได้ปรากฏขึ้น: การละเมิดที่ไม่ถูกตรวจจับเป็นเวลาหลายวัน แม้จะมีบริการ Managed Detection and Response (MDR) อยู่ก็ตาม นี่ไม่ใช่แค่การแจ้งเตือนที่พลาดไปเพียงครั้งเดียว แต่เป็นการล่มสลายของระบบที่ตัวบ่งชี้ภัยคุกคามที่สำคัญสูญหายไปในความวุ่นวาย นำไปสู่การประนีประนอมที่ยืดเยื้อและความเสียหายที่ขยายวงกว้างขึ้น
เกิดอะไรขึ้น
องค์กรต่างๆ แม้จะลงทุนอย่างมากในเทคโนโลยีการตรวจจับ แต่ก็กำลังประสบกับการละเมิดหลายวันที่กิจกรรมการประนีประนอมเริ่มต้นถูกพลาดไปโดยสิ้นเชิงโดยผู้ให้บริการ MDR ของตน การละเลยนี้ทำให้นักโจมตีสามารถสร้างความคงทน ถอนข้อมูล และเคลื่อนที่ไปทั่วเครือข่ายก่อนที่จะมีการแจ้งเตือนใดๆ ปัญหาหลักมักเกิดจากปริมาณการแจ้งเตือนที่ล้นหลามซึ่งแม้แต่ทีมผู้เชี่ยวชาญก็ยังคงพยายามจัดการอย่างมีประสิทธิภาพ
ข้อสังเกตบางประการเน้นย้ำถึงกรณีที่กิจกรรมการละเมิดถูกตรวจพบและหยุดลง แม้ว่าโซลูชันความปลอดภัยอื่นๆ อาจไม่ระบุได้ สิ่งนี้เน้นย้ำถึงการพึ่งพาบริการตรวจจับขั้นสูงเพื่อจับสิ่งที่เครื่องมืออื่นๆ ไม่สามารถทำได้ ทำให้ความล้มเหลวใดๆ ในการทำเช่นนั้นมีความสำคัญเป็นพิเศษ วัตถุประสงค์ของผู้ให้บริการดังกล่าวคือเพื่อให้แน่ใจว่ามีการตรวจสอบภัยคุกคามอย่างต่อเนื่องเพื่อป้องกันไม่ให้การละเมิดดำเนินไปโดยไม่ถูกตรวจสอบจนกว่าจะสายเกินไป
เหตุใดรูปแบบนี้จึงเกิดขึ้นซ้ำๆ
สาเหตุหลักของรูปแบบที่เกิดขึ้นซ้ำๆ นี้มีหลายแง่มุม แต่ความเหนื่อยล้าจากการแจ้งเตือนโดดเด่นในฐานะตัวขับเคลื่อนหลัก นักวิเคราะห์ SOC ถูกท่วมท้นด้วยการแจ้งเตือนหลายพันรายการทุกวัน ทำให้ยากต่อการระบุภัยคุกคามที่แท้จริง ปัญหานี้กำลังเร่งตัวขึ้น โดย AI ลดอุปสรรคสำหรับอาชญากรไซเบอร์ในการเปิดตัวการโจมตีขนาดใหญ่และท่วมท้นอย่างมาก
แคมเปญฟิชชิงที่สร้างโดย AI การพัฒนาซอฟต์แวร์ที่เป็นอันตรายโดยอัตโนมัติ และการสอดแนมอย่างชาญฉลาดทำให้นักโจมตีสามารถสร้างกิจกรรมที่เป็นอันตรายได้มากกว่าที่เคยเป็นมา เมื่อปริมาณการโจมตีเพิ่มขึ้น การแจ้งเตือนที่สร้างโดยเครื่องมือรักษาความปลอดภัยแบบดั้งเดิมก็เพิ่มขึ้นเช่นกัน สิ่งนี้สร้างสถานการณ์ที่ทีมรักษาความปลอดภัยใช้เวลาในการจัดเรียงการแจ้งเตือนมากกว่าการหยุดการโจมตีอย่างแข็งขัน ทำให้เหตุการณ์สำคัญพลาดได้ง่ายขึ้น
ปริมาณการโจมตีที่สร้างโดย AI อย่างมหาศาลกำลังท่วมท้นกลไกการตรวจจับแบบดั้งเดิม ทำให้การจัดการการแจ้งเตือนกลายเป็นความเสี่ยงทางธุรกิจที่สำคัญมากกว่าแค่ความเสี่ยงในการดำเนินงาน
แผนการเล่นของผู้โจมตีทีละขั้นตอน
ผู้โจมตีกำลังใช้ AI เพื่อทำให้ขั้นตอนต่างๆ ของการปฏิบัติงานเป็นไปโดยอัตโนมัติ ซึ่งมีส่วนทำให้เกิดการแจ้งเตือนจำนวนมาก แผนการเล่นของพวกเขากำลังซับซ้อนขึ้นเรื่อยๆ และมีปริมาณมาก ซึ่งรวมถึงการสร้างอีเมลฟิชชิงที่น่าเชื่อถือในไม่กี่วินาที การสร้างตัวแปรของมัลแวร์ที่ไม่ซ้ำกันเพื่อหลบเลี่ยงการตรวจจับตามลายเซ็น และการสแกนระบบที่หันหน้าเข้าหาอินเทอร์เน็ตหลายพันระบบพร้อมกัน พวกเขายังเปิดการโจมตีข้อมูลประจำตัวในระดับที่ไม่เคยมีมาก่อน
ระบบอัตโนมัตินี้หมายความว่าความพยายามในการเข้าถึงเบื้องต้น ซึ่งอาจสร้างการแจ้งเตือนที่มีลำดับความสำคัญต่ำจำนวนมาก มักจะเป็นเพียงส่วนนำไปสู่การประนีประนอมที่สำคัญยิ่งขึ้น จำนวนความพยายามเหล่านี้สามารถปกปิดจุดเข้าใช้งานที่สำเร็จ ทำให้นักโจมตีสามารถหลีกเลี่ยงการตรวจจับเบื้องต้นและสร้างฐานที่มั่นได้ เมื่ออยู่ภายในแล้ว พวกเขาสามารถดำเนินการได้อย่างอิสระจนกว่าตัวบ่งชี้ที่ชัดเจนยิ่งขึ้น ซึ่งมักจะช้ากว่ามาก จะกระตุ้นให้เกิดการสอบสวน
สิ่งที่ผู้ป้องกันพลาดไป
ผู้ป้องกัน แม้แต่ผู้ที่พึ่งพา MDR ก็กำลังพลาดตัวบ่งชี้เริ่มต้นที่สำคัญของการประนีประนอม นี่ไม่ใช่การขาดเครื่องมือ แต่เป็นความล้มเหลวในส่วนติดต่อระหว่างมนุษย์กับเครื่องจักร ตัวอย่างเช่น Managed EDR มีเป้าหมายที่จะเพิ่มชั้นของผู้เชี่ยวชาญด้านความปลอดภัยที่ตรวจสอบสภาพแวดล้อมตลอด 24 ชั่วโมง ตรวจสอบการแจ้งเตือนทุกรายการ และตอบสนอง อย่างไรก็ตาม หากผู้เชี่ยวชาญเหล่านี้ถูกท่วมท้น คุณค่าก็จะลดลง
สิ่งที่พลาดไปที่สำคัญมักจะเป็นความไม่สามารถแยกแยะสัญญาณที่สำคัญออกจากเสียงรบกวนเบื้องหลัง แม้ว่าจะมีเทคโนโลยีการตรวจจับอยู่ แต่ปริมาณการแจ้งเตือนที่มหาศาล ซึ่งเพิ่มขึ้นจากการโจมตีที่ขับเคลื่อนด้วย AI หมายความว่าภัยคุกคามที่แท้จริงกำลังถูกมองข้าม สิ่งนี้นำไปสู่สถานการณ์ที่การประนีประนอมถูกตรวจพบหลังจากที่ดำเนินไปอย่างมีนัยสำคัญแล้ว มักจะหลายวันหลังจากเข้าสู่ระบบครั้งแรก เมื่อศักยภาพความเสียหายมีมากกว่ามาก
รายการตรวจสอบการป้องกันเชิงปฏิบัติ
เพื่อตอบโต้ภัยคุกคามที่กำลังพัฒนาขึ้นนี้ CISOs และวิศวกรความปลอดภัยต้องประเมินท่าทีการป้องกันของตนใหม่ แนวทางเชิงรุกที่มุ่งเน้นการลดเสียงรบกวนและเพิ่มความชัดเจนของสัญญาณเป็นสิ่งจำเป็น:
- ใช้กลไกการเชื่อมโยงและการจัดลำดับความสำคัญของการแจ้งเตือนที่แข็งแกร่งเพื่อลดภาระงานของนักวิเคราะห์
- ใช้ฟีดข้อมูลภัยคุกคามเพื่อกำหนดบริบทการแจ้งเตือนและระบุกลยุทธ์ เทคนิค และขั้นตอน (TTPs) ของผู้โจมตีที่รู้จัก
- ทบทวนและปรับแต่งกฎการตรวจจับเป็นประจำเพื่อลดผลบวกลวงและยกระดับการแจ้งเตือนที่สำคัญ
- ดำเนินการฝึกซ้อมตอบสนองต่อเหตุการณ์เป็นระยะเพื่อปรับปรุงประสิทธิภาพของทีมในสถานการณ์ที่มีความกดดันสูง
- ตรวจสอบให้แน่ใจว่าผู้ให้บริการ MDR ให้รายละเอียดเกี่ยวกับวิธีการจัดลำดับความสำคัญของการแจ้งเตือนและเส้นทางการยกระดับ
- ลงทุนในการวิเคราะห์พฤติกรรมขั้นสูงเพื่อตรวจจับความผิดปกติที่อาจหลีกเลี่ยงการตรวจจับตามลายเซ็น
- ทำให้งานการจัดเรียงการแจ้งเตือนที่ซ้ำซากเป็นไปโดยอัตโนมัติเท่าที่จะทำได้เพื่อเพิ่มเวลาของนักวิเคราะห์สำหรับการตรวจสอบที่ซับซ้อน
การทดสอบเชิงรุกสมัยใหม่จะจับสิ่งนี้ได้อย่างไร
วิธีการทดสอบเชิงรุกสมัยใหม่กำลังเกิดขึ้นเป็นส่วนเสริมที่สำคัญของกลยุทธ์การป้องกันแบบดั้งเดิม โดยเฉพาะอย่างยิ่งกับการโจมตีที่เร่งด้วย AI แนวทางเหล่านี้มักจะเกี่ยวข้องกับการจำลองสถานการณ์การโจมตีในโลกแห่งความเป็นจริงอย่างต่อเนื่อง รวมถึงการโจมตีที่ใช้ AI กับสภาพแวดล้อมจริงขององค์กร ด้วยการเปิดตัวเทคนิคการโจมตีจำลองโดยอัตโนมัติ ระบบเหล่านี้สามารถระบุช่องว่างในการตรวจจับและความสามารถในการตอบสนอง ก่อน ที่ผู้โจมตีจริงจะใช้ประโยชน์จากช่องว่างเหล่านั้น การตรวจสอบเชิงรุกนี้ช่วยให้มั่นใจได้ว่าการแจ้งเตือนถูกสร้าง จัดลำดับความสำคัญ และดำเนินการอย่างถูกต้อง โดยตรงจัดการกับความเหนื่อยล้าจากการแจ้งเตือนและรูปแบบการแจ้งเตือนที่พลาดไปซึ่งอาจส่งผลกระทบต่อการปฏิบัติงานด้านความปลอดภัย มันให้การประเมินที่เป็นกลางและต่อเนื่องว่ามาตรการรักษาความปลอดภัยมีประสิทธิภาพจริงหรือไม่ หรือการแจ้งเตือนของพวกเขาถูกมองข้ามไป
สิ่งที่ต้องจับตาดูต่อไป
อุตสาหกรรมความปลอดภัยทางไซเบอร์ต้องเตรียมพร้อมสำหรับการยกระดับความซับซ้อนและปริมาณการโจมตีที่ขับเคลื่อนด้วย AI มากยิ่งขึ้น ตลาดสำหรับบริการ Managed Detection and Response (MDR) กำลังเติบโตอย่างมีนัยสำคัญ ซึ่งบ่งชี้ถึงการพึ่งพาบริการเหล่านี้ที่เพิ่มขึ้น อย่างไรก็ตาม การเติบโตนี้จะต้องมาพร้อมกับนวัตกรรมที่จัดการกับปัญหาความเหนื่อยล้าจากการแจ้งเตือนโดยตรง
คาดว่าจะมีการมุ่งเน้นอย่างต่อเนื่องในการเชื่อมโยงการแจ้งเตือนที่ขับเคลื่อนด้วย AI ความสามารถในการตอบสนองอัตโนมัติ และการสร้างแบบจำลองภัยคุกคามที่ซับซ้อนมากขึ้นภายในข้อเสนอของ MDR ความสามารถในการกรองเสียงรบกวนและจัดลำดับความสำคัญของภัยคุกคามที่แท้จริงจะสร้างความแตกต่างให้กับผู้ให้บริการ MDR ชั้นนำ นอกจากนี้ การรวมการทดสอบเชิงรุกอย่างต่อเนื่องเป็นแนวปฏิบัติมาตรฐานจะมีความสำคัญอย่างยิ่งต่อการตรวจสอบประสิทธิภาพของบริการเหล่านี้แบบเรียลไทม์ เพื่อให้แน่ใจว่าหอสังเกตการณ์ทำหน้าที่ป้องกันอย่างแท้จริง
Letture correlate
ผู้ก่อวินาศกรรมเงียบ: การหมดไฟของนักวิเคราะห์ SOC กระตุ้นความล้าจากแจ้งเตือนและกัดกร่อนความปลอดภัยขององค์กรได้อย่างไร
การหมดไฟของนักวิเคราะห์ SOC ซึ่งเกิดจากการแจ้งเตือนที่ท่วมท้น ไม่ใช่แค่ปัญหาด้านทรัพยากรบุคคลอีกต่อไป แต่เป็นรูปแบบช่องโหว่ร้ายแรงที่ผู้โจมตีใช้ประโยชน์อย่างแข็งขัน นำไปสู่การพลาดภัยคุกคามและการป้องกันที่อ่อนแอ รายงานนี้วิเคราะห์ว่าความล้าจากการแจ้งเตือนบั่นทอนความสามารถในการตรวจจับได้อย่างไร และนำเสนอพิมพ์เขียวเชิงกลยุทธ์สำหรับการปฏิบัติการด้านความปลอดภัยที่ยืดหยุ่น
เมื่อผู้เฝ้าระวังพลาด: แกะรอยการละเมิดหลายวันหลังจากพลาดการแจ้งเตือน MDR
การตรวจสอบอย่างละเอียดถึงรูปแบบที่ทวีความรุนแรงขึ้น ซึ่งบริการ Managed Detection and Response (MDR) ล้มเหลวในการแจ้งเตือนตัวบ่งชี้การละเมิดเริ่มต้น นำไปสู่ระยะเวลาที่ผู้โจมตีอยู่ในระบบนานขึ้นและผลกระทบที่ขยายวงกว้างขึ้น เราจะวิเคราะห์ช่องว่างในการดำเนินงานและความผิดพลาดทางเทคนิคที่นำไปสู่แนวโน้มอันตรายนี้ พร้อมนำเสนอข้อมูลเชิงลึกที่นำไปปฏิบัติได้สำหรับ CISO และวิศวกรความปลอดภัย
ผู้ร้ายเงียบ: เจาะลึกระยะเวลาแฝงตัวของแรนซัมแวร์และช่องว่างการตรวจจับที่ขยายตัว
รูปแบบเหตุการณ์ล่าสุดเผยให้เห็นช่องว่างที่สำคัญและกว้างขึ้นในการตรวจจับแรนซัมแวร์ ซึ่งเกิดจากผู้คุกคามที่ซับซ้อนใช้ประโยชน์จากระยะเวลาแฝงตัวที่ยาวนาน บทความนี้จะวิเคราะห์สาเหตุเบื้องหลัง กลวิธีที่เปลี่ยนแปลงไปของผู้โจมตี และกลยุทธ์การป้องกันที่ CISO ต้องนำมาใช้เพื่อตอบโต้การบุกรุกที่ซ่อนเร้นเหล่านี้