เมื่อ Watchtower ล้มเหลว: การเจาะลึกการละเมิดหลายวันที่ MDR มองข้าม

ภูมิทัศน์ความปลอดภัยทางไซเบอร์ถูกกำหนดโดยความเร็วและการซ่อนเร้นเพิ่มมากขึ้น อย่างไรก็ตาม รูปแบบที่น่าตกใจได้ปรากฏขึ้น: การละเมิดที่ไม่ถูกตรวจจับเป็นเวลาหลายวัน แม้จะมีบริการ Managed Detection and Response (MDR) อยู่ก็ตาม นี่ไม่ใช่แค่การแจ้งเตือนที่พลาดไปเพียงครั้งเดียว แต่เป็นการล่มสลายของระบบที่ตัวบ่งชี้ภัยคุกคามที่สำคัญสูญหายไปในความวุ่นวาย นำไปสู่การประนีประนอมที่ยืดเยื้อและความเสียหายที่ขยายวงกว้างขึ้น

เกิดอะไรขึ้น

องค์กรต่างๆ แม้จะลงทุนอย่างมากในเทคโนโลยีการตรวจจับ แต่ก็กำลังประสบกับการละเมิดหลายวันที่กิจกรรมการประนีประนอมเริ่มต้นถูกพลาดไปโดยสิ้นเชิงโดยผู้ให้บริการ MDR ของตน การละเลยนี้ทำให้นักโจมตีสามารถสร้างความคงทน ถอนข้อมูล และเคลื่อนที่ไปทั่วเครือข่ายก่อนที่จะมีการแจ้งเตือนใดๆ ปัญหาหลักมักเกิดจากปริมาณการแจ้งเตือนที่ล้นหลามซึ่งแม้แต่ทีมผู้เชี่ยวชาญก็ยังคงพยายามจัดการอย่างมีประสิทธิภาพ

ข้อสังเกตบางประการเน้นย้ำถึงกรณีที่กิจกรรมการละเมิดถูกตรวจพบและหยุดลง แม้ว่าโซลูชันความปลอดภัยอื่นๆ อาจไม่ระบุได้ สิ่งนี้เน้นย้ำถึงการพึ่งพาบริการตรวจจับขั้นสูงเพื่อจับสิ่งที่เครื่องมืออื่นๆ ไม่สามารถทำได้ ทำให้ความล้มเหลวใดๆ ในการทำเช่นนั้นมีความสำคัญเป็นพิเศษ วัตถุประสงค์ของผู้ให้บริการดังกล่าวคือเพื่อให้แน่ใจว่ามีการตรวจสอบภัยคุกคามอย่างต่อเนื่องเพื่อป้องกันไม่ให้การละเมิดดำเนินไปโดยไม่ถูกตรวจสอบจนกว่าจะสายเกินไป

เหตุใดรูปแบบนี้จึงเกิดขึ้นซ้ำๆ

สาเหตุหลักของรูปแบบที่เกิดขึ้นซ้ำๆ นี้มีหลายแง่มุม แต่ความเหนื่อยล้าจากการแจ้งเตือนโดดเด่นในฐานะตัวขับเคลื่อนหลัก นักวิเคราะห์ SOC ถูกท่วมท้นด้วยการแจ้งเตือนหลายพันรายการทุกวัน ทำให้ยากต่อการระบุภัยคุกคามที่แท้จริง ปัญหานี้กำลังเร่งตัวขึ้น โดย AI ลดอุปสรรคสำหรับอาชญากรไซเบอร์ในการเปิดตัวการโจมตีขนาดใหญ่และท่วมท้นอย่างมาก

แคมเปญฟิชชิงที่สร้างโดย AI การพัฒนาซอฟต์แวร์ที่เป็นอันตรายโดยอัตโนมัติ และการสอดแนมอย่างชาญฉลาดทำให้นักโจมตีสามารถสร้างกิจกรรมที่เป็นอันตรายได้มากกว่าที่เคยเป็นมา เมื่อปริมาณการโจมตีเพิ่มขึ้น การแจ้งเตือนที่สร้างโดยเครื่องมือรักษาความปลอดภัยแบบดั้งเดิมก็เพิ่มขึ้นเช่นกัน สิ่งนี้สร้างสถานการณ์ที่ทีมรักษาความปลอดภัยใช้เวลาในการจัดเรียงการแจ้งเตือนมากกว่าการหยุดการโจมตีอย่างแข็งขัน ทำให้เหตุการณ์สำคัญพลาดได้ง่ายขึ้น

ปริมาณการโจมตีที่สร้างโดย AI อย่างมหาศาลกำลังท่วมท้นกลไกการตรวจจับแบบดั้งเดิม ทำให้การจัดการการแจ้งเตือนกลายเป็นความเสี่ยงทางธุรกิจที่สำคัญมากกว่าแค่ความเสี่ยงในการดำเนินงาน

แผนการเล่นของผู้โจมตีทีละขั้นตอน

ผู้โจมตีกำลังใช้ AI เพื่อทำให้ขั้นตอนต่างๆ ของการปฏิบัติงานเป็นไปโดยอัตโนมัติ ซึ่งมีส่วนทำให้เกิดการแจ้งเตือนจำนวนมาก แผนการเล่นของพวกเขากำลังซับซ้อนขึ้นเรื่อยๆ และมีปริมาณมาก ซึ่งรวมถึงการสร้างอีเมลฟิชชิงที่น่าเชื่อถือในไม่กี่วินาที การสร้างตัวแปรของมัลแวร์ที่ไม่ซ้ำกันเพื่อหลบเลี่ยงการตรวจจับตามลายเซ็น และการสแกนระบบที่หันหน้าเข้าหาอินเทอร์เน็ตหลายพันระบบพร้อมกัน พวกเขายังเปิดการโจมตีข้อมูลประจำตัวในระดับที่ไม่เคยมีมาก่อน

ระบบอัตโนมัตินี้หมายความว่าความพยายามในการเข้าถึงเบื้องต้น ซึ่งอาจสร้างการแจ้งเตือนที่มีลำดับความสำคัญต่ำจำนวนมาก มักจะเป็นเพียงส่วนนำไปสู่การประนีประนอมที่สำคัญยิ่งขึ้น จำนวนความพยายามเหล่านี้สามารถปกปิดจุดเข้าใช้งานที่สำเร็จ ทำให้นักโจมตีสามารถหลีกเลี่ยงการตรวจจับเบื้องต้นและสร้างฐานที่มั่นได้ เมื่ออยู่ภายในแล้ว พวกเขาสามารถดำเนินการได้อย่างอิสระจนกว่าตัวบ่งชี้ที่ชัดเจนยิ่งขึ้น ซึ่งมักจะช้ากว่ามาก จะกระตุ้นให้เกิดการสอบสวน

สิ่งที่ผู้ป้องกันพลาดไป

ผู้ป้องกัน แม้แต่ผู้ที่พึ่งพา MDR ก็กำลังพลาดตัวบ่งชี้เริ่มต้นที่สำคัญของการประนีประนอม นี่ไม่ใช่การขาดเครื่องมือ แต่เป็นความล้มเหลวในส่วนติดต่อระหว่างมนุษย์กับเครื่องจักร ตัวอย่างเช่น Managed EDR มีเป้าหมายที่จะเพิ่มชั้นของผู้เชี่ยวชาญด้านความปลอดภัยที่ตรวจสอบสภาพแวดล้อมตลอด 24 ชั่วโมง ตรวจสอบการแจ้งเตือนทุกรายการ และตอบสนอง อย่างไรก็ตาม หากผู้เชี่ยวชาญเหล่านี้ถูกท่วมท้น คุณค่าก็จะลดลง

สิ่งที่พลาดไปที่สำคัญมักจะเป็นความไม่สามารถแยกแยะสัญญาณที่สำคัญออกจากเสียงรบกวนเบื้องหลัง แม้ว่าจะมีเทคโนโลยีการตรวจจับอยู่ แต่ปริมาณการแจ้งเตือนที่มหาศาล ซึ่งเพิ่มขึ้นจากการโจมตีที่ขับเคลื่อนด้วย AI หมายความว่าภัยคุกคามที่แท้จริงกำลังถูกมองข้าม สิ่งนี้นำไปสู่สถานการณ์ที่การประนีประนอมถูกตรวจพบหลังจากที่ดำเนินไปอย่างมีนัยสำคัญแล้ว มักจะหลายวันหลังจากเข้าสู่ระบบครั้งแรก เมื่อศักยภาพความเสียหายมีมากกว่ามาก

รายการตรวจสอบการป้องกันเชิงปฏิบัติ

เพื่อตอบโต้ภัยคุกคามที่กำลังพัฒนาขึ้นนี้ CISOs และวิศวกรความปลอดภัยต้องประเมินท่าทีการป้องกันของตนใหม่ แนวทางเชิงรุกที่มุ่งเน้นการลดเสียงรบกวนและเพิ่มความชัดเจนของสัญญาณเป็นสิ่งจำเป็น:

• ใช้กลไกการเชื่อมโยงและการจัดลำดับความสำคัญของการแจ้งเตือนที่แข็งแกร่งเพื่อลดภาระงานของนักวิเคราะห์
• ใช้ฟีดข้อมูลภัยคุกคามเพื่อกำหนดบริบทการแจ้งเตือนและระบุกลยุทธ์ เทคนิค และขั้นตอน (TTPs) ของผู้โจมตีที่รู้จัก
• ทบทวนและปรับแต่งกฎการตรวจจับเป็นประจำเพื่อลดผลบวกลวงและยกระดับการแจ้งเตือนที่สำคัญ
• ดำเนินการฝึกซ้อมตอบสนองต่อเหตุการณ์เป็นระยะเพื่อปรับปรุงประสิทธิภาพของทีมในสถานการณ์ที่มีความกดดันสูง
• ตรวจสอบให้แน่ใจว่าผู้ให้บริการ MDR ให้รายละเอียดเกี่ยวกับวิธีการจัดลำดับความสำคัญของการแจ้งเตือนและเส้นทางการยกระดับ
• ลงทุนในการวิเคราะห์พฤติกรรมขั้นสูงเพื่อตรวจจับความผิดปกติที่อาจหลีกเลี่ยงการตรวจจับตามลายเซ็น
• ทำให้งานการจัดเรียงการแจ้งเตือนที่ซ้ำซากเป็นไปโดยอัตโนมัติเท่าที่จะทำได้เพื่อเพิ่มเวลาของนักวิเคราะห์สำหรับการตรวจสอบที่ซับซ้อน

การทดสอบเชิงรุกสมัยใหม่จะจับสิ่งนี้ได้อย่างไร

วิธีการทดสอบเชิงรุกสมัยใหม่กำลังเกิดขึ้นเป็นส่วนเสริมที่สำคัญของกลยุทธ์การป้องกันแบบดั้งเดิม โดยเฉพาะอย่างยิ่งกับการโจมตีที่เร่งด้วย AI แนวทางเหล่านี้มักจะเกี่ยวข้องกับการจำลองสถานการณ์การโจมตีในโลกแห่งความเป็นจริงอย่างต่อเนื่อง รวมถึงการโจมตีที่ใช้ AI กับสภาพแวดล้อมจริงขององค์กร ด้วยการเปิดตัวเทคนิคการโจมตีจำลองโดยอัตโนมัติ ระบบเหล่านี้สามารถระบุช่องว่างในการตรวจจับและความสามารถในการตอบสนอง ก่อน ที่ผู้โจมตีจริงจะใช้ประโยชน์จากช่องว่างเหล่านั้น การตรวจสอบเชิงรุกนี้ช่วยให้มั่นใจได้ว่าการแจ้งเตือนถูกสร้าง จัดลำดับความสำคัญ และดำเนินการอย่างถูกต้อง โดยตรงจัดการกับความเหนื่อยล้าจากการแจ้งเตือนและรูปแบบการแจ้งเตือนที่พลาดไปซึ่งอาจส่งผลกระทบต่อการปฏิบัติงานด้านความปลอดภัย มันให้การประเมินที่เป็นกลางและต่อเนื่องว่ามาตรการรักษาความปลอดภัยมีประสิทธิภาพจริงหรือไม่ หรือการแจ้งเตือนของพวกเขาถูกมองข้ามไป

สิ่งที่ต้องจับตาดูต่อไป

อุตสาหกรรมความปลอดภัยทางไซเบอร์ต้องเตรียมพร้อมสำหรับการยกระดับความซับซ้อนและปริมาณการโจมตีที่ขับเคลื่อนด้วย AI มากยิ่งขึ้น ตลาดสำหรับบริการ Managed Detection and Response (MDR) กำลังเติบโตอย่างมีนัยสำคัญ ซึ่งบ่งชี้ถึงการพึ่งพาบริการเหล่านี้ที่เพิ่มขึ้น อย่างไรก็ตาม การเติบโตนี้จะต้องมาพร้อมกับนวัตกรรมที่จัดการกับปัญหาความเหนื่อยล้าจากการแจ้งเตือนโดยตรง

คาดว่าจะมีการมุ่งเน้นอย่างต่อเนื่องในการเชื่อมโยงการแจ้งเตือนที่ขับเคลื่อนด้วย AI ความสามารถในการตอบสนองอัตโนมัติ และการสร้างแบบจำลองภัยคุกคามที่ซับซ้อนมากขึ้นภายในข้อเสนอของ MDR ความสามารถในการกรองเสียงรบกวนและจัดลำดับความสำคัญของภัยคุกคามที่แท้จริงจะสร้างความแตกต่างให้กับผู้ให้บริการ MDR ชั้นนำ นอกจากนี้ การรวมการทดสอบเชิงรุกอย่างต่อเนื่องเป็นแนวปฏิบัติมาตรฐานจะมีความสำคัญอย่างยิ่งต่อการตรวจสอบประสิทธิภาพของบริการเหล่านี้แบบเรียลไทม์ เพื่อให้แน่ใจว่าหอสังเกตการณ์ทำหน้าที่ป้องกันอย่างแท้จริง