Mối Đe Dọa Thầm Lặng: Sự Kiệt Sức của Chuyên Viên SOC Góp Phần Vào Hội Chứng Mệt Mỏi Cảnh Báo và Mở Cửa Cho Kẻ Tấn Công

Các Trung tâm Điều hành An ninh (SOC) là trung tâm trong việc phòng thủ chống lại các mối đe dọa động. Tuy nhiên, đằng sau bề mặt của các công cụ và giao thức tinh vi, một thách thức đáng kể vẫn tồn tại: sự kiệt sức tràn lan của các chuyên viên SOC do hội chứng mệt mỏi cảnh báo. Yếu tố con người này, thường bị đánh giá thấp, đại diện cho một rủi ro bảo mật đáng chú ý mà các nhà lãnh đạo và kỹ sư bảo mật phải ưu tiên.

Điều gì đã xảy ra

Trong toàn ngành, các Trung tâm Điều hành An ninh thường xuyên đối mặt với các thách thức hoạt động. Các báo cáo chỉ ra một tỷ lệ đáng kể các chuyên viên SOC trải qua sự kiệt sức, thường liên quan đến hội chứng mệt mỏi cảnh báo. Vấn đề này vượt ra ngoài nguồn nhân lực, ảnh hưởng đến hiệu quả bảo mật. Khối lượng cảnh báo cao, nhiều trong số đó ít quan trọng, có thể làm căng thẳng năng lực của con người, có khả năng dẫn đến việc bỏ lỡ các phát hiện quan trọng.

Môi trường này có thể góp phần vào tỷ lệ nghỉ việc cao, với thời gian làm việc trung bình của chuyên viên ở một số trung tâm tương đối ngắn. Tỷ lệ nghỉ việc như vậy có thể ảnh hưởng đến kiến thức tổ chức và hiệu quả hoạt động, ảnh hưởng thêm đến nhân viên còn lại. Kết quả có thể là một tư thế bảo mật với những lỗ hổng tiềm ẩn, nơi các mối đe dọa có thể bị bỏ qua giữa khối lượng thông tin lớn.

Tại sao mô hình này cứ lặp lại

Bản chất lặp đi lặp lại của hội chứng mệt mỏi cảnh báo SOC thường gắn liền với các mô hình hoạt động hiện tại. Các hệ thống Quản lý Thông tin và Sự kiện Bảo mật (SIEM), trong khi hợp nhất dữ liệu nhật ký, có thể tạo ra một số lượng lớn cảnh báo. Nếu không có sự tinh chỉnh và ngữ cảnh đầy đủ, các cảnh báo này có thể trở nên quá tải thay vì cung cấp thông tin tình báo rõ ràng, có thể hành động.

Các tổ chức thường đầu tư vào nhiều công cụ phát hiện hơn, điều này có thể vô tình làm tăng khối lượng cảnh báo mà không tăng tương ứng nguồn nhân lực hoặc cải thiện chất lượng cảnh báo. Điều này có thể tạo ra một chu kỳ: nhiều cảnh báo hơn có thể dẫn đến sự mệt mỏi gia tăng, điều này có thể dẫn đến việc phân loại kém hiệu quả hơn, và do đó, khả năng bỏ lỡ các mối đe dọa hợp pháp cao hơn. Quy mô phân tích dữ liệu đôi khi có thể vượt quá khả năng xử lý của con người.

Một khối lượng lớn các cảnh báo không được phân biệt có thể ảnh hưởng đến khả năng phát hiện quan trọng, làm cho việc xác định các mối đe dọa thực sự trong một lượng lớn thông tin kỹ thuật số trở nên khó khăn hơn.

Kịch bản của kẻ tấn công từng bước

Các tác nhân đe dọa có thể tận dụng các yếu tố con người trong phòng thủ. Phương pháp của chúng có thể bắt đầu bằng việc trinh sát kéo dài, khối lượng thấp, tạo ra nhiều cảnh báo ít quan trọng hơn có thể bị giảm ưu tiên hoặc bỏ qua trong một môi trường ồn ào. Giai đoạn ban đầu này giúp chúng hiểu cấu trúc mạng và xác định các điểm yếu tiềm ẩn mà không kích hoạt các phản ứng ưu tiên cao ngay lập tức.

Sau đó, chúng có thể sử dụng các chiến dịch tinh vi để giành được chỗ đứng ban đầu. Các nỗ lực xâm nhập ban đầu này thường rất tinh tế, được thiết kế để trông giống như lưu lượng truy cập hợp pháp hoặc kích hoạt các cảnh báo ít khẩn cấp hơn. Khi các chuyên viên bận rộn với các cảnh báo thường xuyên, những dấu hiệu sớm có khả năng quan trọng này có thể bị bỏ qua hoặc chậm trễ trong việc điều tra.

Khi đã xâm nhập được, kẻ tấn công có thể di chuyển ngang, leo thang đặc quyền và thiết lập sự bền bỉ. Mỗi bước tạo ra nhiều dữ liệu nhật ký hơn, nhưng thường theo những cách có vẻ bất thường nhưng không quan trọng ngay lập tức, đặc biệt đối với một chuyên viên đang phải đối phó với khối lượng công việc cao. Khối lượng lớn các cảnh báo SIEM có nghĩa là những phát hiện quan trọng có thể bị che khuất bởi những phát hiện ít quan trọng hơn, có khả năng cho phép kẻ tấn công có thời gian để đạt được mục tiêu của chúng trước khi bị phát hiện.

Điều mà các nhà phòng thủ đã bỏ lỡ

Các nhà phòng thủ, thường tham gia vào việc phản ứng cảnh báo một cách thụ động, có thể bỏ lỡ một số cơ hội quan trọng. Chủ yếu, họ đôi khi gặp khó khăn trong việc ưu tiên và đặt ngữ cảnh cho các cảnh báo một cách hiệu quả. Nhiều SOC có thể thiếu các thực hành kỹ thuật phát hiện mạnh mẽ tập trung vào việc giảm bớt các cảnh báo ít quan trọng và tương quan các sự kiện liên quan thành các sự cố có ý nghĩa, thay vì chỉ là các cảnh báo riêng lẻ.

Hơn nữa, yếu tố con người đôi khi không được đánh giá đầy đủ. Nhu cầu về tinh thần đối với các chuyên viên có thể rất lớn, và việc thiếu các công cụ thực sự giảm bớt gánh nặng nhận thức – thay vì chỉ tự động hóa các tác vụ – có thể là một sự bỏ sót đáng kể. Nếu không có tự động hóa thích hợp cho các tác vụ thường xuyên và ưu tiên thông minh, các chuyên viên có thể được yêu cầu tự mình sắp xếp một lượng lớn dữ liệu, có khả năng dẫn đến việc bỏ sót. Trọng tâm đôi khi có thể là số lượng phát hiện hơn là hiệu quả của chúng.

Danh sách kiểm tra phòng thủ thực tế

• Thực hiện tinh chỉnh và tương quan cảnh báo mạnh mẽ: Liên tục tinh chỉnh các quy tắc SIEM để lọc bỏ thông tin ít quan trọng và tổng hợp các sự kiện liên quan thành các sự cố có thể hành động. Ưu tiên các cảnh báo có độ tin cậy cao.
• Tự động hóa việc phân loại và phản ứng thường xuyên: Tận dụng các nền tảng Điều phối, Tự động hóa và Phản ứng Bảo mật (SOAR) để xử lý các tác vụ lặp đi lặp lại như thu thập dữ liệu và ngăn chặn mối đe dọa ban đầu một cách tự động.
• Đầu tư vào đào tạo và phúc lợi của chuyên viên: Cung cấp giáo dục liên tục, đào tạo chéo và hỗ trợ để giảm bớt sự kiệt sức và cải thiện sự hài lòng trong công việc.
• Áp dụng kỹ thuật phát hiện tập trung vào mối đe dọa: Chuyển trọng tâm từ việc chỉ tạo cảnh báo sang kỹ thuật phát hiện dựa trên các chiến thuật, kỹ thuật và quy trình (TTP) của kẻ tấn công đã biết.
• Thường xuyên xem xét và tối ưu hóa các quy trình: Đảm bảo các quy trình phản ứng sự cố được cập nhật, hiệu quả và tích hợp với các công cụ tự động hóa để hợp lý hóa quy trình làm việc của chuyên viên.
• Áp dụng AI và Học máy để phát hiện bất thường: Sử dụng AI và ML để thiết lập các đường cơ sở, xác định các sai lệch so với hành vi bình thường và nhận dạng các mẫu tấn công phức tạp mà các chuyên viên con người có thể bỏ lỡ.

Cách kiểm thử tấn công hiện đại sẽ bắt được điều này

Kiểm thử xâm nhập truyền thống thường cung cấp một bức ảnh chụp nhanh, nhưng kiểm thử tấn công liên tục, tự động mang lại một cách tiếp cận năng động và hiệu quả hơn đối với thách thức hội chứng mệt mỏi cảnh báo. Bằng cách mô phỏng các TTP của kẻ tấn công trong thế giới thực bằng các Proof of Concept (PoC) có thể thực thi, các nền tảng như vậy có thể xác thực hiệu quả của các phát hiện hiện có chống lại các mối đe dọa hiện tại.

Một nền tảng tập trung vào kiểm thử tấn công tự động với các PoC có thể thực thi có thể chủ động xác định các lỗ hổng trong khả năng phát hiện của SOC trước khi một sự cố thực sự xảy ra. Nó có thể mô phỏng các chiến thuật trinh sát, di chuyển ngang và kỹ thuật leo thang đặc quyền có thể bỏ qua các chuyên viên bận rộn. Bằng cách chạy các kịch bản tấn công trong thế giới thực này liên tục, một nền tảng như vậy có thể làm nổi bật những cảnh báo nào thực sự hiệu quả, những cảnh báo nào ít quan trọng và những phát hiện quan trọng nào bị thiếu hoàn toàn. Điều này cho phép tinh chỉnh chủ động các quy tắc SIEM và quy trình SOAR, có khả năng giảm gánh nặng cho các chuyên viên bằng cách đảm bảo họ chủ yếu thấy các cảnh báo có độ tin cậy cao, có thể hành động.

Điều cần theo dõi tiếp theo

Tương lai của các hoạt động SOC ngày càng dựa vào tự động hóa thông minh và sự chuyển dịch sang xác thực bảo mật chủ động. Cuộc trò chuyện sẽ vượt ra ngoài việc chỉ tạo ra nhiều cảnh báo hơn để tạo ra các cảnh báo thông minh hơn. Mong đợi sự tích hợp sâu hơn của AI và học máy, không chỉ để phát hiện bất thường, mà còn để dự đoán thông tin tình báo mối đe dọa và đặt ngữ cảnh tự động cho các sự kiện.

Ngoài ra, trọng tâm sẽ tăng cường vào kỹ thuật phát hiện như một kỷ luật cốt lõi, với các nhóm bảo mật nỗ lực xây dựng các phát hiện chính xác, phù hợp và trực tiếp gắn liền với hành vi của kẻ tấn công. Mục tiêu là biến SOC từ một trung tâm phản ứng cảnh báo thụ động thành một trung tâm săn lùng và xác thực mối đe dọa chủ động, nơi chuyên môn của con người được tăng cường, không bị choáng ngợp, bởi công nghệ. Khả năng tồn tại lâu dài của bảo mật doanh nghiệp phụ thuộc vào việc giải quyết phúc lợi của chuyên viên như một yếu tố quan trọng tự thân.