Khi Người Canh Gác Mất Cảnh Giác: Phân Tích Vi Phạm Kéo Dài Nhiều Ngày Sau Khi Bỏ Lỡ Cảnh Báo MDR

Khi các mối đe dọa an ninh mạng ngày càng tinh vi, các tổ chức ngày càng dựa vào các dịch vụ Phát hiện và Phản hồi được Quản lý (MDR) để củng cố tư thế bảo mật của họ. Tuy nhiên, một mô hình đáng lo ngại đã xuất hiện: các cảnh báo vi phạm ban đầu, thường tinh tế và dường như vô hại, đang bị các nhà cung cấp MDR bỏ qua, cho phép kẻ tấn công thiết lập sự tồn tại dai dẳng và leo thang đặc quyền trong nhiều ngày. Thời gian ẩn náu kéo dài này biến một sự cố có thể được kiềm chế thành một vụ vi phạm dữ liệu toàn diện, gây ra thiệt hại tài chính và danh tiếng đáng kể.

Bài viết này đi sâu vào giải phẫu của các sự cố như vậy, khám phá lý do tại sao các cảnh báo quan trọng này bị bỏ qua, các phương pháp tấn công điển hình khai thác lỗ hổng này và các chiến lược mà CISO có thể triển khai để ngăn tổ chức của họ trở thành nạn nhân tiếp theo.

Chuyện gì đã xảy ra

Trong một kịch bản lặp đi lặp lại, đội ngũ an ninh của một tổ chức phát hiện ra một vụ vi phạm đáng kể, thường là sau nhiều ngày hoặc thậm chí nhiều tuần truy cập trái phép. Phân tích hồi cứu luôn chỉ ra một tín hiệu cảnh báo sớm – một đăng nhập được gắn cờ, một quy trình bất thường hoặc một sự bất thường mạng – được tạo ra bởi Endpoint Detection and Response (EDR) hoặc các công cụ bảo mật khác của họ. Cảnh báo ban đầu này hoặc không được leo thang, bị hiểu sai, hoặc đơn giản là bị mất trong biển thông tin của nhà cung cấp MDR thuê ngoài.

Ví dụ, một tác nhân EDR, liên tục ghi lại hoạt động trên các thiết bị như máy tính xách tay, máy tính để bàn và máy chủ, có thể đã phát hiện hành vi khớp với các kỹ thuật tấn công đã biết, chẳng hạn như đánh cắp thông tin đăng nhập hoặc mã hóa tệp bằng ransomware. Nó có thể đã gắn cờ một hoạt động người dùng bất thường, như một nhân viên được chuyển vào nhóm người dùng từ xa vào một giờ lẻ. Những cảnh báo như vậy là những lời thì thầm đầu tiên về một sự xâm nhập tiềm tàng. Khả năng của công cụ EDR trong việc phát hiện và ghi lại các sự kiện này là nền tảng. Tuy nhiên, như một chuyên gia an ninh mạng đã lưu ý, "Công cụ đưa ra cảnh báo. Một dịch vụ được quản lý cung cấp những người quyết định ý nghĩa của các cảnh báo đó và hành động dựa trên chúng, ngày đêm." Khi những người đó bỏ lỡ cảnh báo quan trọng đầu tiên, vụ vi phạm bắt đầu quá trình kéo dài nhiều ngày của nó.

Các dịch vụ EDR được quản lý được thiết kế để cung cấp yếu tố con người để diễn giải và hành động dựa trên các cảnh báo này. Chúng có nghĩa vụ cung cấp các nhà phân tích để điều tra, ngăn chặn và khắc phục. Nhưng khi con người trong vòng lặp thất bại, hoặc quy trình có sai sót, kẻ tấn công sẽ có được thời gian quý báu. Hậu quả là nghiêm trọng, đặc biệt trong các lĩnh vực như giáo dục, nơi một số nghiên cứu cho thấy các tổ chức có thể phải đối mặt với thời gian phục hồi kéo dài từ các cuộc tấn công mạng, có khả năng phát sinh chi phí phục hồi đáng kể và mất năng suất.

Tại sao mô hình này cứ lặp lại

Một số yếu tố góp phần vào sự thất bại lặp đi lặp lại của các dịch vụ MDR trong việc phát hiện các chỉ số sớm. Một lý do chính nằm ở khối lượng và độ phức tạp tuyệt đối của các cảnh báo được tạo ra bởi các chồng bảo mật hiện đại. Các Trung tâm Điều hành An ninh (SOC), dù nội bộ hay bên ngoài, thường bị ngập trong dữ liệu, khiến việc phân biệt giữa các bất thường lành tính và các mối đe dọa thực sự trở nên khó khăn. "Cảnh báo đầu tiên rất quan trọng," vì mọi vụ vi phạm lớn đều có một khởi đầu hiếm khi kịch tính – thường chỉ là một đăng nhập được gắn cờ hoặc một quy trình bất thường.

Một yếu tố khác góp phần là bản chất đang phát triển của chính cảnh quan mối đe dọa. Kẻ tấn công ngày càng thành thạo trong việc sống ngoài hệ thống (living off the land), sử dụng các công cụ và quy trình hợp pháp để hòa nhập, khiến các hoạt động của chúng khó phân biệt với các hoạt động bình thường hơn. Điều này đòi hỏi sự hiểu biết sâu sắc về hành vi cơ sở của một tổ chức, điều này có thể là thách thức đối với một nhà cung cấp MDR bên ngoài, đặc biệt nếu các quy trình giới thiệu và học hỏi liên tục của họ không mạnh mẽ.

Ngoài ra, sự khác biệt giữa Nhà cung cấp dịch vụ được quản lý (MSP) và Nhà cung cấp dịch vụ bảo mật được quản lý (MSSP) hoặc nhà cung cấp MDR đôi khi có thể bị mờ. Trong khi MSP tập trung vào việc giữ cho công nghệ hoạt động, MSSP/MDR đặc biệt bảo vệ công nghệ đó, tập trung vào phát hiện mối đe dọa, điều tra cảnh báo và phản ứng sự cố. Sự khác biệt nằm ở những gì mỗi bên được xây dựng để theo dõi: MSP theo dõi xem các hệ thống có hoạt động không, trong khi MSSP/MDR theo dõi xem các hệ thống có đang bị tấn công không. Nếu sự hiểu biết của một tổ chức hoặc phạm vi của nhà cung cấp bị lệch, các cảnh báo bảo mật có thể không nhận được sự chú ý chuyên sâu, chuyên nghiệp mà chúng yêu cầu.

Các cảnh báo nguy hiểm nhất thường là những cảnh báo im lặng nhất, dễ dàng bị bỏ qua giữa tiếng ồn hàng ngày của hệ thống, nhưng chúng lại thì thầm về một cơn bão sắp tới.

Kịch bản của kẻ tấn công từng bước

Những kẻ tấn công khai thác điểm mù MDR này thường tuân theo một kịch bản có thể dự đoán được, gồm nhiều giai đoạn, tận dụng quyền truy cập ban đầu không bị phát hiện để mở rộng chỗ đứng của chúng:

1. Truy cập ban đầu (Cảnh báo bị bỏ lỡ): Điều này thường bắt đầu bằng một sự kiện dường như nhỏ. Đó có thể là một nỗ lực lừa đảo thành công, khai thác một dịch vụ bên ngoài dễ bị tổn thương hoặc thông tin đăng nhập bị xâm phạm. Hệ thống EDR có thể gắn cờ một đăng nhập bất thường, một thực thi quy trình đáng ngờ hoặc một kết nối mạng đến một IP độc hại đã biết. Đây là khoảnh khắc quan trọng mà dịch vụ MDR không xác định hoặc leo thang đúng cách.
2. Chỗ đứng và Sự tồn tại dai dẳng: Với quyền truy cập ban đầu được thiết lập, kẻ tấn công chuyển sang đảm bảo quyền truy cập liên tục. Điều này có thể liên quan đến việc tạo tài khoản người dùng mới, sửa đổi các tài khoản hiện có, triển khai cửa hậu hoặc thiết lập các công cụ truy cập từ xa. EDR có thể phát hiện các hoạt động này, nhưng nếu không có phản ứng kịp thời, chúng sẽ trở nên cố thủ.
3. Thăm dò nội bộ: Kẻ tấn công sau đó khám phá mạng để hiểu môi trường. Chúng lập bản đồ cấu trúc liên kết mạng, xác định các hệ thống quan trọng, khám phá các vị trí dữ liệu nhạy cảm và liệt kê người dùng và nhóm. Giai đoạn này tạo ra nhiều hoạt động bất thường hơn – các quét nội bộ bất thường, truy cập vào thư mục bởi các tài khoản trái phép – nếu bị bỏ lỡ, sẽ làm sâu sắc thêm vụ vi phạm.
4. Leo thang đặc quyền: Để giành quyền kiểm soát lớn hơn, kẻ tấn công sẽ cố gắng nâng cao đặc quyền của chúng. Điều này có thể liên quan đến việc khai thác các cấu hình sai, lỗ hổng hạt nhân hoặc đánh cắp thông tin đăng nhập. Các công cụ như Mimikatz hoặc khai thác chống lại Active Directory là phổ biến. EDR có thể gắn cờ các kỹ thuật cụ thể này, nhưng một lần nữa, sự chậm trễ trong phát hiện và phản ứng là chìa khóa.
5. Di chuyển ngang: Sau khi có được đặc quyền cao hơn, kẻ tấn công di chuyển qua mạng để đạt được mục tiêu của chúng. Điều này thường liên quan đến các kỹ thuật như Pass-the-Hash, chiếm quyền điều khiển RDP hoặc khai thác các công cụ quản trị từ xa hợp pháp. Mỗi bước nhảy ngang tạo ra các tạo tác pháp y mới có thể được phát hiện.
6. Đạt được mục tiêu: Giai đoạn cuối cùng này phụ thuộc vào mục tiêu của kẻ tấn công – đánh cắp dữ liệu, triển khai ransomware, phá hoại hoặc duy trì hoạt động gián điệp lâu dài. Đến thời điểm này, kẻ tấn công đã có nhiều ngày hoặc nhiều tuần để hoạt động, khiến việc ngăn chặn và phục hồi trở nên phức tạp và tốn kém hơn đáng kể.

Những gì người phòng thủ đã bỏ lỡ

Trong các kịch bản vi phạm kéo dài nhiều ngày này, những người phòng thủ, đặc biệt là nhà cung cấp MDR, thường bỏ lỡ một số yếu tố quan trọng:

• Ngữ cảnh hóa cảnh báo: Các công cụ EDR hiệu quả trong việc ghi lại và phát hiện các hành động cụ thể. Tuy nhiên, nếu không có sự ngữ cảnh hóa phù hợp của các nhà phân tích con người, một cảnh báo như "người dùng được thêm vào nhóm người dùng từ xa" có thể bị bỏ qua là một hoạt động hợp pháp vào đêm khuya, thay vì là tiền thân của một cuộc tấn công lớn hơn. Giá trị của một EDR nằm ở những người diễn giải đầu ra của nó.
• Tương quan các sự kiện: Kẻ tấn công hiếm khi đạt được mục tiêu của chúng chỉ bằng một hành động duy nhất. Chúng thực hiện một chuỗi các sự kiện. Các dịch vụ MDR không tương quan các cảnh báo dường như khác nhau trên các hệ thống hoặc khung thời gian khác nhau sẽ bỏ lỡ bức tranh lớn hơn về một cuộc tấn công đang phát triển. "Đăng nhập được gắn cờ duy nhất" hiếm khi bị cô lập.
• Điều tra và phản ứng kịp thời: Một phản ứng điển hình từ dịch vụ EDR được quản lý nên bao gồm điều tra và ngăn chặn nhanh chóng. Nếu một cảnh báo không được điều tra kịp thời, hoặc nếu cuộc điều tra hời hợt, cửa sổ cơ hội của kẻ tấn công sẽ mở rộng. Một số nhà cung cấp MDR nhấn mạnh các cảnh báo thời gian thực và phản ứng nhanh chóng, làm nổi bật tầm quan trọng của tốc độ.
• Hiểu biết về hành vi cơ sở: Một nhà cung cấp MDR cần hiểu rõ các mô hình hoạt động bình thường của khách hàng. Nếu không có điều này, các hoạt động bất thường sẽ khó phát hiện hơn. Điều gì bất thường đối với một tổ chức có thể là thường lệ đối với tổ chức khác. Điều này đòi hỏi sự tích hợp sâu sắc và học hỏi liên tục từ phía MDR.
• Săn lùng mối đe dọa chủ động: Trong khi EDR tập trung vào các kỹ thuật tấn công đã biết, MDR hiệu quả cũng nên bao gồm săn lùng mối đe dọa chủ động – tìm kiếm các mối đe dọa chưa biết hoặc chưa được gắn cờ trong môi trường. Nếu MDR chỉ phản ứng với các cảnh báo, các chuyển động tinh vi của kẻ tấn công có thể bị bỏ qua.

Một danh sách kiểm tra phòng thủ thực tế

Để giảm thiểu rủi ro vi phạm kéo dài nhiều ngày bắt nguồn từ cảnh báo MDR bị bỏ lỡ, các CISO và kỹ sư bảo mật nên triển khai một chiến lược đa lớp, mạnh mẽ:

• Xem xét SLA và Đường dẫn leo thang của MDR: Đảm bảo hợp đồng MDR của bạn xác định rõ ràng mức độ nghiêm trọng của cảnh báo, thời gian phản hồi và các quy trình leo thang rõ ràng, đặc biệt đối với các bất thường hành vi quan trọng hoặc đáng ngờ. Thử nghiệm các đường dẫn này thường xuyên.
• Yêu cầu báo cáo theo ngữ cảnh: Đừng chấp nhận dữ liệu cảnh báo thô. Hãy yêu cầu MDR của bạn cung cấp các cảnh báo được làm giàu với thông tin ngữ cảnh, tương quan các sự kiện trên các điểm cuối và mạng để vẽ nên một bức tranh rõ ràng hơn về các mối đe dọa tiềm tàng.
• Tích hợp các đội ngũ nội bộ với MDR: Thúc đẩy giao tiếp và hợp tác liền mạch giữa đội ngũ an ninh nội bộ của bạn và các nhà phân tích MDR. Chia sẻ thông tin chi tiết về các hoạt động kinh doanh độc đáo và hành vi cơ sở của bạn để cải thiện hiệu quả cảnh báo.
• Triển khai Kiểm thử tấn công tự động: Liên tục thách thức khả năng phát hiện của MDR bằng các bằng chứng khái niệm (PoC) thực tế, có thể thực thi, mô phỏng các TTP của kẻ tấn công thực tế, thay vì chỉ dựa vào các đánh giá lý thuyết. Điều này giúp xác thực hiệu quả của chúng trong các tình huống thực tế.
• Nâng cao khả năng hiển thị điểm cuối: Đảm bảo các tác nhân EDR của bạn được triển khai trên tất cả các điểm cuối quan trọng (máy tính xách tay, máy chủ, thiết bị di động) và được cấu hình để thu thập nhật ký toàn diện, cung cấp bằng chứng pháp y cần thiết cho các cuộc điều tra kỹ lưỡng.
• Thực hiện thường xuyên các Kế hoạch phản ứng sự cố: Tiến hành các bài tập trên bàn và mô phỏng mà đặc biệt bao gồm các kịch bản trong đó các cảnh báo ban đầu bị bỏ lỡ, đánh giá cách tổ chức của bạn và đối tác MDR của bạn sẽ phát hiện và phản ứng với việc phát hiện vi phạm bị trì hoãn.
• Xác thực khả năng săn lùng mối đe dọa: Xác nhận nhà cung cấp MDR của bạn tích cực thực hiện săn lùng mối đe dọa chủ động, chứ không chỉ giám sát cảnh báo phản ứng, để khám phá các kỹ thuật tấn công lén lút hoặc mới lạ có thể bỏ qua các quy tắc phát hiện truyền thống.

Kiểm thử tấn công hiện đại đã có thể phát hiện điều này như thế nào

Mô hình lặp đi lặp lại của các cảnh báo bị bỏ lỡ làm nổi bật một lỗ hổng cơ bản trong các chiến lược phòng thủ: sự phụ thuộc vào việc giám sát phản ứng đơn thuần. Đây là lúc kiểm thử tấn công hiện đại, đặc biệt là kiểm thử tấn công tự động với các bằng chứng khái niệm (PoC) có thể thực thi, trở nên vô giá. Nền tảng của chúng tôi, chuyên về kiểm thử tấn công tự động SOC trực tiếp với các PoC có thể thực thi, được thiết kế để trực tiếp giải quyết lỗ hổng này.

Thay vì chờ đợi một vụ vi phạm thực sự, nền tảng của chúng tôi chủ động mô phỏng các chiến thuật, kỹ thuật và quy trình (TTP) của kẻ tấn công trong thế giới thực trong môi trường trực tiếp của bạn. Đây không chỉ là quét lỗ hổng; đó là việc thực thi các chuỗi tấn công lành tính nhưng thực tế mô phỏng cách một kẻ thù sẽ hoạt động. Ví dụ, nó có thể mô phỏng một nỗ lực đánh cắp thông tin đăng nhập, di chuyển ngang hoặc thiết lập sự tồn tại dai dẳng – chính xác là các loại hoạt động tạo ra "một đăng nhập được gắn cờ" hoặc "một quy trình bất thường" thường bị bỏ lỡ.

Khi các PoC có thể thực thi này chạy, chúng kích hoạt cùng các cảnh báo mà một kẻ tấn công thực sự sẽ làm. Sự khác biệt là đây là các sự kiện được kiểm soát, đã biết. Điều này cho phép tổ chức của bạn xác thực, trong thời gian thực, liệu các công cụ EDR và các nhà phân tích con người của nhà cung cấp MDR của bạn có phát hiện, leo thang và phản ứng thích hợp với các chỉ số tinh tế này hay không. Nếu PoC thực thi và MDR không tạo ra phản ứng kịp thời, thích hợp, nó sẽ phơi bày một điểm mù quan trọng trước khi một kẻ tấn công thực sự khai thác nó. Điều này cung cấp thông tin tình báo có thể hành động để tinh chỉnh các quy tắc phát hiện, cải thiện đào tạo nhà phân tích và tinh chỉnh các quy trình leo thang, biến các vụ vi phạm tiềm tàng kéo dài nhiều ngày thành các sự cố được phát hiện và ngăn chặn ngay lập tức.

Những điều cần theo dõi tiếp theo

Cảnh quan an ninh mạng tiếp tục phát triển, và cùng với đó là các chiến lược cần thiết để chống lại các đối thủ tinh vi. Nhìn về phía trước, các CISO phải tập trung vào một số lĩnh vực chính để đi trước mô hình sự cố này. Thứ nhất, hãy mong đợi sự giám sát chặt chẽ hơn đối với các chỉ số hiệu suất của nhà cung cấp MDR, vượt ra ngoài các đảm bảo thời gian hoạt động đơn giản để thể hiện hiệu quả phát hiện và phản ứng mối đe dọa. Điều này sẽ đòi hỏi báo cáo minh bạch hơn và có thể là xác thực độc lập về khả năng của họ.

Thứ hai, việc tích hợp AI và học máy vào cả hoạt động an ninh tấn công và phòng thủ sẽ tăng tốc. Mặc dù các công nghệ này hứa hẹn sẽ tăng cường tương quan cảnh báo và giảm thiểu các dương tính giả, nhưng chúng cũng đặt ra những thách thức mới trong việc hiểu và xác thực đầu ra của chúng. Các CISO sẽ cần đầu tư vào các đội ngũ an ninh có khả năng giám sát và tối ưu hóa các công cụ tiên tiến này.

Cuối cùng, sự nhấn mạnh vào việc xác thực chủ động, liên tục các biện pháp kiểm soát an ninh sẽ chỉ tăng lên. Kỷ nguyên 'thiết lập rồi quên' đối với các dịch vụ bảo mật đã kết thúc. Các tổ chức sẽ ngày càng áp dụng các phương pháp luận như red teaming liên tục và kiểm thử tấn công tự động để đảm bảo các biện pháp phòng thủ của họ, bao gồm cả quan hệ đối tác MDR, thực sự kiên cường trước các mối đe dọa mới nhất. Mục tiêu là chuyển từ tư thế phản ứng, nơi các vụ vi phạm được phát hiện nhiều ngày sau, sang tư thế chủ động, nơi tiếng thì thầm đầu tiên của một cuộc tấn công được đáp ứng bằng hành động ngay lập tức, dứt khoát.