Týmy bezpečnosti opravují špatné hrozby. Zde je návod, jak opravit směr v éře útoků s využitím umělé inteligence

Kybernetické útoky již nejsou ruční, lineární operace. S umělou inteligencí nyní zabudovanou do ofenzivních strategií vyvíjejí útočníci polymorfní malware, automatizují průzkum a obcházejí obrany rychleji, než mnoho bezpečnostních týmů může reagovat. To není budoucí scénář, děje se to právě teď.

V téže době jsou většina bezpečnostních obran stále reaktivní. Spoléhají na identifikaci známých indikátorů kompromitace, aplikaci historických útočných vzorců a označení rizik na základě skóre závažnosti, které nemusí odrážet skutečnou hrozbu. Týmy jsou zahlceny množstvím, nikoli přehledem, což vytváří ideální prostředí pro úspěch útočníků.

Průmyslový legacy mindset postavený kolem kontrolních seznamů dodržování předpisů, periodických hodnocení a fragmentovaných nástrojů se stal zátěží. Bezpečnostní týmy pracují tvrději než kdykoli předtím, ale často opravují špatné věci.

Proč tato mezera existuje

Průmysl kybernetické bezpečnosti se dlouho opíral o skóre rizik, jako je CVSS, pro prioritizaci zranitelností. Nicméně, skóre CVSS neodrážejí skutečný kontext infrastruktury organizace, zda je zranitelnost vystavena, dosažitelná nebo využitelná v rámci známé útočné cesty.

V důsledku toho bezpečnostní týmy často tráví cenný čas opravou neexploitovatelných problémů, zatímco útočníci najdou kreativní způsoby, jak propojit přehlížené slabosti a obcházet kontroly.

Situace je dále komplikována fragmentovaným charakterem bezpečnostního stacku. SIEM, systémy pro detekci a reakci na hrozby na koncových bodech (EDR), nástroje pro správu zranitelností (VM) a platformy pro správu bezpečnostní pozice v cloudu (CSPM) všechny fungují nezávisle. Tento izolovaný telemetrický systém vytváří slepá místa, která útočníci s umělou inteligencí stále více využívají.

Detekce založená na podpisu mizí

Jedním z nejvíce znepokojivých trendů v moderní kybernetické bezpečnosti je snižující se hodnota tradičních metod detekce. Statické podpisy a pravidla založená na upozorněních byly efektivní, když hrozby následovaly předvídatelné vzorce. Ale útoky generované umělou inteligencí se těmto pravidlům neřídí. Mutují kód, vyhýbají se detekci a přizpůsobují se kontrolám.

Berte polymorfní malware, který mění svou strukturu s každým nasazením. Nebo e-maily s phishingem generovanými umělou inteligencí, které napodobují styly komunikace výkonných manažerů s překvapivou přesností. Tyto hrozby mohou úplně projít kolem nástrojů založených na podpisu.

Pokud bezpečnostní týmy budou pokračovat v závislosti na identifikaci toho, co již bylo vidět, zůstanou vždy o krok pozadu za útočníky, kteří neustále inovují.

Regulační tlak roste

Problém není pouze technický, je také regulační. Komise pro cenné papíry a burzy Spojených států (SEC) nedávno zavedla nová pravidla pro zveřejňování kybernetické bezpečnosti, která vyžadují, aby veřejně obchodované společnosti hlásily významné kybernetické incidenty a popisovaly své strategie řízení rizik v reálném čase. Podobně Evropská unie – Digitální operativní odolnost (DORA) vyžaduje přechod od periodických hodnocení k nepřetržitému, validovanému řízení kybernetického rizika.

Většina organizací na tuto změnu není připravena. Chybí jim schopnost poskytovat reálné hodnocení toho, zda jsou jejich současné bezpečnostní kontroly efektivní proti dnešním hrozbám, zejména když umělá inteligence tyto hrozby neustále vyvíjí rychlostí strojů.

Prioritizace hrozeb je rozbitá

Základní výzva spočívá v tom, jak organizace prioritizují práci. Většina z nich stále spoléhá na statické systémy hodnocení rizik pro určení toho, co se opraví a kdy. Tyto systémy zřídka zohledňují prostředí, ve kterém existuje zranitelnost, ani zda je vystavena, dosažitelná nebo využitelná.

To vedlo k tomu, že bezpečnostní týmy tráví značný čas a zdroje opravou zranitelností, které nejsou napadnutelné, zatímco útočníci najdou způsoby, jak propojit nižší ohodnocené, přehlížené problémy, aby získali přístup. Tradiční model “najít a opravit” se stal neefektivním a často neúčinným způsobem, jak spravovat kybernetická rizika.

Bezpečnost musí evoluce z reagování na upozornění směrem k pochopení chování útočníků – jak útočník skutečně prochází systémem, které kontroly může obejít a kde leží skutečné slabosti.

Lepší cesta vpřed: Proaktivní, útočná cesta – řízená obrana

Co kdyby místo reagování na upozornění mohly bezpečnostní týmy neustále simulovat, jak skuteční útočníci by se pokusili proniknout do jejich prostředí, a opravovat pouze to, co je nejdůležitější?

Tento přístup, často nazývaný nepřetržitá validace bezpečnosti nebo simulace útočné cesty, získává na popularitě jako strategická změna. Místo toho, aby se zranitelnosti řešily izolovaně, mapuje, jak útočníci mohou propojit nesprávné konfigurace, slabosti identity, zranitelné aktiva, aby dosáhli kritických systémů.

Simulací chování útočníků a validací kontrol v reálném čase mohou týmy soustředit se na využitelná rizika, která skutečně vystavují podnik, a ne pouze na ta, která jsou označena jako rizika nástroji pro dodržování předpisů.

Doporučení pro CISO a bezpečnostní lídry

Zde je to, co by měly bezpečnostní týmy prioritizovat dnes, aby zůstaly před útoky generovanými umělou inteligencí:

• Implementujte nepřetržité simulace útoků Přijměte automatizované, umělou inteligencí poháněné nástroje pro emulaci útočníků, které testují vaše kontroly tak, jak by je testovali skuteční útočníci. Tyto simulace by měly být nepřetržité, ne pouze rezervované pro roční cvičení červených týmů.
• Prioritizujte využitelnost nad závažností Přesáhněte skóre CVSS. Zahrňte analýzu útočné cesty a kontextovou validaci do vašich modelů rizik. Zeptejte se: Je tato zranitelnost dosažitelná? Může být využita dnes?
• Sjednoťte svou bezpečnostní telemetrii Konsolidujte data ze SIEM, CSPM, EDR a VM platforem do centralizovaného, korelovaného pohledu. To umožňuje analýzu útočné cesty a zlepšuje vaši schopnost detekovat komplexní, vícekrokové infiltrace.
• Automatizujte validaci obrany Přesuňte se z manuálního inženýrství detekce na validaci poháněnou umělou inteligencí. Použijte strojové učení, aby vaše strategie detekce a reakce evolvovaly společně s hrozbami, proti kterým jsou určeny.
• Modernizujte hlášení o kybernetickém riziku Nahraďte statické řídicí panely reálnými hodnoceními expozice. Sladějte s rámci, jako je MITRE ATT&CK, aby demonstrovali, jak vaše kontroly mapují na reálné chování hrozeb.

Organizace, které přecházejí na nepřetržitou validaci a prioritizaci založenou na využitelnosti, mohou očekávat měřitelná zlepšení v několika dimenzích bezpečnostních operací. Soustředěním se pouze na akční, vysoce dopadové hrozby mohou bezpečnostní týmy snížit únavu z upozornění a eliminovat rozptýlení způsobené falešnými pozitivy nebo neexploitovatelnými zranitelnostmi. Tento zaměřený přístup umožňuje rychlejší a účinnější reakce na skutečné útoky, což významně snižuje dobu trvání a zlepšuje izolaci incidentů.

Navíc tento přístup zlepšuje soulad s předpisy. Nepřetržitá validace splňuje rostoucí požadavky rámců, jako jsou pravidla pro zveřejňování kybernetické bezpečnosti Komise pro cenné papíry a burzy a nařízení DORA Evropské unie, které vyžadují reálnou viditelnost kybernetického rizika. Možná nejdůležitěji tato strategie zajišťuje efektivnější alokaci zdrojů a umožňuje týmům investovat svůj čas a pozornost tam, kde to nejvíce záleží, místo aby se rozptylovaly po široké ploše teoretického rizika.

Čas se přizpůsobit je teď

Éra kybernetické kriminality poháněné umělou inteligencí již není předpovědí, je to přítomnost. Útočníci používají umělou inteligenci, aby našli nové cesty. Bezpečnostní týmy musí použít umělou inteligenci, aby je uzavřely.

Není to o přidání více upozornění nebo o opravě rychleji. Jde o to vědět, které hrozby záleží, neustále validovat vaše obrany a sladit strategii s reálným chováním útočníků. Teprve pak mohou obránci získat zpět horní ruku ve světě, kde umělá inteligence přepisuje pravidla zapojení.