Ben Bernstein, Διευθυντής Συμβούλων Κυβερνοασφάλειας στην Huntress – Σειρά Συνεντεύξεων

Ben Bernstein, Διευθυντής Συμβούλων Κυβερνοασφάλειας στην Huntress, είναι επαγγελματίας κυβερνοασφάλειας με περισσότερα από μια δεκαετία εμπειρίας που καλύπτει τεχνική υποστήριξη, διαχείριση συστημάτων, επιτυχία πελατών, διαχείριση τεχνικών λογαριασμών και ηγεσία συμβουλευτικής ασφάλειας. Ξεκίνησε την καριέρα του σε πρακτικούς ρόλους IT, προοδευτικά από εργασία στο helpdesk στη διαχείριση συστημάτων πριν μεταβεί στη διαχείριση λογαριασμών και επιτυχία πελατών στην Integris. Ο Bernstein πέρασε αργότερα τρία χρόνια στη Red Canary, όπου διαχειριζόταν σχέσεις με επιχειρηματικούς πελάτες ως Διαχειριστής Τεχνικών Λογαριασμών και Ανώτερος Εταιρικός Διαχειριστής Τεχνικών Λογαριασμών. Από τη στιγμή που εντάχθηκε στην Huntress το 2024 ως ιδρυτικός Διαχειριστής Τεχνικών Λογαριασμών, έχει προοδεύσει στη ηγεσία της διαχείρισης τεχνικών λογαριασμών και τώρα διαχειρίζεται τους Συμβούλους Κυβερνοασφάλειας της εταιρείας, αξιοποιώντας τον συνδυασμό τεχνικής εξειδίκευσης και εμπειρίας εξυπηρέτησης πελατών για να βοηθήσει οργανισμούς να κατανοούν και να ανταποκρίνονται καλύτερα στις εξελισσόμενες απειλές.

Huntress είναι μια εταιρεία κυβερνοασφάλειας που παρέχει μια πλήρως διαχειριζόμενη πλατφόρμα ασφαλείας σχεδιασμένη να προστατεύει οργανισμούς σε σημεία τελικού, ταυτότητες, καταγραφές και χρήστες. Η πλατφόρμα της συνδυάζει τεχνολογίες όπως Managed Endpoint Detection and Response (EDR), Identity Threat Detection and Response (ITDR), Security Information and Event Management (SIEM) και εκπαίδευση ευαισθητοποίησης ασφαλείας με ένα 24/7 κέντρο λειτουργιών ασφαλείας (SOC) με τεχνητή νοημοσύνη, εξοπλισμένο με ανθρώπινους ειδικούς ασφαλείας. Η Huntress δηλώνει ότι η τεχνολογία της προστατεύει σήμερα πάνω από 5 εκατομμύρια σημεία τελικού και 15 εκατομμύρια ταυτότητες σε περισσότερες από 277.000 επιχειρήσεις, με την ομάδα της να διαχειρίζεται την ανίχνευση, διερεύνηση, απόκριση και αποκατάσταση απειλών εκ μέρους των πελατών.

Ξεκινήσατε την καριέρα σας στο helpdesk και στη διαχείριση συστημάτων πριν προχωρήσετε στη διαχείριση τεχνικών λογαριασμών και τελικά στην ηγεσία συμβουλευτικής κυβερνοασφάλειας στην Huntress. Πώς το πρακτικό υπόβαθρο IT διαμόρφωσε τον τρόπο που σκέφτεστε την ασφάλεια σήμερα, ιδιαίτερα όταν τα ίδια εργαλεία που χρησιμοποιούν οι διαχειριστές μπορούν επίσης να γίνουν σημείο εισόδου για έναν επιτιθέμενο;

Είμαι αιώνια ευγνώμων για το IT υπόβαθρό μου κάθε μέρα, τώρα που βρίσκομαι στην αφιερωμένη πλευρά του κυβερνοχώρου. Μου προσφέρει μια πρακτική προοπτική. Όταν γνωρίζετε πώς λειτουργούν τα λειτουργικά συστήματα, οι εφαρμογές και οι διαδικασίες του συστήματος όταν όλα λειτουργούν κανονικά, οι ανωμαλίες και οι απειλές ξεχωρίζουν πραγματικά. Ο χρόνος μου στο IT με έδωσε επίσης μια νοοτροπία εντοπισμού προβλημάτων και ανάλυσης αιτιών. Μαθαίνετε γρήγορα ότι πρέπει να ακολουθείτε το νήμα για να βεβαιωθείτε ότι έχετε πλήρως οριοθετήσει ένα ζήτημα ή μια απειλή.

Θυμάμαι ότι βασιζόμουν έντονα στα ίδια εργαλεία, όπως τα RMM, που σήμερα καταχρηστικά χρησιμοποιούν οι επιτιθέμενοι. Αφού τα ανέπτυξα εγώ ο ίδιος, εκτιμώ πλήρως τη δύναμή τους τόσο στα χέρια ενός διαχειριστή IT όσο και ενός επιτιθέμενου. Επειδή τα RMM είναι παντού, ασκούν πίεση στις ομάδες ασφαλείας να εξετάζουν όλη τη δραστηριότητα γύρω από την εκτέλεσή τους. Η παρουσία ενός RMM σε έναν υπολογιστή δεν είναι εγγενώς κακή. Αλλά αν αυτό το RMM αρχίσει ξαφνικά να εγκαθιστά επιπλέον εργαλεία ή να δημιουργεί άγνωστα σενάρια, αναγκάζει τους αμυντικούς να σταματήσουν να βασίζονται σε λίστες αξιόπιστου λογισμικού και να εστιάσουν εξ ολοκλήρου στην παρατήρηση της συμπεριφοράς.

Η AI συχνά συζητείται στην κυβερνοασφάλεια ως προς τους εξελιγμένους αυτόνομους επιτιθέμενους, αλλά πόσο από την άμεση επίδραση της AI είναι απλώς η επιτάχυνση και η ενίσχυση των κανονικών κυβερνοεγκληματιών; Φτάνουμε σε ένα σημείο όπου οι σχετικά χαμηλής δεξιότητας επιτιθέμενοι μπορούν να εκτελούν εκστρατείες που παλαιότερα απαιτούσαν πολύ πιο βαθιά τεχνική εξειδίκευση;

Υπάρχει πολλή πανικός αυτή τη στιγμή σχετικά με αυτόνομα συστήματα hacking AI, αλλά η πραγματικότητα στο πεδίο είναι ότι αυτό δεν αποτελεί νέα τεχνική. Αυτά τα μοντέλα δεν διεισδύουν σε δίκτυα χρησιμοποιώντας εξαιρετικά εξελιγμένες τεχνικές. Κάνουν ακριβώς αυτό που οι ανθρώπινοι «script kiddies» κάνουν εδώ και χρόνια, σαρώντας για πόρους εκτεθειμένους στο διαδίκτυο, μη ενημερωμένα και λανθασμένα διαμορφωμένα. Κερδίζει τίτλους επειδή η φράση «αυτόνομη AI» ακούγεται τρομακτική ή «σέξυ» ανάλογα με το ποιον ρωτάτε, αλλά οι πραγματικοί μηχανισμοί αυτών των επιθέσεων είναι βασικοί.

Το πραγματικό πρόβλημα που αντιμετωπίζουμε είναι ότι η AI μειώνει το φράγμα εισόδου για τους κυβερνοεγκληματίες. Οι επιτιθέμενοι μπορούν να αυτοματοποιήσουν τα επίπονα μέρη μιας εκμετάλλευσης και να επεκτείνουν τις δραστηριότητές τους χωρίς να χρειάζονται βαθιά τεχνική εξειδίκευση. Επιτρέπει σε επιτιθέμενους χαμηλών δεξιοτήτων να εκτελούν εκστρατείες πολύ πιο γρήγορα, κάτι που ασκεί μεγάλη πίεση στις επιχειρήσεις. Δεν μπορείτε πλέον να εγκαταστήσετε ένα εργαλείο ασφαλείας και να το ξεχάσετε. Οι οργανισμοί πρέπει να υποθέτουν ότι τα δίκτυά τους ελέγχονται συνεχώς.

Η Huntress έχει παρατηρήσει επιτιθέμενους που χρησιμοποιούν σενάρια infostealer που δημιουργούνται από LLM κατά τις εισβολές RMM. Τι μας λέει αυτό για το πώς η γενετική AI αλλάζει την οικονομία και την προσβασιμότητα του κυβερνοεγκλήματος;

Μας δείχνει ότι η γενετική AI βελτιστοποιεί το λειτουργικό βάρος του κυβερνοεγκλήματος. Η συγγραφή ενός σεναρίου infostealer δεν αποτελεί νέα τεχνική εργασία, αλλά παραδοσιακά απαιτούσε πολύ χρόνο προγραμματιστών ή αγορά εξειδικευμένων εργαλείων από ένα υπόγειο φόρουμ. Χρησιμοποιώντας ένα LLM μέσα στο δίκτυο του θύματος, οι επιτιθέμενοι μπορούν να δημιουργούν λειτουργικά, προσαρμοσμένα σενάρια κατόπιν ζήτησης αντί να βασίζονται σε προ-κατασκευασμένο κακόβουλο λογισμικό.

Ενώ η πρόσβαση σε αυτά τα μοντέλα εξακολουθεί να έχει κάποιο κόστος, το εμπόδιο εισόδου είναι χαμηλότερο από ποτέ. Συχνά βλέπουμε μέσους επιτιθέμενους να αξιοποιούν αυτά τα εργαλεία για να εργάζονται πιο γρήγορα και να εξαλείψουν τις εργασίες χειροκίνητης κωδικοποίησης. Αλλάζει θεμελιωδώς την οικονομική λογική μιας επίθεσης, καθιστώντας τη φάση εκτέλεσης ιδιαίτερα προσιτή, επιτρέποντας σε λιγότερο εξειδικευμένους δράστες να κλιμακώσουν τις δραστηριότητές τους χωρίς να χρειάζονται βαθιά τεχνική εξειδίκευση.

Η Huntress ανέφερε αύξηση 277 % ετησίως στην κατάχρηση εργαλείων απομακρυσμένης παρακολούθησης και διαχείρισης. Γιατί οι νόμιμες πλατφόρμες RMM έχουν γίνει τόσο ελκυστική εναλλακτική λύση σε προσαρμοσμένο κακόβουλο λογισμικό και ποια πλεονεκτήματα προσφέρουν στους επιτιθέμενους μόλις αποκτήσουν πρόσβαση;

Δεν υπάρχει κάτι εγγενώς κακό στα εργαλεία RMM. Εκτελούν έναν ζωτικό ρόλο, βοηθώντας τους διαχειριστές IT και τους MSP να εργάζονται αποδοτικά και να υποστηρίζουν τους χρήστες. Το πρόβλημα είναι ότι το προσαρμοσμένο κακόβουλο λογισμικό σηματοδοτείται από το παραδοσιακό λογισμικό αντι-ιικών, ενώ τα RMM είναι υπογεγραμμένα, αξιόπιστα και παρακάμπτουν τους τυπικούς ελέγχους ασφαλείας. Ακόμη καλύτερα για έναν επιτιθέμενο, οι πράκτορες RMM τρέχουν φυσικά με αυξημένα δικαιώματα διαχειριστή και παρέχουν ενσωματωμένη επιμονή, πράγμα που σημαίνει ότι παραμένουν ενεργοί μετά από επανεκκινήσεις του συστήματος χωρίς επιπλέον προσπάθεια για διατήρηση της πρόσβασης.

Μόλις ένας επιτιθέμενος καταφέρει να εκτελέσει τον δικό του πράκτορα RMM σε έναν στόχο, ουσιαστικά αποκτά κονσόλα απομακρυσμένου ελέγχου. Μπορεί να μεταφέρει αρχεία αδιάκοπα και συχνά προετοιμάζει την εγκατάσταση του RMM εκ των προτέρων με κακόβουλα σενάρια και εργαλεία έτοιμα να εκτελεστούν σε όλα τα σημεία τερματισμού με ένα μόνο κλικ. Επειδή η εφαρμογή είναι νόμιμη, οι υπερασπιστές δεν μπορούν απλώς να μπλοκάρουν το εργαλείο. Αναγκάζει τις ομάδες ασφαλείας να σταματήσουν να βασίζονται σε λίστες αξιόπιστου λογισμικού και να εστιάσουν στην παρακολούθηση της συμπεριφοράς, καθιστώντας την 24/7 παρακολούθηση απαραίτητη αν θέλουν να εντοπίσουν έναν επιτιθέμενο που καταχράται λογισμικό διαχείρισης.

Μία τεχνική που έχει καταγράψει η Huntress είναι η «αλυσίδωση» πολλαπλών εργαλείων RMM από τους επιτιθέμενους για να κατακερματίσουν τα δεδομένα τηλεμετρίας και να δημιουργήσουν εφεδρική πρόσβαση. Μπορείτε να μας περιγράψετε πώς εξελίσσεται μια τέτοια διείσδυση και γιατί είναι τόσο δύσκολο για τους υπερασπιστές να αναγνωρίσουν τι συμβαίνει;

Εδώ είναι ένα ιδιαίτερα ενδιαφέρον παράδειγμα που εντοπίσαμε και γράψαμε ένα ιστολόγιο για αυτό. Η διείσδυση ξεκίνησε με ένα phishing email που χρησιμοποιούσε μια ψεύτικη προσφορά εγγράφου επιχειρηματικού χαρακτήρα, όπως «Συμφωνία Παροχής Υπηρεσιών Δικτύου». Το θύμα έκανε κλικ στον σύνδεσμο του email, κατέληξε σε μια σελίδα προστατευμένη από ψεύτικο CAPTCHA και κατέβασμα που νόμιζε ότι ήταν ένα τυπικό PDF ή έγγραφο υπηρεσίας. Στην πραγματικότητα, το αρχείο ήταν ένας εκτελέσιμος εγκαταστάτης. Όταν ο χρήστης διπλό κλικ στο αρχείο για να ανοίξει τη συμφωνία, εγκατέστησε σιωπηρά ένα νόμιμο αλλά μη εξουσιοδοτημένο εργαλείο απομακρυσμένης πρόσβασης που ονομάζεται Tiflux RMM.

Μόλις ο δράστης κατάφερε να εκτελέσει τον αρχικό πράκτορα Tiflux, χρησιμοποίησε αμέσως τις ενσωματωμένες δυνατότητές του για να προωθήσει και να ενσωματώσει επιπλέον εργαλεία όπως Splashtop, ScreenConnect και UltraVNC στον ίδιο υπολογιστή. Σημειώνεται ότι όλα αυτά είναι επίσης νόμιμα εργαλεία RMM.

Οι επιτιθέμενοι το κάνουν αυτό για να δημιουργήσουν υπερ-επιμονή. Ξέρουν ότι αν ένας διαχειριστής IT εντοπίσει ένα μη εξουσιοδοτημένο απομακρυσμένο εργαλείο και το απεγκαταστήσει, ο επιτιθέμενος εξακολουθεί να διαθέτει δύο ή τρία άλλα ενεργά backdoors σε αναμονή. Αυτή η τακτική κατακερματίζει την τηλεμετρία. Οι πλατφόρμες ασφαλείας βλέπουν απλώς ξεχωριστές, υπογεγραμμένες διαχειριστικές εφαρμογές που τρέχουν ταυτόχρονα και επικοινωνούν με την υποδομή του νόμιμου προμηθευτή. Εκτός αν ένας υπερασπιστής παρακολουθεί ενεργά αυτή τη δραστηριότητα και αναρωτιέται γιατί ένα μόνο σημείο τερματισμού χρειάζεται ξαφνικά πολλαπλούς διαφορετικούς πράκτορες απομακρυσμένης διαχείρισης το ίδιο απόγευμα, η κατάσταση ενσωματώνεται στο θόρυβο της καθημερινής συντήρησης IT.

Πέρα από την 24/7 παρακολούθηση της συμπεριφοράς, ένας άλλος αποτελεσματικός έλεγχος εδώ είναι η Διαχείριση Στάσης Ασφάλειας Τελικού Συστήματος και ο έλεγχος εφαρμογών. Εάν ένας οργανισμός ορίσει ρητά ποιες συγκεκριμένες εκδόσεις RMM είναι εξουσιοδοτημένες να τρέχουν στα μηχανήματά του, μπορεί να περιορίσει την εκτέλεση μη εγκεκριμένων εργαλείων, σταματώντας την αλυσίδωση πριν ξεκινήσει.

Τα παραδοσιακά μοντέλα ασφαλείας συχνά διακρίνουν μεταξύ αξιόπιστου και μη αξιόπιστου λογισμικού, αλλά οι επιθέσεις RMM εκμεταλλεύονται εργαλεία που μπορεί να είναι νόμιμα, υπογεγραμμένα και ήδη εγκεκριμένα από το IT. Σημαίνει αυτό ότι οι υπερασπιστές πρέπει να απομακρυνθούν από το ερώτημα εάν μια εφαρμογή είναι αξιόπιστη και να εστιάσουν αντίθετα στο εάν η συμπεριφορά της είναι αξιόπιστη;

Ναι, απολύτως. Το παραδοσιακό μοντέλο της δυαδικής εμπιστοσύνης είναι σπασμένο. Η υπογραφή δυαδικών δημιουργήθηκε για να επαληθεύει ότι μια εφαρμογή προέρχεται από έναν νόμιμο προμηθευτή, όχι για να εγγυάται ότι οι ενέργειές της είναι ασφαλείς.

Εάν ένας επιτιθέμενος χρησιμοποιεί ένα υπογεγραμμένο δυαδικό RMM ή ένα εργαλείο living‑off‑the‑land, το εκτελέσιμο είναι καθαρό, αλλά η δραστηριότητα πίσω από αυτό είναι κακόβουλη. Οι υπερασπιστές πρέπει να ξεπεράσουν το ερώτημα «Είναι αυτό το αρχείο αξιόπιστο;» και να αρχίσουν να εστιάζουν στο εάν η συμπεριφορά του έχει νόημα στο πλαίσιο. Η παρουσία ενός RMM σε έναν υπολογιστή δεν είναι εγγενώς κακή. Αλλά αν αυτό το εργαλείο αρχίσει ξαφνικά να κατεβάζει επιπλέον βοηθητικά προγράμματα, να δημιουργεί άγνωστα σενάρια ή να εκτελείται στις 2 π.μ. υπό λογαριασμό υπηρεσίας, αυτό αποτελεί ένδειξη παραβίασης. Το πλαίσιο και η συμπεριφορά έχουν πάντα σημασία, αλλά με τους επιτιθέμενους να βασίζονται τόσο έντονα σε αξιόπιστο λογισμικό, η σημασία τους είναι τώρα μεγαλύτερη από ποτέ.

Καθώς η AI συμπιέζει το χρονικό διάστημα μεταξύ της ανακάλυψης μιας ευπάθειας ή κεντρικού ελαττώματος διαμόρφωσης και της εκμετάλλευσής του, πώς αλλάζει αυτό το ρόλο της διαχείρισης στάσης ασφαλείας; Ποιες αδυναμίες ταυτότητας, τελικού σημείου και απομακρυσμένης πρόσβασης πρέπει οι οργανισμοί να δώσουν προτεραιότητα πριν οι επιτιθέμενοι έχουν την ευκαιρία να τις εκμεταλλευτούν;

Η διαχείριση της στάσης ασφαλείας είναι πιο σημαντική από ποτέ, επειδή βοηθά τις οργανώσεις να κλείνουν προληπτικά τα κοινά κενά ασφαλείας που εκμεταλλεύονται οι επιτιθέμενοι καθημερινά. Συμπληρώνει την ανίχνευση και την ανταπόκριση, εντοπίζοντας και αντιμετωπίζοντας συνεχώς ζητήματα όπως λανθασμένες ρυθμίσεις, υπερβολικές άδειες, μη εξουσιοδοτημένες εφαρμογές και άλλες αδυναμίες σε σημεία τερματισμού και ταυτότητες. Όταν το παράθυρο μεταξύ της αποκάλυψης μιας ευπάθειας και της αυτοματοποιημένης σάρωσης μειώνεται σε ώρες, η μείωση αυτών των κενών πριν εκμεταλλευτούν γίνεται απαραίτητη. Οι οργανώσεις πρέπει να διατηρούν μια συνεπή, ενισχυμένη στάση σε όλα τα περιβάλλοντα ώστε να μειώσουν τον αριθμό των περιστατικών που αντιμετωπίζουν και να περιορίσουν το τι μπορεί να φτάσει ένας επιτιθέμενος αν περάσει την πόρτα.

Ενώ σχεδόν κάθε προμηθευτής κυβερνοασφάλειας θα «εκπαιδεύσει» (ή θα τρομάξει) το κοινό για οποιαδήποτε απειλή ή τομέα ασφαλείας για τον οποίο πουλά λύσεις, η πραγματική λίστα προτεραιοτήτων είναι κάτι που μόνο κάθε οργανισμός μπορεί να απαντήσει. Κάθε επιχείρηση εκτιμά διαφορετικά τα στοιχεία του τριγώνου CIA, και κάθε εταιρεία έχει ευαίσθητα δεδομένα αποθηκευμένα ή προσβάσιμα σε διαφορετικά μέρη. Η πραγματική συμβουλή που χρειάζονται τα περισσότερα επιχειρηματικά είναι να αξιολογήσουν ποια δεδομένα, περιουσιακά στοιχεία ή συστήματα παραγωγής είναι πιο κρίσιμα για τις λειτουργίες τους και, στη συνέχεια, να εργαστούν αντίστροφα από εκεί για να προστατεύσουν ό,τι είναι πιο σημαντικό.

Υπάρχει αυξανόμενη ανησυχία ότι οι πράκτορες AI θα εκτελέσουν τελικά σημαντικά τμήματα του κύκλου επίθεσης αυτόνομα. Ποιες δυνατότητες θα πρέπει να βελτιωθούν πριν οι αυτόνομες κυβερνοεπιθέσεις γίνουν ουσιαστικά πιο επικίνδυνες από τις σημερινές επιθέσεις με υποβοήθηση AI, και προετοιμάζονται οι αμυντικοί επαρκώς γρήγορα;

Η ανησυχία για αυτόνομους πράκτορες υποδηλώνει ότι πρόκειται για μελλοντικό πρόβλημα, αλλά ήδη βλέπουμε να εκτελούν επιθέσεις σήμερα. Ωστόσο, αυτές οι αυτόνομες επιθέσεις είναι μακριά από το τέλειο. Κοιτάξτε την πρόσφατη εκστρατεία ransomware JadePuffer. Ήταν πλήρως διαχειριζόμενη από έναν πράκτορα AI, αλλά έκανε προφανή λάθη. Το μοντέλο δημιούργησε ψευδείς πληροφορίες για τη λειτουργία, συμπεριλαμβανομένου ενός φανταστικού διεύθυνσης Bitcoin για τη σημείωση λύτρων. Ακόμη πιο παράλογο, το AI ξέχασε να αποθηκεύσει ή να μεταδώσει το κλειδί κρυπτογράφησης. Εκτύπωσε απλώς το τυχαία παραγόμενο κλειδί σε προσωρινή έξοδο κονσόλας και έκλεισε τη συνεδρία, καθιστώντας μαθηματικά αδύνατη την ανάκτηση των δεδομένων από το θύμα, ακόμη και αν πλήρωσε.

Η πραγματικότητα είναι ότι από την άποψη τακτικών, τεχνικών και διαδικασιών, το αυτόνομο AI, τα αυτοματοποιημένα σενάρια και οι ανθρώπινοι επιτιθέμενοι κάνουν ακριβώς το ίδιο. Συνεχίζουν να εκμεταλλεύονται τα ίδια είδη εκτεθειμένων στο διαδίκτυο, ευάλωτων και λανθασμένα ρυθμισμένων πόρων. Το AI πρέπει ακόμη να περάσει από την τυπική αλυσίδα καταστροφής. Πρέπει ακόμη να επιτύχει αρχική πρόσβαση, να αυξήσει τα προνόμια, να κινηθεί πλευρικά και να εκτελέσει το φορτίο του. Στην περίπτωση JadePuffer, χρησιμοποίησε απλώς μια γνωστή, μη διορθωμένη ευπάθεια για να περάσει την πρώτη πόρτα και στη συνέχεια προχώρησε αδέξια μέσα στο δίκτυο.

Επειδή οι βασικοί μηχανισμοί της επίθεσης δεν έχουν αλλάξει, οι αμυντικοί δεν χρειάζεται να πετάξουν το τρέχον εγχειρίδιο τους. Χρειάζεστε ακόμη πολυεπίπεδη ασφάλεια, βασική υγιεινή IT και ισχυρή ανίχνευση συμπεριφοράς. Αυτό που αλλάζει είναι η πίεση και η ταχύτητα με την οποία οι αμυντικοί πρέπει να επεξεργάζονται γεγονότα και να ταξινομούν ειδοποιήσεις. Όταν ένας πράκτορας AI κάνει λάθος, διαβάζει το αρχείο σφαλμάτων και αυτοδιορθώνεται σε δευτερόλεπτα για να συνεχίσει, οι αμυντικοί πρέπει απλώς να προσαρμοστούν στην ταχύτητα με την οποία οι κυβερνοεπιθέσεις κινούνται πλέον.

Οι επιτιθέμενοι υιοθετούν AI, αλλά οι αμυντικοί έχουν πρόσβαση σε πολλές από τις ίδιες τεχνολογίες. Πού βλέπετε ότι το AI προσφέρει το μεγαλύτερο αμυντικό πλεονέκτημα: στην ανίχνευση ασυνήθιστης συμπεριφοράς, στην ανάλυση τηλεμετρίας, στην προτεραιοποίηση ευπαθειών, στην αυτοματοποίηση ανταπόκρισης ή κάπου εντελώς αλλού;

Πρώτον, είναι εξαιρετικά αποτελεσματικό για τη συσχέτιση της μπλε ομάδας. Οι ομάδες ασφαλείας δεν έχουν πρόβλημα δεδομένων· έχουν πρόβλημα θορύβου. Το AI είναι εξαιρετικά χρήσιμο για την εξαγωγή των βελόνων από τη σίτα, παίρνοντας διασκορπισμένα, φαινομενικά άσχετα γεγονότα και συνδέοντάς τα για να διηγηθούν ολόκληρη την ιστορία μιας διείσδυσης.

Δεύτερον, το AI κάνει για τους αμυντικούς ακριβώς ό,τι κάνει για τους επιτιθέμενους γεφυρώνοντας το χάσμα δεξιοτήτων. Όταν ένας νέος αναλυτής SOC αντιμετωπίζει ένα έντονα ασαφές σενάριο ή μια σύνθετη ειδοποίηση, μπορεί να χρησιμοποιήσει ένα LLM για να μεταφράσει αμέσως αυτά τα δεδομένα σε απλή αγγλική. Αφαιρεί την χειρωνακτική δουλειά του αντίστροφου μηχανικού και επιτρέπει στους αμυντικούς να ταξινομούν και να ανταποκρίνονται πολύ πιο γρήγορα.

Τέλος, εκτός από την αντιδραστική άμυνα, υπάρχει τεράστια ευκαιρία για τις κόκκινες και μωβ ομάδες να χρησιμοποιήσουν AI για προληπτικό έλεγχο και επικύρωση των αμυντικών. Πλήρως προγραμματισμένες, ανθρώπινες δοκιμές διείσδυσης παραμένουν απόλυτη ανάγκη. Αλλά το AI μειώνει το τεχνικό φράχτη για τη διεξαγωγή μικρότερων, ατομικών δοκιμών για την επικύρωση διαφορετικών επιπέδων σε μια στοίβα ασφαλείας. Αντί να περιμένετε για ετήσια pen‑test ή να σταυρώνετε τα δάχτυλα όταν εμφανιστεί μια πραγματική οργανική απειλή, οι οργανώσεις μπορούν να χρησιμοποιούν AI για ασφαλή και συχνή δοκιμή των δικών τους περιβαλλόντων ώστε να δουν τι σπάει πραγματικά.

Κοιτάζοντας μπροστά, αναμένετε ότι η βιομηχανία κυβερνοασφάλειας θα εισέλθει σε ένα περιβάλλον όπου τόσο οι επιτιθέμενοι όσο και οι αμυντικοί θα λειτουργούν όλο και περισσότερο μέσω αυτόνομων πρακτόρων; Αν ναι, τι θα καθορίσει τελικά ποιος θα έχει το πλεονέκτημα όταν τα μηχανήματα και των δύο πλευρών μπορούν να εντοπίζουν και να αντιδρούν σε απειλές με ταχύτητα μηχανής;

Η τεχνητή νοημοσύνη σίγουρα ανατρέπει την υπόγεια οικονομία. Η αγορά darknet για υπηρεσίες κυβερνοεγκλήματος έχει ευδοκιμήσει στην πώληση κακόλογου και σεναρίων, επειδή παραδοσιακά απαιτούσαν εξειδικευμένες δεξιότητες προγραμματιστών για τη δημιουργία τους. Η AI αλλάζει την προσβασιμότητα και την οικονομική λογική αυτού του οικοσυστήματος, επιτρέποντας σε χειριστές με χαμηλότερες δεξιότητες να παράγουν τα δικά τους εργαλεία κατόπιν ζήτησης. Πιθανότατα θα κλείσει το δρόμο για πολλούς παλιούς, έτοιμους προς πώληση προμηθευτές κακόλογου. Γιατί θα πληρώσει ένας δράστης απειλής για γενικό, έτοιμο προς πώληση κακόλογο σε ένα υπόγειο φόρουμ, όταν μπορεί απλώς να δώσει εντολή σε ένα LLM να δημιουργήσει προσαρμοσμένα εργαλεία κατόπιν ζήτησης;

Όταν και οι δύο πλευρές είναι εξοπλισμένες με AI, το πλεονέκτημα εξαρτάται από την υποδομή, τη ρύθμιση και την εποπτεία. Καθίσταται ένας αγώνας για το ποιος διαθέτει μεγαλύτερο προϋπολογισμό υπολογιστικής ισχύος (ποσοιές tokens για κατανάλωση) και ποιος έχει το καλύτερα ρυθμισμένο μοντέλο. Για τους δράστες, η δοκιμή είναι αν η AI τους μπορεί να εντοπίζει προβλήματα επαναληπτικά, να διαβάζει αρχεία σφαλμάτων και να προσαρμόζεται κατάλληλα όταν μια εκμετάλλευση αποτυγχάνει. Για τους αμυντικούς, η δοκιμή είναι αν οι ανιχνευτές σας είναι πραγματικά ρυθμισμένοι και αν οι αγωγοί δεδομένων σας είναι σωστά συνδεδεμένοι ώστε να τροφοδοτούν την AI με τη σωστή τηλεμετρία σε πραγματικό χρόνο. Αλλά, πιο σημαντικό, εξαρτάται από το αν έχετε ανθρώπινους ειδικούς με επιχειρηματικό πλαίσιο στη διαδικασία λήψης κρίσιμων αποφάσεων, όπως η ανάγνωση της ερμηνείας ενός περιστατικού από την AI και η απόφαση για απομόνωση ενός παραβιασμένου μηχανήματος ή την αποσύνδεση ενός παραγωγικού συστήματος για τον περιορισμό μιας απειλής.

Τελικά, η AI δεν αλλάζει τα θεμελιώδη στοιχεία της ασφάλειας. Οι επιχειρήσεις που θα τα καταφέρουν καλύτερα είναι αυτές που θα συνεχίσουν να κάνουν σωστά τα μικρά πράγματα. Πρόκειται για τη μείωση του επιπέδου επίθεσης, την επιδιόρθωση ευπαθειών, την ενίσχυση των ρυθμίσεων, την παρακολούθηση 24/7, την υπόθεση παραβίασης και τη προληπτική δοκιμή των αμυντικών μέτρων σε τακτική βάση. Η AI είναι απλώς ένας επιταχυντής. Όσοι εκτελούν τα βασικά πιο γρήγορα και πιο συνεπώς είναι αυτοί που κερδίζουν.

Σας ευχαριστούμε για τη σπουδαία συνέντευξη· οι αναγνώστες που θέλουν να μάθουν περισσότερα θα πρέπει να επισκεφθούν το Huntress.