Οι ομάδες ασφαλείας διορθώνουν τις λάθος απειλές. Δείτε πώς να διορθώσετε την πορεία σας στην εποχή των κυβερνοεπιθέσεων με τη χρήση του AI

Οι κυβερνοεπιθέσεις δεν είναι πλέον χειροκίνητες, γραμμικές επιχειρήσεις. Με το AI που είναι τώρα ενσωματωμένο στις επιθετικές στρατηγικές, οι επιτιθέμενοι αναπτύσσουν πολυμορφικό κακόβουλο λογισμικό, αυτοματοποιούν την αναγνώριση και παρακάμπτουν τις άμυνες πιο γρήγορα από ό,τι πολλές ομάδες ασφαλείας μπορούν να ανταποκριθούν. Αυτό δεν είναι ένα μελλοντικό σενάριο, συμβαίνει τώρα.

Ταυτόχρονα, οι περισσότερες άμυνες ασφαλείας είναι ακόμη αντιδραστικές. Εξαρτώνται από την αναγνώριση γνωστών ενδείξεων παραβίασης, την εφαρμογή ιστορικών μοτίβων επιθέσεων και την σημείωση κινδύνων με βάση βαθμολογίες σοβαρότητας που μπορεί να μην ανταποκρίνονται στην πραγματική τοπική εικόνα απειλών. Οι ομάδες είναι υπερφορτωμένες από τον όγκο, όχι από την ενημέρωση, δημιουργώντας το ιδανικό περιβάλλον για τους επιτιθέμενους να επιτύχουν.

Η ληθαργική στάση της βιομηχανίας που έχει χτιστεί γύρω από λίστες ελέγχου συμμόρφωσης, περιοδικές αξιολογήσεις και θραυσματικές εργαλεία έχει γίνει ευθύνη. Οι ομάδες ασφαλείας εργάζονται πιο σκληρά από ποτέ, αλλά συχνά διορθώνουν τα λάθος πράγματα.

Γιατί υπάρχει αυτό το κενό

Η βιομηχανία κυβερνοασφάλειας έχει βασιστεί για καιρό σε βαθμολογίες κινδύνου όπως CVSS για να προτεραιοποιήσει τις αδυναμίες. Ωστόσο, οι βαθμολογίες CVSS δεν ανταποκρίνονται στο πραγματικό περιβάλλον της υποδομής ενός οργανισμού, όπως αν μια αδυναμία είναι εκτεθειμένη, προσπελάσιμη ή εκμεταλλεύσιμη μέσα σε một γνωστή επιθετική διαδρομή.

Ως αποτέλεσμα, οι ομάδες ασφαλείας συχνά ξοδεύουν πολύτιμο χρόνο για την διόρθωση μη εκμεταλλεύσιμων προβλημάτων, ενώ οι επιτιθέμενοι βρίσκουν δημιουργικές τρόπους να συνδέουν παραμελημένες αδυναμίες και να παρακάμπτουν τους ελέγχους.

Η κατάσταση είναι ακόμη πιο σύνθετη λόγω της θραυσματικής φύσης του στρώματος ασφαλείας. Τα SIEM, τα συστήματα ανίχνευσης και απόκρισης τερματικών (EDR), τα εργαλεία διαχείρισης αδυναμιών (VM) και οι πλατφόρμες διαχείρισης στάθμης ασφαλείας cloud (CSPM) λειτουργούν ανεξάρτητα. Αυτή η θραυσματική τηλεμετρία δημιουργεί τυφλές πλευρές που οι επιτιθέμενοι που ενισχύονται από το AI είναι ολοένα και πιο ικανοί να εκμεταλλευτούν.

Η ανίχνευση με βάση υπογραφή σβήνει

Μια από τις πιο ανησυχητικές τάσεις στη σύγχρονη κυβερνοασφάλειά είναι η μειούμενη αξία των παραδοσιακών μεθόδων ανίχνευσης. Οι στατικές υπογραφές και η προειδοποίηση με βάση κανόνες ήταν αποτελεσματικές όταν οι απειλές ακολουθούσαν προβλέψιμους μοτίβους. Αλλά οι επιθέσεις που παράγονται από το AI δεν ακολουθούν αυτούς τους κανόνες. Μεταλλάσσουν τον κώδικα, αποφεύγουν την ανίχνευση και προσαρμόζονται στους ελέγχους.

Πάρτε το πολυμορφικό κακόβουλο λογισμικό, το οποίο αλλάζει τη δομή του με κάθε ανάπτυξη. Ή τα φισίνγκ emails που παράγονται από το AI που μιμούνται τους στυλ επικοινωνίας των διευθυντών με αξιοθρήνητη ακρίβεια. Αυτές οι απειλές μπορούν να περάσουν από τις εργαλεία ανίχνευσης με βάση υπογραφή ολόκληρα.

Εάν οι ομάδες ασφαλείας συνεχίσουν να βασίζονται στην αναγνώριση того που έχει ήδη παρατηρηθεί, θα παραμείνουν ένα βήμα πίσω από τους αντιπάλους που συνεχώς καινοτομούν.

Η ρυθμιστική πίεση αυξάνεται

Το πρόβλημα δεν είναι μόνο τεχνικό, είναι επίσης ρυθμιστικό. Η Αμερικανική Επιτροπή Κεφαλαιαγοράς (SEC) πρόσφατα εισήγαγε νέες ρυθμιστικές απαιτήσεις για την κυβερνοασφάλεια, που απαιτούν από τις δημόσιες εταιρείες να αναφέρουν σημαντικά περιστατικά κυβερνοασφάλειας και να περιγράψουν τις στρατηγικές διαχείρισης κινδύνων τους σε πραγματικό χρόνο. Παρόμοια, η Ευρωπαϊκή Ένωση με τον Νόμο Ψηφιακής Λειτουργικής Ανθεκτικότητας (DORA) απαιτεί μια μετατόπιση από τις περιοδικές αξιολογήσεις προς τη συνεχή, επικυρωμένη διαχείριση κυβερνοκινδύνων.

Οι περισσότερες οργανώσεις δεν είναι προετοιμασμένες για αυτή τη μετατόπιση. Λείπουν η ικανότητα να παρέχουν αξιολογήσεις σε πραγματικό χρόνο για την αποτελεσματικότητα των τρεχουσών ελέγχων ασφαλείας τους ενάντια στις σημερινές απειλές, ιδιαίτερα καθώς το AI συνεχίζει να εξελίσσει αυτές τις απειλές με ταχύτητα μηχανής.

Η προτεραιοποίηση απειλών είναι κατεστραμμένη

Η βασική πρόκληση έγκειται στο πώς οι οργανώσεις προτεραιοποιούν το έργο τους. Οι περισσότερες εξακολουθούν να βασίζονται σε στατικά συστήματα βαθμολογίας κινδύνου για να καθορίσουν τι θα διορθωθεί και πότε. Αυτά τα συστήματα σπάνια λαμβάνουν υπόψη το περιβάλλον στο οποίο υπάρχει μια αδυναμία, ούτε αν είναι εκτεθειμένη, προσπελάσιμη ή εκμεταλλεύσιμη.

Αυτό έχει οδηγήσει τις ομάδες ασφαλείας να ξοδεύουν σημαντικό χρόνο και πόρους για την διόρθωση αδυναμιών που δεν είναι επιθέσιμες, ενώ οι επιτιθέμενοι βρίσκουν τρόπους να συνδέουν χαμηλότερα βαθμολογημένα, παραμελημένα ζητήματα για να αποκτήσουν πρόσβαση. Το παραδοσιακό μοντέλο “βρείτε και διορθώστε” έχει γίνει ένας ανεφάρμος και συχνά αναποτελεσματικός τρόπος για τη διαχείριση κυβερνοκινδύνων.

Η ασφάλεια πρέπει να εξελιχθεί από την αντίδραση στις προειδοποιήσεις προς την κατανόηση της συμπεριφοράς των αντιπάλων – πώς ένας επιτιθέμενος θα κινηθεί πραγματικά μέσα σε ένα σύστημα, ποιοι έλεγχοι θα μπορούσε να παρακάμψει και πού βρίσκονται οι πραγματικές αδυναμίες.

Ένας καλύτερος τρόπος προς τα εμπρός: Προαктивτική, επιθετική διαδρομή-κίνητη άμυνα

Τι αν, αντί να αντιδράσετε στις προειδοποιήσεις, οι ομάδες ασφαλείας μπορούσαν να προσομοιώσουν συνεχώς πώς οι πραγματικοί επιτιθέμενοι θα προσπαθούσαν να παραβιάσουν το περιβάλλον τους και να διορθώσουν μόνο αυτό που έχει τη μεγαλύτερη σημασία;

Αυτή η προσέγγιση, που συχνά ονομάζεται συνεχής επικύρωση ασφαλείας ή προσομοίωση διαδρομής επιθέσεων, κερδίζει ώθηση ως στρατηγική μετατόπιση. Αντί να αντιμετωπίζουν τις αδυναμίες σε απομόνωση, χαρτογραφεί πώς οι επιτιθέμενοι θα μπορούσαν να συνδέσουν τις μηρυκαστικές αδυναμίες, τις αδυναμίες ταυτοτήτων και τις ευάλωτες περιουσίες για να φτάσουν σε κρίσιμα συστήματα.

Με την προσομοίωση της συμπεριφοράς των αντιπάλων και την επικύρωση των ελέγχων σε πραγματικό χρόνο, οι ομάδες μπορούν να εστιάσουν στις εκμεταλλεύσιμες απειλές που πραγματικά εκθέτουν την επιχείρηση, όχι μόνο σε αυτές που σημειώνονται από εργαλεία συμμόρφωσης.

Συμβουλές για τους CISO και τους ηγέτες ασφαλείας

Αυτά είναι τα οποία οι ομάδες ασφαλείας πρέπει να προτεραιοποιήσουν σήμερα για να παραμείνουν μπροστά από τις επιθέσεις που παράγονται από το AI:

• Εφαρμόστε Συνεχείς Προσομοιώσεις Επιθέσεων Υιοθετήστε αυτοματοποιημένα, με βάση το AI εργαλεία προσομοίωσης αντιπάλων που δοκιμάζουν τους ελέγχους σας με τον τρόπο που θα το έκαναν οι πραγματικοί επιτιθέμενοι. Αυτές οι προσομοιώσεις πρέπει να είναι συνεχείς και όχι μόνο να διατηρούνται για ετήσιες ασκήσεις red team.
• Προτεραιοποιήστε την Εκμεταλλεύσιμη Ανίχνευση над τη Σοβαρότητα Μετακινηθείτε πέρα από τις βαθμολογίες CVSS. Ενσωματώστε την ανάλυση διαδρομής επιθέσεων και την επικύρωση περιεχομένου στα μοντέλα κινδύνου σας. Ρωτήστε: Είναι αυτή η αδυναμία προσπελάσιμη; Μπορεί να εκμεταλλευτεί σήμερα;
• Ενώνετε την Τηλεμετρία Ασφαλείας σας Συγκεντρώστε δεδομένα από SIEM, CSPM, EDR και VM πλατφόρμες σε μια κεντρική, συσχετισμένη άποψη. Αυτό επιτρέπει την ανάλυση διαδρομής επιθέσεων και βελτιώνει την ικανότητά σας να ανιχνεύσετε σύνθετες, πολλαπλά βήματα εισβολές.
• Αυτοματοποιήστε την Επικύρωση Άμυνας Μετακινηθείτε από τη χειροκίνητη ανίχνευση μηχανισμών προς την επικύρωση που ενισχύεται από το AI. Χρησιμοποιήστε τη μάθηση με την βοήθεια μηχανής για να διασφαλίσετε ότι οι στρατηγικές ανίχνευσης και απόκρισης σας εξελίσσονται παράλληλα με τις απειλές που προορίζονται να σταματήσουν.
• Επικαιροποιήστε την Αναφορά Κινδύνου Κυβερνοασφάλειας Αντικαταστήστε τις στατικές πίνακες κινδύνου με αξιολογήσεις εκθέσεων σε πραγματικό χρόνο. Συναρμολογήστε με πλαισιά με την MITRE ATT&CK για να δείξετε πώς οι έλεγχοι σας αντιστοιχούν σε πραγματικές συμπεριφορές απειλών.

Οι οργανώσεις που μετατοπίζονται σε συνεχή επικύρωση και προτεραιοποίηση με βάση την εκμεταλλεύσιμη ανίχνευση μπορούν να αναμένουν μετρήσιμες βελτιώσεις σε πολλαπλά μέρη των επιχειρήσεων ασφαλείας. Στερεώνοντας μόνο στις δραστικές, υψηλής επίδρασης απειλές, οι ομάδες ασφαλείας μπορούν να μειώσουν την κόπωση προειδοποιήσεων και να εξαφανίσουν τις αποσπάσεις που προκαλούνται από ψευδείς θετικούς ή μη εκμεταλλεύσιμες αδυναμίες. Αυτή η εστιασμένη εστίαση επιτρέπει ταχύτερης και πιο αποτελεσματικές απαντήσεις σε πραγματικές επιθέσεις, μειώνοντας σημαντικά τον χρόνο παραμονής και βελτιώνοντας την περικύκλωση περιστατικών.

Επιπλέον, αυτή η προσέγγιση ενισχύει τη ρυθμιστική συμμόρφωση. Η συνεχής επικύρωση ικανοποιεί τις αυξανόμενες απαιτήσεις από πλαισιά όπως οι κανόνες αποκάλυψης κυβερνοασφάλειας της SEC και ο κανονισμός DORA της ΕΕ, οι οποίοι απαιτούν ορατότητα σε πραγματικό χρόνο για τον κυβερνοκίνδυνο. Ίσως το πιο σημαντικό, αυτή η στρατηγική διασφαλίζει μια πιο αποτελεσματική κατανομή πόρων και επιτρέπει στις ομάδες να επενδύουν τον χρόνο και την προσοχή τους εκεί όπου έχει τη μεγαλύτερη σημασία, αντί να διασκορπίζονται σε ένα ευρύ φάσμα θεωρητικών κινδύνων.

Η ώρα να προσαρμοστούμε είναι τώρα

Η εποχή των κυβερνοεπιθέσεων που ενισχύονται από το AI δεν είναι πλέον μια πρόβλεψη, είναι η παρούσα. Οι επιτιθέμενοι χρησιμοποιούν το AI για να βρουν νέους δρόμους. Οι ομάδες ασφαλείας πρέπει να χρησιμοποιήσουν το AI για να κλείσουν αυτούς τους δρόμους.

Δεν είναι για να προστεθούν περισσότερες προειδοποιήσεις ή να διορθωθούν ταχύτερα. Είναι για να γνωρίζετε ποιες απειλές έχουν σημασία, να επικυρώσετε συνεχώς τις άμυνες σας και να συντονίσετε τη στρατηγική σας με τη πραγματική συμπεριφορά των επιτιθέμενων. Μόνο τότε οι υπερασπιστές μπορούν να ανακτήσουν το πάνω χέρι σε ένα κόσμο όπου το AI αναγράφει τους κανόνες του αγώνα.