Echipele de securitate repară amenințările greșite. Iată cum să corectați cursul în era atacurilor cu IA

Atacurile cibernetice nu mai sunt operațiuni manuale, liniare. Cu IA integrată în strategiile ofensive, atacatorii dezvoltă malware polimorfic, automatizează recunoașterea și ocolesc apărările mai repede decât majoritatea echipelor de securitate pot răspunde. Acesta nu este un scenariu din viitor, ci se întâmplă acum.

În același timp, majoritatea apărărilor de securitate sunt încă reactive. Ele se bazează pe identificarea indicatorilor cunoscuți de compromis, aplicarea modelelor istorice de atac și semnalarea riscurilor pe baza scorurilor de gravitate care nu reflectă întotdeauna peisajul real al amenințărilor. Echipele sunt copleșite de volum, nu de perspicacitate, creând un mediu perfect pentru ca atacatorii să reușească.

Mentalitatea moștenită a industriei, construită în jurul listelor de verificare a conformității, evaluărilor periodice și instrumentelor fragmentate, a devenit o povară. Echipele de securitate lucrează mai mult ca niciodată, dar adesea repară lucrurile greșite.

De ce există această lacună

Industria securității cibernetice s-a bazat mult timp pe scoruri de risc, cum ar fi CVSS, pentru a prioritiza vulnerabilitățile. Cu toate acestea, scorurile CVSS nu reflectă contextul real al infrastructurii unei organizații, cum ar fi dacă o vulnerabilitate este expusă, accesibilă sau exploatabilă în cadrul unei căi de atac cunoscute.

Ca urmare, echipele de securitate petrec adesea timp valoros pentru a corecta probleme neexploatabile, în timp ce atacatorii găsesc modalități creative de a combina slăbiciuni neglijate și de a ocoli controalele.

Situația este și mai complicată de natura fragmentată a stivelor de securitate. SIEM, sisteme de detectare și răspuns la punctele de extremitate (EDR), instrumente de gestionare a vulnerabilităților (VM) și platforme de gestionare a poziției de securitate a cloud-ului (CSPM) funcționează independent. Această telemetrie izolată creează puncte oarbe pe care atacatorii cu IA sunt din ce în ce mai pricepuți să le exploateze.

Detectarea bazată pe semnătură este în declin

Una dintre tendințele cele mai îngrijorătoare în securitatea cibernetică modernă este scăderea valorii metodelor tradiționale de detectare. Semnăturile statice și alertele bazate pe reguli erau eficiente atunci când amenințările urmau modele previzibile. Dar atacurile generate de IA nu respectă aceste reguli. Ele modifică codul, evită detectarea și se adaptează la controale.

Luăm, de exemplu, malware-ul polimorfic, care își schimbă structura la fiecare implementare. Sau e-mailurile de phishing generate de IA care imită stilurile de comunicare ale executivilor cu o precizie îngrijorătoare. Aceste amenințări pot trece neobservate de instrumentele bazate pe semnătură.

Dacă echipele de securitate continuă să se bazeze pe identificarea a ceea ce a fost deja văzut, vor rămâne în urmă cu inamicii care inovează în mod constant.

Presiunea regulamentară este în creștere

Problema nu este doar tehnică, ci și regulamentară. Comisia pentru Valori Mobiliare și Burse din SUA (SEC) a introdus recent noi reguli de divulgare a securității cibernetice, care obligă companiile publice să raporteze incidente de securitate cibernetică importante și să descrie strategiile lor de gestionare a riscurilor în timp real. Similar, Actul Uniunii Europene privind Reziliența Operațională Digitală (DORA) cere o schimbare de la evaluări periodice la gestionarea continuă și validată a riscurilor cibernetice.

Majoritatea organizațiilor nu sunt pregătite pentru această schimbare. Le lipsește capacitatea de a oferi evaluări în timp real ale eficacității controalelor de securitate actuale împotriva amenințărilor de astăzi, mai ales având în vedere că IA continuă să evolueze aceste amenințări la viteza mașinilor.

Prioritizarea amenințărilor este defectuoasă

Provocarea de bază constă în modul în care organizațiile prioritizează lucrările. Majoritatea se bazează încă pe sisteme de scorare a riscurilor statice pentru a determina ce trebuie reparat și când. Aceste sisteme rareori iau în considerare mediul în care există o vulnerabilitate, nici dacă este expusă, accesibilă sau exploatabilă.

Acest lucru a condus la faptul că echipele de securitate petrec timp și resurse semnificative pentru a corecta vulnerabilități care nu sunt atacabile, în timp ce atacatorii găsesc modalități de a combina probleme mai puțin importante, neglijate, pentru a obține acces. Modelul tradițional “găsește și repară” a devenit un mod ineficient și adesea ineficace de gestionare a riscurilor cibernetice.

Securitatea trebuie să evolueze de la reacția la alerte spre înțelegerea comportamentului adversarului – cum ar putea un atacator să se deplaseze realmente prin sistem, care controale ar putea fi ocolite și unde se află slăbiciunile reale.

O cale mai bună înainte: Apărare proactivă, condusă de calea de atac

Ce s-ar întâmpla dacă, în loc de a reacționa la alerte, echipele de securitate ar putea simula în mod continuu cum ar încerca atacatorii reali să pătrundă în mediul lor și să corecteze doar ceea ce contează cel mai mult?

Acestă abordare, adesea numită validare continuă de securitate sau simulare a căii de atac, câștigă teren ca o schimbare strategică. Mai degrabă decât a trata vulnerabilitățile în mod izolat, ea cartografiază modul în care atacatorii ar putea combina slăbiciuni, identități și active vulnerabile pentru a ajunge la sisteme critice.

Prin simularea comportamentului adversarului și validarea controalelor în timp real, echipele pot se concentra pe riscuri exploatabile care expun realmente afacerea, nu doar pe cele semnalate de uneltele de conformitate.

Recomandări pentru CISO și lideri de securitate

Iată ce ar trebui să prioritizeze echipele de securitate astăzi pentru a rămâne înaintea atacurilor generate de IA:

• Implementați simulări de atac continue Adoptați unelte automate de emulare a adversarului, conduse de IA, care testă controalele dvs. așa cum ar face atacatorii reali. Aceste simulări ar trebui să fie continue, nu doar rezervate pentru exerciții anuale de echipă roșie.
• Prioritizați exploatabilitatea înainte de gravitate Depășiți scorurile CVSS. Integrați analiza căii de atac și validarea contextuală în modelele dvs. de risc. Întrebați-vă: Este această vulnerabilitate accesibilă? Poate fi exploatată astăzi?
• Unificați telemetria de securitate Consolidati datele de la SIEM, CSPM, EDR și VM într-o vedere centralizată și corelată. Acest lucru permite analiza căii de atac și îmbunătățește capacitatea de a detecta intruziuni complexe, multietapă.
• Automatizați validarea apărării Treceți de la ingineria detectării manuale la validarea condusă de IA. Utilizați învățarea automată pentru a asigura că strategiile dvs. de detectare și răspuns evoluează alături de amenințările pe care sunt menite să le oprească.
• Modernizați raportarea riscurilor cibernetice Înlocuiți tablourile de bord de risc statice cu evaluări de expunere în timp real. Aliniați-vă cu cadre precum MITRE ATT&CK pentru a demonstra cum controalele dvs. se potrivesc cu comportamentele reale de amenințare.

Organizațiile care se mută spre validarea continuă și prioritizarea exploatabilității pot aștepta îmbunătățiri semnificative în multiple dimensiuni ale operațiunilor de securitate. Prin concentrarea asupra amenințărilor cu impact ridicat și acțiune, echipele de securitate pot reduce oboseala alertelor și elimina distragerea cauzată de false pozitive sau vulnerabilități neexploatabile. Acest focus îmbunătățit permite răspunsuri mai rapide și mai eficiente la atacuri reale, reducând semnificativ timpul de ședere și îmbunătățind conținerea incidentelor.

Mai mult, această abordare îmbunătățește alinierea regulamentară. Validarea continuă satisface cerințele crescânde din cadre precum regulile de divulgare a securității cibernetice ale SEC și reglementarea DORA a UE, ambele cerând vizibilitate în timp real asupra riscurilor cibernetice. Poate cel mai important, această strategie asigură o alocare mai eficientă a resurselor și permite echipelor să-și investească timpul și atenția acolo unde contează cel mai mult, în loc de a se răspândi pe o suprafață vastă de risc teoretic.

Timpul de a se adapta este acum

Era infracționalității cibernetice conduse de IA nu mai este o previziune, ci prezentul. Atacatorii folosesc IA pentru a găsi noi căi de intrare. Echipele de securitate trebuie să folosească IA pentru a închide aceste căi.

Nu este vorba despre adăugarea de alerte suplimentare sau corectarea mai rapidă. Este vorba despre a ști care amenințări contează, validarea continuă a apărărilor și alinierea strategiei cu comportamentul real al atacatorilor. Abia atunci pot apărătorii să-și recapete avantajul într-o lume în care IA rescrie regulile angajamentului.