Защита инфраструктуры от программ-вымогателей – лидеры мнений

Доктор Авив Йехезкель, сооснователь и технический директор, Cynamics

От больниц до школ и мясоперерабатывающих заводов, ни одна отрасль не является незначительной для атакеров программ-вымогателей. Программы-вымогатели будут стоить компаниям США 3,68 миллиарда долларов в этом году alone. Операторы сетей и безопасности нуждаются в высокоуровневом покрытии сети для предотвращения и смягчения атак программ-вымогателей. Все большая сложность архитектур – включая устаревшие локальные, виртуальные и облачные компоненты, работающие в сети – сделала практически невозможным получение полной видимости. Status quo не работает. Нужен новый подход.

Текущие решения не могут удовлетворить потребности сети

Помимо того, что сети становятся более сложными, они также увеличились в размерах, масштабе и объеме. Во всех секторах эти сети обрабатывают огромные объемы данных, которые продолжают расти в объеме и включают больше конечных точек, больше подключений (внутренних и внешних) и больше сетевых сайтов (физических и/или логических). Пока сети экспоненциально увеличиваются в масштабе и сложности, большинство решений безопасности все еще полагаются на традиционные подходы, такие как устройства и агенты. И они не предназначены для таких уровней сложности и объемов данных.

Текущие решения обнаружения и реагирования на сеть (NDR) все еще основаны на подходе, предназначенном для сетей более простого времени. Эти решения являются трудоемкими, дорогими в реализации и все менее эффективными. Они предполагают установку устройств, датчиков и/или зондов, которые собирают и анализируют данные сети. Однако невозможно покрыть всю сеть этими устройствами. Они требуют анализа 100% данных сети – что не является практичным. Это заставляет компании идти на компромисс каждый день, ограничивая покрытие и обнаружение небольшими частями сети, оставляя большую часть сети уязвимой слепой зоной.

Кроме того, большинство поставщиков NDR используют подход, основанный на устройствах, который подключается или подключается к портам для анализа сетевого трафика. Это не масштабируется легко и расширяет поверхность атаки организации как прямую дверь в ядро сети клиента, как было замечено так много раз в прошлом году с “пандемией” атак на цепочку поставок. В сегодняшней взаимосвязанной цифровой среде этот подход не обеспечивает достаточной прозрачности на все более сложных умных сетях и оставляет организации уязвимыми для слепых зон.

Проблемы с видимостью и новизной

Большинство атак программ-вымогателей начинаются с сетевой бреши, которая обычно становится возможной благодаря уязвимости в периметре сети. И злоумышленники начнут перемещаться по вашей сети и попытаться максимизировать ущерб, прыгая от одного места к другому, пока не заражают достаточно хостов для атаки. Они найдут слепые зоны, которые не отслеживаются – когда вы оставляете области непокрытыми, вы создаете много места для киберпреступников, чтобы проникнуть внутрь.

Еще одна значительная проблема заключается в том, что с большинством решений обнаружения новизна остается незамеченной. Они обучены искать очень конкретные сигнатуры и правила, связанные с известными действиями программ-вымогателей. Но новые вариации и типы атак программ-вымогателей разрабатываются все время – и даже небольшое изменение от сигнатур, которые эти инструменты обучены обнаруживать и помечать, может вызвать атаку, которая остается незамеченной.

Роль ИИ и МО

Человеческие аналитики, однако умны и способны они могут быть, просто не могут отслеживать сети сегодня самостоятельно – и вы не можете покрыть всю сеть устройствами и агентами. Но оставление частей вашей сети непокрытыми не является вариантом. Атакующие и киберпреступники всегда ищут способы проникнуть внутрь.

Как можно преодолеть эти проблемы? Техники ИИ и МО могут сыграть ключевую роль в обнаружении и реагировании на сеть. МО можно использовать для вывода поведения 100% сетевого трафика на основе выборки только небольшой части сетевых данных. И затем он может автоматически узнать, является ли сетевой шаблон законным или подозрительным и автономно “понять” меняющиеся тенденции в сети.

Что делает МО и ИИ так полезными, является их способность обнаружить скрытые шаблоны, которые сигнализируют об атаках – чтобы показать, что действительно происходит на сетях в режиме реального времени. Это устраняет непрактичную и дорогостоящую необходимость покрыть всю сеть. Это также помогает решить проблему, упомянутую выше, о постоянной эволюции новых форм атак программ-вымогателей.

Необходимость инноваций

Программы-вымогатели неумолимы. Это очевидно, что устаревшие решения безопасности не работают или не идут в ногу с эволюционирующей угрозой. Это бич, который стоит организациям миллиарды долларов; он кажется непреодолимым, но его необходимо остановить. Но это легче сказать, чем сделать, когда большинство сетей становятся все более сложными и включают смесь устаревших и новых компонентов.

Киберпреступники используют ИИ, поэтому операторы сетей также должны это делать. Новая стратегия безопасности должна включать ИИ-ориентированное, выборочное NDR. Решения такого типа используют небольшую часть сетевого трафика, чтобы узнать, что является нормальным для всей сети, обеспечивая видимость, которая иначе невозможна. Это пример того типа инновационных решений, которые необходимы для того, чтобы оставаться впереди программ-вымогателей и многих других сетевых угроз, действующих сегодня.