อลอน นอย ซีอีโอและผู้ร่วมก่อตั้ง Astelia — บทสัมภาษณ์

อลอน นอย ซีอีโอและผู้ร่วมก่อตั้ง Astelia เป็นผู้นำด้านความมั่นคงปลอดภัยไซเบอร์ที่มีประสบการณ์มากกว่า 15 ปี ครอบคลุมทั้งการรักษาความปลอดภัยเชิงรุกและเชิงรับ ก่อนหน้านี้เขาเคยปฏิบัติงานในหน่วย 8200 ของอิสราเอล และต่อมาได้เป็นหัวหน้าทีมเรดทีมด้านความมั่นคงปลอดภัยไซเบอร์แห่งชาติของอิสราเอล โดยงานของเขารวมถึงการทดสอบความทนทานของโครงสร้างพื้นฐานสำคัญ และการทำงานร่วมกับทีมรักษาความปลอดภัยเพื่อค้นหาและแก้ไขเส้นทางการโจมตีที่เกิดขึ้นจริง นอยยังเคยบริหารองค์กรวิจัยและพัฒนาขนาดใหญ่ สำเร็จการศึกษาจากโครงการ Talpiot ของอิสราเอล และสำเร็จปริญญาโทสาขาวิทยาการคอมพิวเตอร์จาก Tel Aviv University ประสบการณ์การทำงานทั้งในมุมของผู้โจมตีและผู้ป้องกันช่วยหล่อหลอมแนวทางของ Astelia ซึ่งมุ่งเน้นการระบุว่าช่องโหว่ใดสามารถเข้าถึงและใช้โจมตีได้จริงภายในสภาพแวดล้อมขององค์กร

Astelia เป็นบริษัทด้านความมั่นคงปลอดภัยไซเบอร์ที่ใช้ AI เป็นแกนหลัก โดยมุ่งเน้นการบริหารจัดการความเสี่ยงจากการเปิดเผยระบบและช่องโหว่ บริษัทก่อตั้งโดยผู้มีประสบการณ์และอดีตผู้นำทีมเรดทีมแห่งชาติของอิสราเอล โดยใช้ AI และการวิเคราะห์เฉพาะเครือข่ายเพื่อระบุว่าช่องโหว่ใดเป็นเส้นทางการโจมตีที่เกิดขึ้นได้จริง แทนที่จะอาศัยคะแนนความรุนแรงทั่วไปเป็นหลัก แพลตฟอร์มของบริษัททำแผนผังสภาพแวดล้อมขององค์กรผ่านการเชื่อมต่อแบบอ่านข้อมูลอย่างเดียว วิเคราะห์ข้อกำหนดในการใช้ประโยชน์จากช่องโหว่เทียบกับโครงสร้างเครือข่าย และช่วยให้ทีมรักษาความปลอดภัยจัดลำดับความสำคัญของช่องโหว่ที่ยืนยันได้ว่าสามารถเข้าถึงได้ พร้อมระบุตัวเลือกในการแก้ไข เช่น การติดตั้งแพตช์ การเปลี่ยนแปลงการกำหนดค่า การแบ่งส่วนเครือข่าย หรือมาตรการควบคุมชดเชย เป้าหมายโดยรวมของบริษัทคือช่วยให้องค์กรลดจำนวนการแจ้งเตือนช่องโหว่ที่ต้องตรวจสอบ และมุ่งใช้ทรัพยากรกับจุดเสี่ยงที่ผู้โจมตีมีโอกาสใช้โจมตีได้จริง

ก่อนก่อตั้ง Astelia คุณทำงานด้านความมั่นคงแห่งชาติของอิสราเอลมานานกว่าทศวรรษ รวมถึงในหน่วย 8200 และในตำแหน่งหัวหน้าทีมเรดทีมด้านความมั่นคงปลอดภัยไซเบอร์แห่งชาติของอิสราเอล ซึ่งคุณได้รับมอบหมายให้คิดและปฏิบัติการในแบบผู้โจมตี ประสบการณ์เหล่านั้นสอนอะไรคุณเกี่ยวกับวิธีที่การโจมตีซับซ้อนเกิดขึ้นจริง และช่องว่างใดในตลาดความมั่นคงปลอดภัยไซเบอร์ที่ทำให้คุณตัดสินใจร่วมก่อตั้ง Astelia?

นานกว่าทศวรรษที่งานของผมแทบจะเป็นการคิดเหมือนคนที่พยายามเจาะเข้ามา ไม่ใช่คนที่พยายามกันพวกเขาออกไป บทเรียนที่ชัดเจนที่สุดจากประสบการณ์นั้นคือ การโจมตีที่ซับซ้อนแทบไม่เคยเกิดจากช่องโหว่ใหญ่เพียงจุดเดียว โดยทั่วไปมักเกิดจากเรื่องเล็ก ๆ สองหรือสามอย่างที่ไม่มีใครคิดว่าเป็นปัญหาเมื่อพิจารณาแยกกัน เช่น บัญชีที่ไม่เคยถูกปิดใช้งาน ส่วนหนึ่งของเครือข่ายที่ควรแยกออกจากกันแต่กลับไม่ได้แยก สิทธิ์ที่กว้างเกินความจำเป็น และอื่น ๆ ตอนที่ผมเป็นหัวหน้าทีมเรดทีมแห่งชาติ เราใช้เวลาทำความเข้าใจว่าเครือข่ายของเป้าหมายทำงานจริงอย่างไรมากกว่าเวลาที่ใช้สร้างช่องทางโจมตีเสียอีก เมื่อรู้แล้วว่าเส้นทางอยู่ตรงไหน การใช้ประโยชน์จากเส้นทางเหล่านั้นแทบจะเป็นส่วนที่ง่ายที่สุด พอผมย้ายมาทำงานฝั่งป้องกัน ก็เริ่มสังเกตเห็นรูปแบบหนึ่ง มีรายการช่องโหว่จำนวนมากที่ถูกจัดว่า “วิกฤต” แต่ไม่มีวิธีที่แท้จริงในการรู้ว่าผู้โจมตีเข้าถึงช่องโหว่ใดได้บ้าง Astelia ก่อตั้งขึ้นเพื่ออุดช่องว่างนี้ โดยนำการวิเคราะห์ความสามารถในการเข้าถึง ซึ่งเป็นกระบวนการที่ผู้โจมตีใช้ค้นหาเส้นทางเข้าสู่ระบบ มาใช้เพื่อช่วยผู้ป้องกันแทน

Astelia ใช้แนวทางที่แตกต่างในการบริหารจัดการช่องโหว่ โดยทำแผนผังโครงสร้างเครือข่ายจริงขององค์กรและใช้ AI แบบเอเจนต์เพื่อระบุว่าช่องโหว่ใดเข้าถึงและใช้โจมตีได้จริง แนวทางนี้ทำงานอย่างไรในทางปฏิบัติ และเหตุใดคุณจึงเชื่อว่าการให้คะแนนช่องโหว่แบบดั้งเดิมมักทำให้ผู้ป้องกันจัดลำดับความสำคัญผิดพลาด?

เราใช้การเชื่อมต่อแบบอ่านข้อมูลอย่างเดียวเพื่อทำแผนผังเครือข่ายจริงขององค์กรว่าแต่ละระบบเชื่อมต่อกันอย่างไร และมีมาตรการควบคุมเครือข่ายใดบ้างที่ขัดขวางผู้โจมตีอยู่แล้ว เมื่อได้ภาพดังกล่าวแล้ว AI จะตรวจสอบช่องโหว่แต่ละรายการและระบุว่าต้องมีเงื่อนไขอะไรบ้างจึงจะใช้โจมตีได้จริง เช่น ต้องมีสิทธิ์เข้าถึงระดับใด ต้องผ่านเส้นทางใดในเครือข่าย และต้องมีเงื่อนไขอะไรเกิดขึ้น จากนั้นจึงตรวจสอบข้อมูลทั้งหมดเทียบกับโครงสร้างเครือข่ายจริงและมาตรการควบคุมที่มีอยู่ โดยทั่วไปแล้ว ในบรรดารายการทั้งหมดที่เครื่องสแกนแจ้งเตือน มักมีไม่ถึง 1% ที่สามารถเข้าถึงได้จริง CVSS และ EPSS ต่างก็ประสบปัญหาพื้นฐานเดียวกัน คือให้คะแนนช่องโหว่เสมือนว่าเครือข่ายทุกแห่งเหมือนกัน เสมือนว่าระบบนั้นเปิดรับการโจมตีอยู่บนอินเทอร์เน็ตสาธารณะ หรือเสมือนว่าแนวโน้มการใช้ประโยชน์จากช่องโหว่ทั่วทั้งอุตสาหกรรมบอกอะไรได้เกี่ยวกับสภาพแวดล้อมเฉพาะของคุณ ในสภาพแวดล้อมส่วนใหญ่ ข้อสมมติทั้งสองอย่างนี้ไม่เป็นความจริง ข้อบกพร่องที่ได้คะแนนระดับวิกฤตซึ่งอยู่ลึกเข้าไปสามช่วงผ่านเครือข่ายที่แบ่งส่วนแล้ว ไม่ได้มีความเสี่ยงเท่ากับข้อบกพร่องบนเซิร์ฟเวอร์ที่เปิดให้เข้าถึงจากภายนอก และช่องโหว่ที่มีคะแนน EPSS สูงในระดับอุตสาหกรรมก็อาจเข้าถึงไม่ได้เลยในเครือข่ายของคุณ คะแนนเหล่านั้นเป็นค่าคงที่ ณ ช่วงเวลาหนึ่งและไม่ได้สะท้อนเครือข่ายของคุณ ความสามารถในการเข้าถึงเปลี่ยนแปลงอยู่ตลอด เพราะเครือข่ายและมาตรการควบคุมที่ปกป้องเครือข่ายก็เปลี่ยนแปลงเช่นกัน

คุณเคยกล่าวว่าสิ่งที่ผู้ป้องกันกังวลกันเป็นส่วนใหญ่นั้นไม่เกี่ยวข้องกับวิธีการทำงานของผู้โจมตีจริง จากประสบการณ์ที่คุณปฏิบัติการโจมตีที่ได้รับอนุญาตต่อสภาพแวดล้อมที่มีความปลอดภัยสูง ทีมรักษาความปลอดภัยมักเข้าใจผิดเรื่องใดมากที่สุดเกี่ยวกับวิธีที่ผู้โจมตีค้นหาและเชื่อมโยงจุดอ่อนต่าง ๆ เข้าด้วยกัน?

คนทั่วไปมักคิดว่าผู้โจมตีจะมุ่งเป้าไปที่ช่องโหว่ที่ได้รับการประเมินว่าร้ายแรงที่สุด แต่ในทางปฏิบัติ เราแทบไม่ทำเช่นนั้น เรามุ่งไปยังสิ่งที่พาเราเข้าใกล้เป้าหมายได้เร็วที่สุด ซึ่งบ่อยครั้งเป็นสิ่งที่เครื่องสแกนประเมินว่ามีความเสี่ยงปานกลางหรือต่ำ เช่น โฟลเดอร์แชร์ไฟล์ที่กำหนดสิทธิ์ไม่ถูกต้อง ข้อมูลรับรองที่ยังหลงเหลือจากโครงการซึ่งเชื่อกันว่าปิดไปแล้ว หรือช่องทางเล็ก ๆ ที่กลายเป็นอันตรายก็ต่อเมื่อเชื่อมโยงกับสิ่งอื่นที่ไม่มีใครคิดว่าเกี่ยวข้องกัน เครื่องสแกนประเมินข้อค้นพบแต่ละรายการแยกจากกัน แต่การโจมตีไม่ได้เกิดขึ้นเช่นนั้น ผู้โจมตีมองหาความเชื่อมโยงระหว่างสิ่งต่าง ๆ อยู่เสมอ สิ่งที่ดูไม่เป็นอันตรายเมื่อพิจารณาเพียงลำพัง อาจเป็นสิ่งที่ผู้โจมตีต้องการเพื่อยกระดับจากบัญชีที่มีสิทธิ์ต่ำไปสู่การควบคุมระบบได้ทั้งหมด ผู้ตั้งรับส่วนใหญ่ยังคงประเมินความเสี่ยงทีละข้อ นั่นจึงเป็นเหตุผลที่พวกเขามองไม่เห็นเส้นทางการโจมตีที่สำคัญจริง ๆ อยู่เสมอ

AI กำลังลดทั้งเวลาและความเชี่ยวชาญที่จำเป็นต่อการเปลี่ยนช่องโหว่ที่เพิ่งเปิดเผยให้กลายเป็นช่องโหว่ที่ใช้โจมตีได้จริงลงอย่างมาก การเปลี่ยนแปลงนี้ส่งผลต่อเศรษฐศาสตร์ของการโจมตีทางไซเบอร์อย่างไร และผู้โจมตีประเภทใดจะได้ประโยชน์มากที่สุดจากโมเดล AI ที่มีความสามารถเพิ่มขึ้นเรื่อย ๆ

ในอดีต สิ่งที่ทำให้การสร้างช่องโหว่สำหรับโจมตีมีต้นทุนสูงคือความเชี่ยวชาญ ตั้งแต่การค้นหาบั๊ก การหาวิธีกระตุ้นให้เกิดผลอย่างแม่นยำ ไปจนถึงการทำให้การโจมตีทำงานได้อย่างเชื่อถือได้ สิ่งที่ทีมผู้เชี่ยวชาญมักต้องใช้เวลาหลายเดือนทำให้สำเร็จ ตอนนี้ผู้โจมตีทั่วไปที่เข้าถึงโมเดลระดับแนวหน้าอาจทำได้ภายในไม่กี่ชั่วโมง นี่คือการเปลี่ยนแปลงด้านเศรษฐศาสตร์อย่างแท้จริง เมื่อก่อนการนำ CVE ใหม่ไปใช้โจมตีต้องลงทุนจริงจัง แต่ตอนนี้แทบไม่ต้องใช้ทุนเลย และช่วงเวลาระหว่างการเปิดเผยช่องโหว่กับการมีช่องโหว่ที่ใช้โจมตีได้จริงก็สั้นลงเรื่อย ๆ รอบการออกแพตช์ส่วนใหญ่ไม่เคยออกแบบมาให้รับมือกับความเร็วระดับนี้ ผู้ที่ได้ประโยชน์จากเรื่องนี้มากที่สุดไม่ใช่ผู้โจมตีระดับรัฐชั้นนำ ซึ่งมีขีดความสามารถด้านการโจมตีที่แข็งแกร่งอยู่แล้ว แต่เป็นกลุ่มเล็ก ๆ และอาชญากรฉวยโอกาสที่ไม่เคยมีผู้เชี่ยวชาญระดับนี้อยู่ในองค์กร โดย AI กำลังมอบความสามารถดังกล่าวให้พวกเขาอย่างแท้จริง

โครงการ GOLD EAGLE ของทำเนียบขาวมุ่งส่งเสริมความร่วมมือที่ใกล้ชิดยิ่งขึ้นระหว่างรัฐบาล บริษัทเทคโนโลยี และผู้ดำเนินงานโครงสร้างพื้นฐานสำคัญ โดยใช้ AI ระดับแนวหน้าเพื่อค้นหาและแก้ไขช่องโหว่ได้รวดเร็วยิ่งขึ้น จากมุมมองของผู้โจมตี แนวทางนี้มีจุดแข็งตรงไหน และยังอาจมีข้อจำกัดอะไรบ้าง

GOLD EAGLE มองเห็นได้อย่างถูกต้องว่า การทำงานซ้ำซ้อนทำให้เสียเวลาไปมากเพียงใด โดยองค์กรต่าง ๆ สแกนและจัดลำดับความสำคัญของช่องโหว่ที่เปิดเผยแล้วรายการเดียวกันแยกกันทำ ก่อนที่ใครจะลงมือแก้ไขจริง การรวบรวมงานเหล่านี้ไว้ที่ส่วนกลางและใช้ AI เร่งการประสานงานระหว่างรัฐบาลกับผู้ดำเนินงานโครงสร้างพื้นฐาน ช่วยลดเวลาที่ผู้โจมตีมีลงได้จริง และจากมุมมองของผู้โจมตี นี่คือสิ่งที่สำคัญที่สุด ความเร็วคือทุกสิ่งในเกมนี้ จุดที่ผมคิดว่าแนวทางนี้ยังไม่ครอบคลุมคือ การประสานงานทั่วทั้งอุตสาหกรรมไม่ได้บอกบริษัทใดบริษัทหนึ่งว่า ช่องโหว่ใดช่องโหว่หนึ่งเข้าถึงได้จากภายในเครือข่ายของตนหรือไม่ องค์กรอาจได้รับข้อมูลภัยคุกคามที่จัดลำดับความสำคัญมาอย่างดี แต่ก็ยังไม่รู้ว่าข้อมูลนั้นเกี่ยวข้องกับตนหรือไม่ ขั้นตอนสุดท้ายในการตรวจสอบกับโครงสร้างเครือข่ายของตนเองยังคงเป็นความรับผิดชอบของแต่ละองค์กร

องค์กรกว่า 100 แห่งในภาคเทคโนโลยี ความมั่นคงปลอดภัยทางไซเบอร์ การเงิน และโครงสร้างพื้นฐาน เตือนว่าอาจมีเวลาเพียงจำกัดในการเสริมความแข็งแกร่งให้ระบบป้องกัน ก่อนที่การโจมตีซึ่งใช้ AI จะขยายวงกว้างขึ้นอย่างมีนัยสำคัญ คุณเห็นด้วยกับความเร่งด่วนนี้หรือไม่ และองค์กรต่าง ๆ ควรทำอะไรให้สำเร็จได้อย่างเป็นจริงในช่วง “เวลาที่ฝ่ายป้องกันยังพอมี” นี้

ผมเห็นด้วยกับความรู้สึกเร่งด่วนนี้ แม้จะอธิบายเหตุผลต่างออกไปบ้าง การโจมตีที่ใช้ AI ไม่ใช่เรื่องที่ต้องกังวลในอนาคต เพราะช่องว่างระหว่างการเปิดเผยช่องโหว่กับการมีช่องโหว่ที่ใช้โจมตีได้จริงกำลังหดสั้นลงเร็วกว่าที่องค์กรส่วนใหญ่จะแก้ไขด้วยแพตช์ได้ การพยายามเอาชนะการแข่งขันนี้ด้วยการติดตั้งแพตช์ให้เร็วขึ้นเพียงอย่างเดียวไม่ใช่แนวทางที่เป็นจริง สิ่งที่ทำได้จริงคือใช้ช่วงเวลานี้ทำความเข้าใจสภาพแวดล้อมของตนเอง ซึ่งหมายถึงการรู้โครงสร้างเครือข่ายที่ใช้งานจริง รู้ว่าช่องโหว่ใดเข้าถึงได้จริง และทุ่มเทความพยายามไปกับช่องโหว่กลุ่มเล็ก ๆ นี้ แทนที่จะกระจายไปทั่วข้อค้นพบเชิงทฤษฎีนับพันรายการ นอกจากนี้ ควรใช้เวลานี้พัฒนาทางเลือกในการแก้ไขนอกเหนือจากการติดตั้งแพตช์ เช่น การแบ่งส่วนเครือข่ายหรือการเปลี่ยนแปลงการกำหนดค่า เพราะการเร่งความเร็วในการออกแพตช์เพียงอย่างเดียวไม่อาจตามทันการพัฒนาช่องโหว่ที่ใช้โจมตีซึ่ง AI ช่วยเร่งให้เร็วขึ้นได้

การป้องกันทางไซเบอร์ร่วมกันต้องอาศัยการแบ่งปันข้อมูลเกี่ยวกับช่องโหว่และภัยคุกคามระหว่างองค์กรเป็นอย่างมาก รัฐบาลและบริษัทเอกชนต้องเปลี่ยนแปลงอะไรบ้าง ทั้งในด้านเทคนิคหรือวัฒนธรรม เพื่อให้แบ่งปันข้อมูลที่เป็นประโยชน์ได้รวดเร็วพอที่จะสร้างผลลัพธ์ โดยไม่ก่อให้เกิดความเสี่ยงด้านความปลอดภัยใหม่ในกระบวนการ

ความท้าทายด้านเทคนิคแก้ไขได้ง่ายกว่า ปัญหาที่ยากกว่าคือความไว้วางใจ ไม่มีองค์กรใดอยากเปิดเผยจุดอ่อนในสภาพแวดล้อมของตนเอง แล้วเสี่ยงที่ข้อมูลนั้นจะถูกสืบย้อนกลับไปถึงองค์กร โดยเฉพาะหากภายหลังมีการเปิดเผยเรื่องนี้ในรายงานการละเมิดข้อมูล วิธีที่ได้ผลคือแบ่งปันข้อมูลที่เป็นประโยชน์โดยไม่เปิดเผยตัวตน เช่น รูปแบบที่แสดงให้เห็นว่าสามารถใช้สิ่งใดโจมตีได้ แทนการให้รายละเอียดเจาะจงจนระบุได้ว่าเป็นบริษัทใด ซึ่งต้องอาศัยโครงสร้างพื้นฐานที่ดีขึ้น และข้อมูลภัยคุกคามที่เครื่องอ่านได้ซึ่งส่งผ่านช่องทางอัตโนมัติ แทนการใช้ไฟล์ PDF และรายชื่ออีเมล แต่แท้จริงแล้วโครงสร้างพื้นฐานไม่เคยเป็นอุปสรรค ปัญหาคือองค์กรส่วนใหญ่ยังมองว่าการแบ่งปันข้อมูลเป็นความเสี่ยงทางกฎหมาย มากกว่าจะเป็นสิ่งที่ช่วยปกป้องตนเอง ตัวกลางที่เป็นกลางและได้รับความไว้วางใจเป็นส่วนหนึ่งของสิ่งที่ GOLD EAGLE ตั้งเป้าจะจัดหาให้ และอาจช่วยเปลี่ยนแปลงเรื่องนี้ได้อย่างมาก

Astelia เน้น “การเข้าถึงได้” มากกว่าแค่ระดับความรุนแรงหรือการมีช่องทางโจมตีที่เป็นที่รู้จัก เมื่อ AI ช่วยให้การสร้างวิธีโจมตีทำได้รวดเร็วขึ้นและอาจแพร่หลายมากขึ้น การเข้าถึงได้จะกลายเป็นมาตรวัดความเสี่ยงที่สำคัญยิ่งขึ้นหรือไม่ และ CISO ควรทบทวนการจัดลำดับความสำคัญของช่องโหว่โดยยึดแนวคิดนี้อย่างไร?

ความสามารถในการเข้าถึงไม่ได้แค่มีความสำคัญมากขึ้น แต่กำลังกลายเป็นมาตรวัดที่ใช้ตัดสินจริง ๆ ความรุนแรงเป็นเพียงการประมาณว่าความเสียหายที่อาจเกิดขึ้นนั้นมากน้อยเพียงใด ส่วนความสามารถในการเข้าถึงจะบอกได้ว่าขณะนี้มีการโจมตีช่องโหว่นั้นในสภาพแวดล้อมของคุณได้หรือไม่ ในอดีต ฝ่ายป้องกันมักคิดว่าช่องโหว่ระดับความรุนแรงต่ำส่วนใหญ่ปล่อยไว้โดยไม่ติดตั้งแพตช์ได้หลายเดือน เพราะไม่มีใครน่าจะนำไปใช้โจมตีจริง แต่สมมติฐานนี้ใช้ไม่ได้อีกต่อไปเมื่อการสร้างวิธีโจมตีทำได้รวดเร็วและมีต้นทุนต่ำ การจัดลำดับความสำคัญจึงต้องเปลี่ยนจากการเรียงรายการงานค้างตามระดับความรุนแรง ไปเป็นการกำจัดจุดเสี่ยงที่เข้าถึงได้จริง สิ่งที่แยกช่องโหว่จำนวนไม่มากซึ่งสำคัญออกจากช่องโหว่อื่น ๆ คือ ผู้โจมตีเข้าถึงช่องโหว่เหล่านั้นได้หรือไม่เมื่อพิจารณาจากเครือข่ายจริงของคุณ CISO ควรเรียกร้องหลักฐานยืนยันความสามารถในการเข้าถึง ไม่ใช่คะแนนอีกชุดที่นำมาซ้อนทับ CVSS

Astelia ยังนำเอเจนต์ AI มาใช้กับบางขั้นตอนของวงจรการจัดการช่องโหว่ ตั้งแต่การระบุจุดเสี่ยงใหม่ไปจนถึงการประสานงานแก้ไข เมื่อเอเจนต์ด้านความปลอดภัยไซเบอร์มีความสามารถในการเปลี่ยนแปลงระบบที่ใช้งานจริงได้ ในที่สุดแล้วควรให้อิสระในการทำงานแก่เอเจนต์เหล่านี้มากเพียงใด และควรให้มนุษย์มีส่วนร่วมและกำกับดูแลอย่างใกล้ชิดในขั้นตอนใดบ้าง?

เอเจนต์ควรมีอิสระอย่างแท้จริงในการวิเคราะห์ ได้แก่ การทำแผนที่เครือข่าย การพิจารณาว่าต้องมีเงื่อนไขใดบ้างจึงจะโจมตีได้ การเชื่อมโยงข้อมูลการเปิดเผยช่องโหว่ใหม่ ๆ และการค้นหาว่าจุดใดเข้าถึงได้จริง ความเร็วมีความสำคัญที่สุดในขั้นตอนนี้ และหากเกิดข้อผิดพลาด ก็เป็นเพียงคำแนะนำที่ไม่ดีซึ่งมนุษย์สามารถตรวจพบได้ ผมขีดเส้นแบ่งไว้อย่างชัดเจนว่า จะไม่ให้มีการเปลี่ยนแปลงระบบงานจริงโดยปราศจากการกำกับดูแล หากไม่มีข้อมูลความสามารถในการเข้าถึงเครือข่าย เอเจนต์ที่นำการแก้ไขไปใช้ก็ได้แต่คาดเดา และกฎไฟร์วอลล์หรือการแบ่งส่วนเครือข่ายที่ไม่เหมาะสมอาจสร้างความเสียหายได้มากกว่าช่องโหว่ที่ตั้งใจจะแก้ นี่เป็นเหตุผลอีกข้อว่าทำไมสิ่งที่ส่วนใหญ่ถูกโฆษณาว่าเป็น «การแก้ไขโดยอัตโนมัติ» ในปัจจุบัน จึงแท้จริงแล้วเป็นเพียงการสร้างทิกเก็ตโดยอัตโนมัติ องค์กรขนาดใหญ่ต้องการให้มนุษย์อนุมัติการเปลี่ยนแปลงลักษณะนี้ โดยเฉพาะเมื่ออาจยังไม่มีแพตช์ให้ใช้งานตั้งแต่แรก แนวทางที่เหมาะสมคือให้เอเจนต์เสนอวิธีแก้ไขที่มีหลักฐานรองรับ โดยต้องมีคนอนุมัติก่อนที่จะดำเนินการใด ๆ กับระบบงานจริง แนวทางนี้จะผ่อนคลายลงเมื่อข้อมูลความสามารถในการเข้าถึงมีความสมบูรณ์มากขึ้น และเกิดความเชื่อมั่นต่อการเปลี่ยนแปลงประเภทที่มีขอบเขตแคบและผ่านการทดสอบอย่างดี แต่ผมจะไม่เริ่มต้นด้วยการปล่อยให้ระบบดำเนินการในระบบงานจริงโดยไม่มีผู้กำกับ

เมื่อมองไปข้างหน้า ในขณะที่ทั้งผู้โจมตีและฝ่ายป้องกันต่างเข้าถึงระบบ AI อัตโนมัติที่มีความสามารถเพิ่มขึ้นเรื่อย ๆ คุณคาดว่าสมดุลระหว่างการโจมตีและการป้องกันด้านความมั่นคงปลอดภัยทางไซเบอร์จะเปลี่ยนไปอย่างไร และอะไรจะแยกองค์กรที่พร้อมรับมือกับระยะต่อไปนี้ออกจากองค์กรที่ยังไม่พร้อม?

ผู้โจมตียังคงได้เปรียบในช่วงแรกจากการใช้ AI เพราะพวกเขาต้องการเพียงช่องทางโจมตีที่ใช้ได้ผลหนึ่งช่องทาง และ AI ก็เหมาะอย่างยิ่งกับการค้นหาช่องทางดังกล่าวอย่างรวดเร็ว ไม่ว่าจะเป็นการลาดตระเวนที่ทำได้เร็วขึ้น การพัฒนาวิธีโจมตีที่เร็วขึ้น หรือเนื้อหาฟิชชิงที่น่าเชื่อถือยิ่งขึ้น ฝ่ายป้องกันจะไม่ปิดช่องว่างนี้ได้ด้วยการใช้ AI ทำสิ่งเดิม ๆ ให้เร็วขึ้น แต่จะปิดช่องว่างได้ด้วยการใช้ AI ค้นหาและกำจัดช่องโหว่ที่เข้าถึงได้จริงในเครือข่ายของตน โดยอาศัยบริบทเฉพาะขององค์กร แทนการบริหารความเสี่ยงโดยอิงข้อมูลภัยคุกคามทั่วไปในระดับอุตสาหกรรม สิ่งที่จะแยกองค์กรที่พร้อมรับมือคือ องค์กรเหล่านั้นปรับเปลี่ยนแนวทางก่อนที่จะถูกบีบให้ทำหรือไม่ และสามารถระบุพร้อมหลักฐานได้หรือไม่ว่าช่องโหว่ใดของตนถูกโจมตีได้จริงในสภาพแวดล้อมขององค์กร แทนที่จะหวังว่ากำหนดการติดตั้งแพตช์จะตามทัน องค์กรที่ยังบริหารความเสี่ยงโดยอิงบริบททั่วไปจะยังคงถูกเล่นงานด้วยช่องโหว่ที่เครื่องสแกนของตนจัดว่ามีความสำคัญต่ำเมื่อหนึ่งปีก่อน

ขอบคุณสำหรับบทสัมภาษณ์ที่ยอดเยี่ยม ผู้อ่านที่ต้องการทราบข้อมูลเพิ่มเติมสามารถเยี่ยมชม Astelia ได้