Ben Bernstein, ผู้จัดการที่ปรึกษาด้านความปลอดภัยไซเบอร์ที่ Huntress – ชุดสัมภาษณ์

Ben Bernstein, ผู้จัดการที่ปรึกษาด้านความปลอดภัยไซเบอร์ที่ Huntress, เป็นผู้เชี่ยวชาญด้านความปลอดภัยไซเบอร์ที่มีประสบการณ์มากกว่าสิบปี ครอบคลุมการสนับสนุนด้านเทคนิค, การดูแลระบบ, ความสำเร็จของลูกค้า, การจัดการบัญชีเทคนิค, และการเป็นผู้นำด้านที่ปรึกษาด้านความปลอดภัย. เขาเริ่มต้นอาชีพในบทบาท IT เชิงปฏิบัติ, จากงานช่วยเหลือผู้ใช้ (helpdesk) ไปสู่การดูแลระบบก่อนย้ายไปสู่การจัดการบัญชีและความสำเร็จของลูกค้าที่ Integris. Bernstein ต่อมาทำงานที่ Red Canary เป็นเวลา 3 ปี, โดยดูแลความสัมพันธ์กับลูกค้าองค์กรในตำแหน่ง Technical Account Manager และ Senior Enterprise Technical Account Manager. ตั้งแต่เข้าร่วม Huntress ในปี 2024 ในฐานะ Technical Account Manager ผู้ก่อตั้ง, เขาได้ก้าวหน้าไปสู่การเป็นผู้นำการจัดการบัญชีเทคนิคและปัจจุบันดูแลทีม Cybersecurity Advisors ของบริษัท, ใช้ความเชี่ยวชาญด้านเทคนิคและประสบการณ์การทำงานกับลูกค้าเพื่อช่วยให้องค์กรเข้าใจและตอบสนองต่อภัยคุกคามไซเบอร์ที่เปลี่ยนแปลงอยู่เสมอ.

Huntress เป็นบริษัทด้านความปลอดภัยไซเบอร์ที่ให้บริการแพลตฟอร์มความปลอดภัยแบบจัดการเต็มรูปแบบออกแบบมาเพื่อปกป้ององค์กรในด้านอุปกรณ์ปลายทาง, ตัวตน, บันทึก, และผู้ใช้. แพลตฟอร์มของบริษัทรวมเทคโนโลยีต่าง ๆ เช่น Managed Endpoint Detection and Response (EDR), Identity Threat Detection and Response (ITDR), Security Information and Event Management (SIEM) และการฝึกอบรมความตระหนักด้านความปลอดภัยพร้อมศูนย์ปฏิบัติการความปลอดภัย (SOC) ที่ขับเคลื่อนด้วย AI ตลอด 24/7 ที่มีผู้เชี่ยวชาญด้านความปลอดภัยมนุษย์ทำงาน. Huntress ระบุว่าเทคโนโลยีของบริษัทขณะนี้ปกป้องอุปกรณ์ปลายทางมากกว่า 5 ล้านเครื่องและตัวตนมากกว่า 15 ล้านรายการในธุรกิจกว่า 277,000 แห่ง, โดยทีมงานของบริษัทรับหน้าที่ตรวจจับภัยคุกคาม, การสืบสวน, การตอบสนอง, และการแก้ไขให้กับลูกค้า.

คุณเริ่มอาชีพจากงานช่วยเหลือผู้ใช้และการดูแลระบบก่อนที่จะย้ายผ่านการจัดการบัญชีเทคนิคและในที่สุดเข้าสู่การเป็นผู้นำด้านที่ปรึกษาความปลอดภัยไซเบอร์ที่ Huntress. ประสบการณ์ด้าน IT เชิงปฏิบัตินี้ส่งผลต่อแนวคิดด้านความปลอดภัยของคุณอย่างไร, โดยเฉพาะอย่างยิ่งเมื่อเครื่องมือเดียวกันที่ผู้ดูแลระบบพึ่งพาอาจกลายเป็นจุดเข้าของผู้โจมตี?

ฉันรู้สึกขอบคุณประสบการณ์ด้าน IT ของฉันอย่างไม่มีที่สิ้นสุดในทุก ๆ วันหลังจากที่ได้ทำงานในด้านไซเบอร์โดยเฉพาะ. มันให้มุมมองเชิงปฏิบัติแก่ฉัน. เมื่อคุณรู้ว่าระบบปฏิบัติการ, แอปพลิเคชัน, และกระบวนการระบบทำงานอย่างไรเมื่อทุกอย่างทำงานปกติ, ความผิดปกติและภัยคุกคามก็จะเด่นชัดขึ้น. ช่วงเวลาที่ทำงานใน IT ยังทำให้ฉันมีแนวคิดการแก้ปัญหาและการวิเคราะห์สาเหตุรากฐาน. คุณเรียนรู้เร็วว่า ต้องตามรอยเพื่อให้แน่ใจว่าคุณได้กำหนดขอบเขตของปัญหาหรือภัยคุกคามอย่างครบถ้วน.

ผมจำได้ว่าเคยพึ่งพาเครื่องมือเดียวกันอย่างหนัก, เช่น RMMs, ซึ่งในปัจจุบันถูกผู้กระทำอาชญากรรมไซเบอร์ใช้ในทางที่ผิด. หลังจากที่ได้ติดตั้งและใช้งานด้วยตนเอง, ผมเข้าใจถึงพลังของมันทั้งในมือของผู้ดูแลระบบ IT และผู้โจมตีอย่างเต็มที่. เนื่องจาก RMMs ปรากฏอยู่ทั่วทุกที่, มันทำให้ทีมความปลอดภัยต้องตรวจสอบกิจกรรมทั้งหมดที่เกี่ยวข้องกับการทำงานของมัน. การที่ RMM ทำงานบนเครื่องหนึ่งไม่ได้หมายความว่าเป็นสิ่งชั่วร้ายโดยธรรมชาติ. แต่หาก RMM นั้นเริ่มปล่อยเครื่องมือเพิ่มเติมหรือสร้างสคริปต์ที่ไม่คุ้นเคยอย่างกะทันหัน, มันบังคับให้ผู้ป้องกันต้องหยุดพึ่งพารายการซอฟต์แวร์ที่เชื่อถือได้และมุ่งเน้นการสังเกตพฤติกรรมทั้งหมด.

AI มักถูกพูดถึงในด้านความปลอดภัยไซเบอร์ในแง่ของผู้โจมตีอัตโนมัติที่ซับซ้อน, แต่ผลกระทบทันทีของ AI นั้นเป็นเพียงการทำให้อาชญากรไซเบอร์ทั่วไปทำงานเร็วและมีความสามารถมากขึ้นเท่าใด? เรากำลังมาถึงจุดที่ผู้โจมตีที่มีทักษะต่ำสามารถดำเนินการแคมเปญที่ก่อนหน้านี้ต้องการความเชี่ยวชาญเชิงเทคนิคที่ลึกซึ้งมากขึ้นหรือไม่?

ขณะนี้มีความตื่นตระหนกอย่างมากเกี่ยวกับระบบแฮ็กอัตโนมัติด้วย AI, แต่ความเป็นจริงบนพื้นสนามคือเรื่องนี้ไม่ใช่เทคนิคใหม่. โมเดลเหล่านี้ไม่ได้เจาะเข้าระบบเครือข่ายด้วยเทคนิคที่ซับซ้อนมาก. พวกมันทำสิ่งเดียวกับที่แฮกเกอร์รุ่นน้องทำมานานหลายปีโดยการสแกนหาแอสเซ็ตที่เปิดเผยต่ออินเทอร์เน็ต, ไม่ได้อัปเดต, หรือกำหนดค่าไม่ถูกต้อง. ข่าวดังขึ้นเพราะคำว่า “autonomous AI” ฟังดูน่ากลัวหรือเซ็กซี่ขึ้นอยู่กับผู้ถาม, แต่กลไกของการโจมตีเหล่านี้จริง ๆ แล้วเป็นพื้นฐาน.

ปัญหาจริงที่เราต้องเผชิญคือ AI ลดอุปสรรคในการเข้าถึงสำหรับอาชญากรไซเบอร์. ผู้โจมตีสามารถอัตโนมัติกระบวนการที่น่าเบื่อของการใช้ช่องโหว่และขยายการดำเนินการของตนโดยไม่ต้องมีความเชี่ยวชาญเชิงเทคนิคลึกซึ้ง. มันทำให้ผู้โจมตีที่มีทักษะต่ำสามารถดำเนินแคมเปญได้เร็วขึ้นอย่างมาก, ซึ่งสร้างแรงกดดันอย่างมากต่อธุรกิจ. คุณไม่สามารถติดตั้งเครื่องมือความปลอดภัยแล้วลืมมันได้อีกต่อไป. องค์กรต้องคาดว่าระบบเครือข่ายของตนกำลังถูกสแกนอย่างต่อเนื่อง.

Huntress พบว่าผู้โจมตีใช้สคริปต์ขโมยข้อมูลที่สร้างโดย LLM ระหว่างการบุกรุกผ่าน RMM. สิ่งนี้บ่งบอกอะไรเราเกี่ยวกับวิธีที่ AI สร้างสรรค์กำลังเปลี่ยนแปลงด้านเศรษฐศาสตร์และการเข้าถึงของอาชญากรรมไซเบอร์?

มันบอกเราว่า AI สร้างสรรค์กำลังทำให้ขั้นตอนการดำเนินงานของอาชญากรรมไซเบอร์เป็นไปอย่างราบรื่นขึ้น. การเขียนสคริปต์ขโมยข้อมูลไม่ใช่งานเทคนิคใหม่, แต่โดยปกติต้องใช้เวลาพัฒนาเป็นจำนวนมากหรือซื้อเครื่องมือเฉพาะจากฟอรั่มใต้ดิน. ด้วยการใช้ LLM ภายในเครือข่ายของเหยื่อ, ผู้โจมตีสามารถสร้างสคริปต์ที่ทำงานได้และปรับแต่งตามต้องการได้ทันที แทนการพึ่งพามัลแวร์ที่สร้างไว้ล่วงหน้า.

แม้การเข้าถึงโมเดลเหล่านี้ยังคงมีค่าใช้จ่ายบ้าง แต่อุปสรรคในการเริ่มต้นนั้นต่ำที่สุดเท่าที่เคยเป็นมา เรามักเห็นผู้โจมตีระดับกลางใช้เครื่องมือนี้เพื่อทำงานได้เร็วขึ้นและขจัดงานเขียนโค้ดด้วยตนเอง มันเปลี่ยนแปลงเศรษฐศาสตร์ของการโจมตีโดยทำให้ขั้นตอนการดำเนินการเข้าถึงได้ง่ายมากขึ้น ทำให้ผู้กระทำที่มีทักษะต่ำสามารถขยายการทำงานของตนได้โดยไม่ต้องมีความเชี่ยวชาญเชิงเทคนิคลึกซึ้ง

Huntress รายงานว่าการใช้เครื่องมือการตรวจสอบและจัดการระยะไกล (RMM) เพิ่มขึ้น 277% เมื่อเทียบกับปีที่ผ่านมา ทำไมแพลตฟอร์ม RMM ที่เป็นของบริษัทถูกต้องตามกฎหมายจึงกลายเป็นทางเลือกที่น่าสนใจสำหรับมัลแวร์แบบกำหนดเอง และข้อได้เปรียบอะไรที่พวกมันมอบให้แก่ผู้โจมตีเมื่อพวกเขาได้เข้าถึงระบบ?

ไม่มีอะไรที่เป็นอันตรายโดยธรรมชาติในเครื่องมือ RMM ทั้งนี้เครื่องมือเหล่านี้มีบทบาทสำคัญในการช่วยให้ผู้ดูแลระบบไอทีและผู้ให้บริการจัดการระบบ (MSP) ทำงานได้อย่างมีประสิทธิภาพและสนับสนุนผู้ใช้ ปัญหาคือมัลแวร์ที่กำหนดเองมักถูกแอนตี้ไวรัสแบบดั้งเดิมตรวจจับได้ ในขณะที่ RMM มีลายเซ็นต์และได้รับความเชื่อถือ ทำให้ข้ามการควบคุมความปลอดภัยมาตรฐานได้ง่ายยิ่งขึ้น ยิ่งไปกว่านั้นสำหรับผู้โจมตี ตัวแทน RMM ทำงานด้วยสิทธิ์ผู้ดูแลระดับสูงโดยอัตโนมัติและมีความคงอยู่ในระบบโดยไม่ต้องทำอะไรเพิ่มเติมเพื่อรักษาการเข้าถึงหลังการรีบูต

เมื่อผู้โจมตีสามารถรันตัวแทน RMM ของตนบนเครื่องเป้าหมายได้แล้ว พวกเขาก็มีคอนโซลควบคุมระยะไกลโดยตรง สามารถโอนย้ายไฟล์ไปมาได้อย่างราบรื่น และมักจะตั้งค่าอินสแตนซ์ RMM ไว้ล่วงหน้าพร้อมสคริปต์และเครื่องมือที่เป็นอันตรายพร้อมใช้งานเพื่อดำเนินการบนหลายเครื่องปลายทางด้วยคลิกเดียว เนื่องจากแอปพลิเคชันนั้นเป็นของแท้ ผู้ป้องกันจึงไม่สามารถบล็อกเครื่องมือนั้นได้ง่าย ๆ มันบังคับให้ทีมความปลอดภัยต้องเลิกพึ่งพารายการซอฟต์แวร์ที่เชื่อถือได้และมุ่งเน้นการสังเกตพฤติกรรม ซึ่งทำให้การเฝ้าตรวจสอบตลอด 24 ชั่วโมงเป็นสิ่งจำเป็นหากต้องการจับผู้โจมตีที่ใช้ซอฟต์แวร์การจัดการระดับผู้ดูแล

เทคนิคหนึ่งที่ Huntress บันทึกไว้คือผู้โจมตี “เชื่อมต่อต่อเนื่อง” (daisy‑chaining) เครื่องมือ RMM หลายตัวเพื่อกระจายข้อมูล telemetry และสร้างการเข้าถึงสำรอง คุณช่วยอธิบายขั้นตอนการบุกรุกแบบนี้โดยทั่วไปและทำไมจึงยากต่อผู้ป้องกันที่จะรับรู้สิ่งที่เกิดขึ้นได้หรือไม่?

นี่คือตัวอย่างที่น่าสนใจเป็นพิเศษที่เราจับได้และเขียน บล็อก เกี่ยวกับ การบุกรุกเริ่มต้นด้วยอีเมลฟิชชิงที่แนบเอกสารธุรกิจปลอม เช่น “ข้อตกลงการให้บริการเครือข่าย” ผู้รับคลิกที่ลิงก์ในอีเมลแล้วไปยังหน้าที่มี CAPTCHA ปลอมและดาวน์โหลดไฟล์ที่คิดว่าเป็น PDF หรือเอกสารบริการทั่วไป แต่จริง ๆ แล้วไฟล์ที่ดาวน์โหลดเป็นตัวติดตั้งที่เป็นไฟล์ปฏิบัติการ เมื่อผู้ใช้ดับเบิลคลิกไฟล์เพื่อเปิดข้อตกลงนั้น พวกเขาก็ได้ติดตั้งเครื่องมือเข้าถึงระยะไกลที่เป็นของแท้แต่ไม่ได้รับอนุญาตชื่อ Tiflux RMM อย่างเงียบ ๆ

เมื่อผู้กระทำการภัยคุกคามรันตัวแทน Tiflux ตัวแรกแล้ว พวกเขาก็ใช้ความสามารถในตัวของมันเพื่อดันและติดตั้งเครื่องมือเพิ่มเติมเช่น Splashtop, ScreenConnect และ UltraVNC ลงบนเครื่องเดียวกันอย่างทันที ควรทราบว่าเครื่องมือเหล่านี้ทั้งหมดก็เป็น RMM ที่เป็นของแท้เช่นกัน

ผู้โจมตีทำเช่นนี้เพื่อสร้างความคงอยู่ระดับสูง พวกเขารู้ว่าถ้าผู้ดูแลระบบไอทีพบเครื่องมือระยะไกลที่ไม่ได้รับอนุญาตตัวหนึ่งและถอนการติดตั้งแล้ว ผู้โจมตียังมีเครื่องมือสำรองอีกสองหรือสามตัวที่พร้อมทำงานอยู่อยู่แล้ว กลยุทธ์นี้ทำให้ telemetry แบ่งส่วนออกเป็นหลายส่วน แพลตฟอร์มความปลอดภัยจึงเห็นแอปพลิเคชันที่ลงลายเซ็นต์และเป็นผู้ดูแลระบบหลายตัวทำงานพร้อมกันและส่งข้อมูลกลับไปยังโครงสร้างพื้นฐานของผู้ขายที่เป็นของแท้ หากผู้ป้องกันไม่ได้เฝ้าตรวจสอบกิจกรรมเหล่านั้นอย่างต่อเนื่องและตั้งคำถามว่าทำไมเครื่องปลายทางเดียวกันจึงต้องติดตั้งตัวแทนการจัดการระยะไกลหลายตัวในช่วงบ่ายเดียวกัน มันก็จะผสมผสานกับเสียงรบกวนจากการบำรุงรักษาไอทีประจำวัน

นอกเหนือจากการเฝ้าตรวจสอบพฤติกรรมตลอด 24 ชั่วโมงแล้ว การควบคุมที่มีประสิทธิภาพอีกประการคือการจัดการท่าทีความปลอดภัยของอุปกรณ์ปลายทาง (Endpoint Security Posture Management) และการควบคุมแอปพลิเคชัน หากองค์กรกำหนดอย่างชัดเจนว่า RMM รุ่นใดบ้างที่ได้รับอนุญาตให้ทำงานบนเครื่องของตน พวกเขาก็สามารถปิดกั้นเครื่องมือที่ไม่ได้รับการอนุมัติให้ทำงานได้ทั้งหมด ป้องกันการเชื่อมต่อต่อเนื่องตั้งแต่ต้น

โมเดลความปลอดภัยแบบดั้งเดิมมักแยกแยะระหว่างซอฟต์แวร์ที่เชื่อถือได้และไม่เชื่อถือได้ แต่การโจมตีด้วย RMM ใช้เครื่องมือที่อาจเป็นของแท้ มีลายเซ็นต์และได้รับการอนุมัติจากไอทีแล้ว นั่นหมายความว่าผู้ป้องกันต้องย้ายความสนใจจากการถามว่าแอปพลิเคชันนั้นเชื่อถือได้หรือไม่ ไปสู่การถามว่าพฤติกรรมของมันเชื่อถือได้หรือไม่?

ใช่ อย่างแน่นอน โมเดลความเชื่อถือแบบไบนารีแบบเดิมนั้นพังแล้ว การลงลายเซ็นต์ไบนารีถูกออกแบบมาเพื่อยืนยันว่าแอปพลิเคชันมาจากผู้ขายที่เป็นของแท้ ไม่ได้เพื่อรับประกันว่าการกระทำของมันปลอดภัย

หากผู้โจมตีใช้ไบนารี RMM ที่มีลายเซ็นต์หรือยูทิลิตี้ที่อาศัยระบบอยู่แล้ว (living‑off‑the‑land) ไฟล์ปฏิบัติการนั้นอาจสะอาด แต่กิจกรรมที่อยู่เบื้องหลังนั้นเป็นอันตราย ผู้ป้องกันต้องเลิกถามว่า “ไฟล์นี้เชื่อถือได้หรือไม่?” และเริ่มมุ่งเน้นที่ว่าพฤติกรรมของมันสอดคล้องกับบริบทหรือไม่ การที่ RMM ทำงานบนเครื่องไม่ใช่เรื่องผิดโดยธรรมชาติ แต่ถ้าเครื่องมือนั้นเริ่มดึงยูทิลิตี้เพิ่มเติม สร้างสคริปต์ที่ไม่คุ้นเคย หรือทำงานเวลา 2 นาฬิกาตอนเช้าโดยใช้บัญชีบริการ นั่นคือสัญญาณของการละเมิด บริบทและพฤติกรรมเคยสำคัญเสมอ แต่เมื่อผู้โจมตีพึ่งพาซอฟต์แวร์ที่เชื่อถือได้มากขนาดนี้ ความสำคัญของมันเพิ่มขึ้นอย่างมาก

เมื่อ AI ทำให้ระยะเวลาระหว่างการค้นพบช่องโหว่หรือช่องว่างการกำหนดค่าและการใช้ประโยชน์สั้นลง บทบาทของการจัดการท่าทีความปลอดภัยจะเปลี่ยนแปลงอย่างไร? จุดอ่อนด้านอัตลักษณ์, จุดอ่อนของอุปกรณ์ปลายทางและการเข้าถึงระยะไกลใดบ้างที่องค์กรควรให้ความสำคัญก่อนที่ผู้โจมตีจะมีโอกาสใช้ประโยชน์?

การจัดการท่าทีด้านความปลอดภัยมีความสำคัญมากกว่าที่เคย เพราะช่วยให้องค์กรปิดช่องโหว่ด้านความปลอดภัยทั่วไปที่ผู้โจมตีใช้ประโยชน์ทุกวันได้อย่างเชิงรุก มันเสริมการตรวจจับและการตอบสนองโดยการระบุและแก้ไขปัญหาอย่างต่อเนื่อง เช่น การกำหนดค่าที่ผิดพลาด สิทธิ์ที่เกินจำเป็น แอปพลิเคชันที่ไม่ได้รับอนุญาต และจุดอ่อนอื่น ๆ บนอุปกรณ์และอัตลักษณ์ต่าง ๆ เมื่อระยะเวลาระหว่างการเปิดเผยช่องโหว่และการสแกนอัตโนมัติเหลือเพียงไม่กี่ชั่วโมง การลดช่องโหว่เหล่านี้ก่อนที่ผู้โจมตีจะใช้ประโยชน์จึงเป็นสิ่งจำเป็น องค์กรต้องรักษาท่าทีที่สม่ำเสมอและแข็งแกร่งในทุกสภาพแวดล้อมเพื่อลดจำนวนเหตุการณ์ที่เผชิญและจำกัดสิ่งที่ผู้โจมตีจะเข้าถึงได้หากพวกเขาเจาะผ่านประตู

แม้ผู้ให้บริการด้านไซเบอร์ส่วนใหญ่จะยินดี “ให้ความรู้” (หรือทำให้กลัว) สาธารณะเกี่ยวกับภัยคุกคามหรือโดเมนความปลอดภัยใด ๆ ที่พวกเขาขายโซลูชันให้ แต่รายการลำดับความสำคัญที่แท้จริงนั้นเป็นสิ่งที่แต่ละองค์กรต้องตอบเอง ทุกธุรกิจให้คุณค่าต่อส่วนต่าง ๆ ของไตรภาค CIA แตกต่างกัน และแต่ละบริษัทมีข้อมูลที่ละเอียดอ่อนเก็บหรือเข้าถึงในสถานที่ที่ต่างกัน คำแนะนำที่ธุรกิจส่วนใหญ่ต้องการฟังคือการประเมินว่าข้อมูล สินทรัพย์ หรือระบบการผลิตใดเป็นสิ่งสำคัญต่อการดำเนินงานของตนที่สุด แล้วจึงย้อนกลับจากจุดนั้นเพื่อปกป้องสิ่งที่สำคัญที่สุด

มีความกังวลเพิ่มขึ้นเกี่ยวกับเอเจนต์ AI ที่อาจทำส่วนสำคัญของวงจรการโจมตีได้อย่างอิสระในที่สุด ความสามารถใดต้องพัฒนาให้ดีขึ้นก่อนที่การโจมตีไซเบอร์อัตโนมัติจะอันตรายกว่าการโจมตีที่ได้รับความช่วยเหลือจาก AI ในปัจจุบัน และผู้ป้องกันกำลังเตรียมพร้อมอย่างรวดเร็วพอหรือไม่?

ความกังวลเกี่ยวกับเอเจนต์อัตโนมัติกำหนดว่าเป็นปัญหาในอนาคต แต่เรากำลังเห็นพวกเขาโจมตีอยู่แล้ว อย่างไรก็ตาม การโจมตีอัตโนมัติเหล่านี้ยังไม่สมบูรณ์ ดูแคมเปญแรนซัมแวร์ JadePuffer ล่าสุด มันดำเนินการโดยเอเจนต์ AI ทั้งหมด แต่ทำผิดพลาดอย่างชัดเจน โมเดลสร้างข้อมูลเท็จส่วนหนึ่งของการดำเนินการ รวมถึงการสร้างที่อยู่กระเป๋า Bitcoin ปลอมสำหรับโน้ตเรียกค่าไถ่ ที่น่าขันยิ่งกว่านั้น AI ลืมบันทึกหรือส่งคีย์การเข้ารหัส มันเพียงพิมพ์คีย์ที่สุ่มสร้างออกมาที่คอนโซลชั่วคราวแล้วปิดเซสชัน ทำให้เป็นไปไม่ได้ทางคณิตศาสตร์ที่เหยื่อจะกู้คืนข้อมูลได้แม้จะจ่ายค่าไถ่แล้วก็ตาม

ความเป็นจริงที่ยึดถือคือจากมุมมองของกลยุทธ์ เทคนิค และขั้นตอน (TTP) เอไออัตโนมัติ สคริปต์อัตโนมัติ และผู้โจมตีมนุษย์ต่างทำสิ่งเดียวกัน พวกเขายังคงใช้ประโยชน์จากทรัพย์สินที่เปิดเผยต่ออินเทอร์เน็ต มีช่องโหว่ และกำหนดค่าผิดพลาดเช่นเดียวกัน AI ยังต้องผ่านกระบวนการฆ่าเชิง (kill chain) มาตรฐาน ต้องเข้าถึงระบบแรกเริ่ม ยกระดับสิทธิ์ ย้ายแนวตั้ง และดำเนินการประมวลผล ในกรณี JadePuffer มันเพียงใช้ช่องโหว่ที่รู้จักและยังไม่ได้รับการแก้ไขเพื่อเข้าสู่ระบบแล้วค่อยพลาดพลาดผ่านเครือข่าย

เนื่องจากกลไกหลักของการโจมตีไม่ได้เปลี่ยนแปลง ผู้ป้องกันจึงไม่จำเป็นต้องทิ้งหนังสือคู่มือปัจจุบันของตนออกไป คุณยังคงต้องมีการรักษาความปลอดภัยหลายชั้น การทำความสะอาดไอทีพื้นฐาน และการตรวจจับพฤติกรรมที่แข็งแกร่ง สิ่งที่เปลี่ยนแปลงคือแรงกดดันและความเร็วที่ผู้ป้องกันต้องประมวลผลเหตุการณ์และคัดกรองการแจ้งเตือน เมื่อเอเจนต์ AI ทำผิดพลาด อ่านบันทึกข้อผิดพลาด และแก้ไขตนเองในไม่กี่วินาทีเพื่อดำเนินการต่อ ผู้ป้องกันก็ต้องปรับตัวให้เข้ากับความเร็วที่การโจมตีไซเบอร์กำลังเคลื่อนที่อย่างรวดเร็วในขณะนี้

ผู้โจมตีกำลังนำ AI มาใช้ แต่ผู้ป้องกันก็เข้าถึงเทคโนโลยีเดียวกันได้เช่นกัน คุณมองว่า AI จะให้ข้อได้เปรียบด้านการป้องกันที่ใหญ่ที่สุดที่ไหน: การตรวจจับพฤติกรรมที่ไม่ปกติ การวิเคราะห์ข้อมูลเทเลเมทรี การจัดลำดับความสำคัญของช่องโหว่ การอัตโนมัติการตอบสนอง หรือที่อื่นทั้งหมด?

ประการแรก AI มีประสิทธิภาพสูงสำหรับการเชื่อมโยงทีมสีน้ำเงิน ทีมความปลอดภัยไม่มีปัญหาข้อมูล แต่มีปัญหาเสียงรบกวน AI มีประโยชน์อย่างมากในการคัดแยกสิ่งที่สำคัญจากข้อมูลจำนวนมาก นำเหตุการณ์ที่ดูเหมือนไม่เกี่ยวข้องมารวมกันเพื่อบอกเล่าเรื่องราวเต็มของการบุกรุก

ประการที่สอง AI ทำหน้าที่เดียวกับที่ทำให้ผู้โจมตีได้เปรียบโดยการเชื่อมช่องว่างทักษะ เมื่อผู้วิเคราะห์ SOC ระดับจูเนียร์ต้องเผชิญกับสคริปต์ที่ซับซ้อนหรือการแจ้งเตือนที่ซับซ้อน พวกเขาสามารถใช้ LLM เพื่อแปลข้อมูลนั้นเป็นภาษาอังกฤษที่เข้าใจง่ายได้ทันที มันช่วยขจัดงานที่ต้องทำด้วยมือของการวิศวกรรมย้อนกลับและทำให้ผู้ป้องกันสามารถคัดกรองและตอบสนองได้เร็วขึ้น

สุดท้าย เมื่อมองไกลกว่าการป้องกันเชิงตอบสนอง มีโอกาสมหาศาลสำหรับทีมแดงและทีมม่วงในการใช้ AI ทดสอบและตรวจสอบการป้องกันอย่างเชิงรุก การทดสอบเจาะระบบที่กำหนดขอบเขตอย่างเต็มที่โดยมนุษย์ยังคงเป็นสิ่งจำเป็นอย่างยิ่ง แต่ AI ลดระดับความยากทางเทคนิคสำหรับการดำเนินการทดสอบขนาดเล็กและเป็นหน่วยเพื่อยืนยันชั้นต่าง ๆ ของสแต็กความปลอดภัย แทนที่จะรอการทดสอบเจาะระบบประจำปีหรือหวังให้ภัยคุกคามธรรมชาติปรากฏขึ้น องค์กรสามารถใช้ AI เพื่อทดสอบสภาพแวดล้อมของตนเองอย่างปลอดภัยและบ่อยครั้งเพื่อดูว่ามีอะไรพังจริง ๆ

มองไปข้างหน้า คุณคาดว่าอุตสาหกรรมความปลอดภัยไซเบอร์จะเข้าสู่สภาพแวดล้อมที่ผู้โจมตีและผู้ป้องกันต่างใช้เอเจนต์อัตโนมัติมากขึ้นหรือไม่? หากเป็นเช่นนั้น สิ่งใดจะเป็นตัวกำหนดสุดท้ายว่าใครจะได้เปรียบเมื่อเครื่องจักรทั้งสองฝ่ายสามารถระบุและตอบสนองต่อภัยคุกคามได้ด้วยความเร็วของเครื่องจักร?

AI กำลังทำให้เศรษฐกิจใต้ดินเปลี่ยนแปลงอย่างชัดเจน ตลาดมืดสำหรับบริการอาชญากรรมไซเบอร์ได้เจริญเติบโตจากการขายมัลแวร์และสคริปต์ เนื่องจากโดยปกติแล้วต้องใช้ทักษะนักพัฒนาพิเศษในการสร้าง AI ทำให้การเข้าถึงและเศรษฐกิจของระบบนิเวศนี้เปลี่ยนไปโดยอนุญาตให้ผู้ดำเนินการที่มีทักษะต่ำกว่าสามารถสร้างเครื่องมือของตนเองตามความต้องการได้ มันอาจทำให้ผู้จำหน่ายมัลแวร์สำเร็จรูปแบบเก่า ๆ หลายรายต้องปิดประตูไป ทำไมผู้กระทำอาชญากรรมจึงต้องจ่ายเงินซื้อมัลแวร์สำเร็จรูปทั่วไปในฟอรัมใต้ดินเมื่อพวกเขาสามารถเพียงแค่สั่ง LLM ให้สร้างเครื่องมือแบบกำหนดเองตามความต้องการได้?

เมื่อทั้งสองฝ่ายมี AI เป็นอาวุธ ความได้เปรียบจะขึ้นอยู่กับโครงสร้างพื้นฐาน การปรับจูน และการกำกับดูแล มันกลายเป็นการต่อสู้ว่าใครมีงบประมาณคอมพิวเตอร์ (ใครมีโทเคนเผามากกว่า) และใครมีโมเดลที่ปรับจูนได้ดีกว่า สำหรับผู้กระทำอาชญากรรม การทดสอบคือ AI ของพวกเขาจะสามารถแก้ไขปัญหาอย่างต่อเนื่อง อ่านบันทึกข้อผิดพลาด และเปลี่ยนเส้นทางได้อย่างเหมาะสมเมื่อการใช้ช่องโหว่ล้มเหลวหรือไม่ สำหรับผู้ป้องกัน การทดสอบคือเครื่องตรวจจับของคุณถูกปรับจูนจริงหรือไม่และสายข้อมูลของคุณเชื่อมต่ออย่างถูกต้องเพื่อส่งข้อมูลเทเลเมทรีที่เหมาะสมให้ AI ในเวลาจริงหรือไม่ แต่ที่สำคัญยิ่งกว่าคือการมีผู้เชี่ยวชาญมนุษย์ที่มีบริบททางธุรกิจอยู่ในกระบวนการเพื่อทำการตัดสินใจสำคัญ เช่น การอ่านการตีความของ AI เกี่ยวกับเหตุการณ์และตัดสินใจว่าจะแยกเครื่องที่ถูกคุกคามหรือปิดระบบการผลิตเพื่อกักกันภัยคุกคาม

ในที่สุด AI ไม่ได้เปลี่ยนพื้นฐานของความปลอดภัย ธุรกิจที่ประสบความสำเร็จดีที่สุดคือธุรกิจที่ยังคงทำเรื่องเล็ก ๆ ให้ถูกต้อง มันขึ้นอยู่กับการลดพื้นที่โจมตีของคุณ การแก้ไขช่องโหว่ การเสริมความแข็งแรงของการตั้งค่า การเฝ้าติดตามตลอด 24 ชั่วโมง การยอมรับว่ามีการเจาะระบบ และการทดสอบการป้องกันของคุณอย่างต่อเนื่อง AI เป็นเพียงตัวเร่งเท่านั้น ผู้ที่ดำเนินการพื้นฐานได้เร็วและสม่ำเสมอยิ่งกว่าจะเป็นผู้ชนะ

ขอบคุณสำหรับการสัมภาษณ์ที่ยอดเยี่ยม, ผู้อ่านที่ต้องการเรียนรู้เพิ่มเติมควรเยี่ยมชม Huntress.