ฟรานซิส กูเบร์โน ซีเนียร์ อดีตวิศวกรวิจัยฝ่ายศัตรูของ AttackIQ – ซีรีส์สัมภาษณ์

ฟรานซิส กูเบร์โน เป็นวิศวกรวิจัยฝ่ายศัตรูอาวุโสและสมาชิกของทีมวิจัยฝ่ายศัตรู (ART) ของ AttackIQ ฟรานซิสทำการวิจัยและวิเคราะห์ภัยคุกคามอย่างลึกซึ้งเพื่อออกแบบและสร้างการจำลองฝ่ายศัตรูที่ซับซ้อนและสมจริงมาก เขายังประสานงานโครงการ Cyber Threat Intelligence (CTI) ซึ่งมุ่งเน้นในการวิจัย วิเคราะห์ ติดตาม และบันทึกฝ่ายศัตรู ครอบครัวมัลแวร์ และเหตุการณ์ด้านความมั่นคงทางไซเบอร์ ฟรานซิสมีประสบการณ์อย่างกว้างขวางในด้านข่าวกรองฝ่ายศัตรู ซึ่งครอบคลุมทั้งภัยคุกคามจากประเทศและ eCrime เช่นเดียวกับการประเมินและจัดการความเสี่ยงจากการโจมตี โดยเคยทำงานที่ Deloitte และ BNP Paribas

AttackIQ เป็นบริษัทด้านความมั่นคงทางไซเบอร์ที่ช่วยให้องค์กรสามารถพัฒนาการป้องกันของตนเองจากความไม่แน่นอนไปสู่การตรวจสอบข้อมูลอย่างต่อเนื่อง โดยการจำลองยุทธวิธีฝ่ายศัตรูโดยใช้แบบจำลอง MITRE ATT&CK และการให้บริการทดสอบอัตโนมัติที่ปลอดภัยในการผลิตทั่วทั้งคลาวด์ ไฮบริด และสภาพแวดล้อมบนพื้นฐาน ซึ่งช่วยให้สามารถระบุช่องโหว่ด้านความมั่นคงในการควบคุม กระบวนการ และบุคคล ทำให้ผู้นำสามารถจัดลำดับความสำคัญของการแก้ไขปัญหา การลงทุน และการเปลี่ยนจากการตอบสนองต่อภัยคุกคามทางไซเบอร์แบบตอบรับเป็นการฟื้นตัวที่กระตือรือร้น

คุณเข้าสู่สาขาความมั่นคงทางไซเบอร์ได้อย่างไร และทำไมคุณจึงเลือกที่จะเชี่ยวชาญด้าน Cyber Threat Intelligence? CTI มีผลต่อความเข้าใจของคุณเกี่ยวกับการพัฒนาภัยคุกคามอย่างไรทั้งในระบบนิเวศของประเทศและอาชญากร?

เส้นทางของฉันเข้าสู่ความมั่นคงทางไซเบอร์ไม่ได้ถูกวางแผนไว้ แต่เกิดขึ้นจากการได้รับโอกาส ฉันเริ่มต้นเมื่อฉันเข้าร่วมองค์กรความมั่นคงทางไซเบอร์ที่มีประสบการณ์ยาวนาน โดยทำงานในสองพื้นที่หลัก: การประเมินและจัดการความเสี่ยงจากการโจมตี และ Cyber Threat Intelligence (CTI) ในการประเมินและจัดการความเสี่ยงจากการโจมตี ฉันได้รับมุมมองของฝ่ายป้องกัน โดยรับประกันว่าระบบถูกบำรุงรักษา ปะติดปะต่อ และทนทานต่อการโจมตี ใน CTI ฉันใช้มุมมองของฝ่ายโจมตี โดยวิเคราะห์แรงจูงใจ วัตถุประสงค์ และความสามารถของพวกเขา นี่คือที่ที่ฉันคุ้นเคยกับเฟรมเวิร์ก MITRE ATT&CK ซึ่งฉันใช้เพื่อจัดทำเอกสารยุทธวิธี เทคนิค และขั้นตอนการดำเนินการ (TTPs) ของฝ่ายศัตรูและกำหนดหนังสือเล่นการดำเนินการของพวกเขา

ประสบการณ์ที่หลากหลายนี้ทำให้ฉันมีความเข้าใจที่ครอบคลุมเกี่ยวกับวิธีการที่ฝ่ายป้องกันและฝ่ายโจมตีมีปฏิสัมพันธ์ภายในระบบนิเวศที่เปลี่ยนแปลงอย่างต่อเนื่อง CTI กลายเป็นความหลงใหลส่วนตัวของฉัน วัตถุประสงค์เชิงกลยุทธ์ของการทำความเข้าใจว่าฝ่ายศัตรูดำเนินการอย่างไร พัฒนา และมีอิทธิพลต่อกันรู้สึกเหมือนกับเป็นจุดประสงค์ที่ถูกกำหนดไว้ล่วงหน้า ฉันรู้สึกขอบคุณที่ได้ทำงานอย่างต่อเนื่องในระเบียบวินัยนี้ โดยสังเกตและวิเคราะห์ความซับซ้อนของภูมิทัศน์ภัยคุกคามระดับโลกที่ซึ่งฝ่ายศัตรูที่ได้รับการสนับสนุนจากรัฐและ eCrime มีปฏิสัมพันธ์และมีอิทธิพลต่อกันมากขึ้น

เมื่อมองย้อนกลับไป คุณจะเห็นโครงการหรือประสบการณ์ใดที่เป็นจุดเปลี่ยนสำคัญในอาชีพของคุณและช่วย塑造มุมมองของคุณเกี่ยวกับความมั่นคงทางไซเบอร์?

จุดเปลี่ยนสำคัญเกิดขึ้นเมื่อฉันเริ่มวิจัยและจัดทำเอกสาร TTPs ที่ฝ่ายศัตรูและมาัลแวร์ใช้เพื่อตรวจจับและหลบหลีกสภาพแวดล้อมที่ควบคุมได้ ความพยายามนี้กลายเป็นรากฐานของ “การรู้สึกต่อสภาพแวดล้อม” โครงการวิจัยที่ฉันทำร่วมกับเพื่อนและ同事 Ayelen Torello ซึ่งฉันมีโอกาสทำงานร่วมกันที่ AttackIQ การวิจัยของเรามุ่งเน้นไปที่การบันทึกวิธีการต่างๆ ที่ฝ่ายศัตรูใช้เพื่อรับรู้และหลบหลีกสภาพแวดล้อม sandbox หรือเสมือนจริง ทำให้พวกเขาไม่ถูกตรวจจับระหว่างการวิเคราะห์อัตโนมัติ เอกสารวิชาการที่ตามมาถูกนำมาใช้เป็นรากฐานสำหรับเทคนิค “T1497 – การหลบหลีกเสมือนจริง/ซานด์บ็อกซ์” ในเฟรมเวิร์ก MITRE ATT&CK

ระหว่างการสอบสวนนี้ ฉันเห็นการพัฒนาอย่างต่อเนื่องของฝ่ายศัตรู โดยมีเพย์โหลดที่ซับซ้อนมากขึ้นและความสามารถในการหลบหลีกการตรวจจับอัตโนมัติที่ดีขึ้น ซึ่งเพิ่มโอกาสในการโจมตีเป้าหมายที่แท้จริงได้สำเร็จ ประสบการณ์นี้塑造ความเข้าใจของฉันเกี่ยวกับการปรับตัวของฝ่ายศัตรูและวงจรนวัตกรรมที่ไม่สิ้นสุดซึ่งกำหนดภัยคุกคามสมัยใหม่

ตั้งแต่เข้าร่วม AttackIQ ในปี 2021 ในฐานะวิศวกรวิจัยฝ่ายศัตรูและเป็นผู้นำในการก่อตั้งโครงการ Cyber Threat Intelligence ความรับผิดชอบของคุณเปลี่ยนแปลงไปอย่างไร และคุณสมดุลระหว่างการประสานงานโครงการ CTI การวิจัยภัยคุกคามเชิงกลยุทธ์ และการพัฒนาการจำลองฝ่ายศัตรูได้อย่างไร?

การสร้างโปรแกรม Cyber Threat Intelligence ที่ AttackIQ เป็นงานที่ซับซ้อน เราต้องการมีความเข้าใจที่ครอบคลุมภัยคุกคามที่กว้างขวางอย่างรวดเร็ว ในฐานะผู้ให้บริการ เราไม่สามารถจำกัดความสนใจของเราไว้เพียงภาคส่วนเดียว ภูมิภาค หรือประเทศได้ แต่เราต้องมีฐานความรู้ที่ครอบคลุมทั้งฝ่ายศัตรูจากทั้งรัฐและกลุ่มอาชญากร เช่นเดียวกับมาัลแวร์จากทั้งแบบจ่ายเงินและแบบกำหนดเอง เมื่อฐานรากถูกสร้างขึ้นแล้ว เราเริ่มเน้นไปที่สิ่งที่ฉันเรียกว่า “ผู้นำที่มีน้ำหนักมาก” ซึ่งเป็นหน่วยงานที่มีผลกระทบสูงและเป็นผู้มีอิทธิพลต่อหลายภาคส่วน ภูมิภาค และประเทศ ซึ่งช่วยให้เราให้ความสำคัญกับภัยคุกคามที่เกี่ยวข้องกับฐานลูกค้าของเรา

การสร้างสมดุลระหว่างการรวบรวมข่าวกรอง การวิเคราะห์ภัยคุกคาม และการจำลองฝ่ายศัตรูเป็นเรื่องที่ซับซ้อนโดยธรรมชาติ แต่ละประเภทของการจำลองมีความท้าทายที่แตกต่างกัน การจำลองของฝ่ายศัตรูที่ได้รับการสนับสนุนจากรัฐมักซับซ้อน มุ่งเป้าไปที่วัตถุประสงค์เฉพาะ มีเวลาพักผ่อนที่ยาวนาน และถูกขับเคลื่อนโดยแรงจูงใจทางการเมือง การจำลองเหล่านี้ต้องการการวิเคราะห์ที่ลึกซึ้ง ความอดทน และความแม่นยำ ทำให้พวกมันเป็นเรื่องที่ท้าทายและน่าพึงพอใจในการจำลอง ในทางกลับกัน การจำลองของกลุ่มอาชญากรมีความเร็วสูงและเป็นโอกาส การจำลองเหล่านี้แนะนำเทคนิคใหม่ๆ ดำเนินการด้วยเวลาพักที่สั้นกว่า และมักจะส่งผลกระทบต่อหลายภาคส่วนและภูมิภาค การใช้เครื่องมือร่วมกันและมาัลแวร์แบบจ่ายเงินโดยกลุ่มอาชญากรเหล่านี้ทำให้หนังสือเล่นของพวกเขาเป็นแบบไดนามิกและน่าสนใจในการจำลอง

การสร้างสมดุลนี้เป็นกระบวนการที่มีกลยุทธ์ เราให้ความสำคัญกับการวิจัยและการจำลองตามความต้องการของลูกค้าและเหตุการณ์ระดับโลก รวมถึงความตึงเครียดทางการเมือง ความเสี่ยงด้านความปลอดภัยที่สำคัญ และคำแนะนำจากองค์กรระหว่างประเทศ เช่น Cybersecurity and Infrastructure Security Agency (CISA) และ National Cyber Security Centre (NCSC) สุดท้าย งานนี้เป็นความพยายามของทีม ทีมวิศวกรวิจัยฝ่ายศัตรู (ART) ประกอบด้วยบุคคลที่มีความสามารถพิเศษซึ่งทำให้การจำลองที่สมจริงและปลอดภัยเป็นไปได้ CTI เป็นเพียงส่วนหนึ่งของกระบวนการ การเปลี่ยนข่าวกรองให้เป็นการจำลองที่ควบคุมได้เป็นความท้าทายที่ซับซ้อนซึ่งต้องการการทำงานร่วมกัน ความแม่นยำ และความมุ่งมั่นร่วมกัน

ภายในทีมวิศวกรวิจัยฝ่ายศัตรูของ AttackIQ การวิจัยถูกจัดโครงสร้างและจัดลำดับความสำคัญอย่างไร และความท้าทายที่สำคัญที่สุดในการแปลข้อมูลข่าวกรองภัยคุกคามให้เป็นการจำลองฝ่ายศัตรูที่สามารถดำเนินการได้คืออะไร?

หลายปัจจัยมีอิทธิพลต่อวิธีการที่เราให้ความสำคัญกับการวิจัยภายในทีมวิศวกรวิจัยฝ่ายศัตรูของ AttackIQ จุดสนใจหลักของเราคือการจำลองฝ่ายศัตรูที่เป็นภัยคุกคามที่สำคัญที่สุดต่อลูกค้าของเรา โดยให้ความสำคัญกับทรัพยากรที่จะส่งผลกระทบต่อภัยคุกคามที่กว้างขวางก่อนที่จะจัดการกับภัยคุกคามที่เฉพาะเจาะจงมากขึ้น

นี่รวมถึงทั้งฝ่ายศัตรูและครอบครัวมาัลแวร์ที่พบในธรรมชาติ เราติดตามหน่วยงานหลากหลาย โดยให้ความสำคัญกับการดำเนินการที่ขับเคลื่อนด้วยความต้องการในการดำเนินงาน มากกว่าคำสั่งแบบกำหนดไว้ ความตึงเครียดทางการเมืองที่เพิ่มขึ้น การรายงานที่เพิ่มขึ้นเกี่ยวกับช่องโหว่ด้านความปลอดภัยที่สำคัญ หรือคำแนะนำจาก CERT ที่เพิ่มขึ้นสามารถทำให้หัวข้อเหล่านี้ถูกเลื่อนขึ้นเป็นลำดับแรกได้อย่างรวดเร็ว

หนึ่งในความท้าทายหลักของเราคือการรักษาความสมดุลระหว่างการรวบรวมข่าวกรอง การวิเคราะห์ภัยคุกคาม และการจำลองฝ่ายศัตรู โดยให้ความสำคัญกับการพัฒนาพฤติกรรมที่กว้างขวางและสามารถใช้ซ้ำได้ โดยการระบุความคล้ายคลึงกันระหว่างฝ่ายศัตรูและครอบครัวมาัลแวร์ เราเน้นไปที่การจำลองเทคนิคและขั้นตอนการดำเนินการซึ่งปรากฏบ่อยๆ ในหลายหนังสือเล่น ซึ่งสามารถปรับและรวมเข้ากับการจำลองอื่นๆ ได้ ทำให้เรามีความยืดหยุ่นและสามารถขยายได้มากขึ้น

ในงานวิจัย RomCom ล่าสุดของคุณ สิ่งใดคือจุดเปลี่ยนสำคัญที่มีอิทธิพลต่อการเปลี่ยนแปลงจากแบ็คดอร์แบบพื้นฐานไปสู่แพลตฟอร์มที่หลากหลายซึ่งรองรับทั้งการ间諜และการข่มขู่ทางการเงิน และภายใต้สถานการณ์ใดมาัลแวร์เปลี่ยนจากเพย์โหลดแบบสแตนด์อโลนไปสู่แพลตฟอร์มที่สมบูรณ์?

กรณีของ RomCom น่าสนใจเป็นพิเศษ เนื่องจากปรากฏตัวขึ้นครั้งแรกในเดือนพฤษภาคม 2022 ในฐานะแบ็คดอร์ที่ค่อนข้างง่ายที่ออกแบบมาเพื่อการเข้าถึงระยะไกลและการขโมยข้อมูลพื้นฐาน จุดเปลี่ยนสำคัญครั้งแรกเกิดขึ้นเพียงหนึ่งเดือนต่อมาด้วยการเปิดตัว RomCom 2.0 ซึ่งแนะนำการปรับปรุงที่สำคัญที่สะท้อนถึงชุดเครื่องมือที่มีจุดมุ่งหมายเพื่อการ间諜และความทนทานในระยะยาว

จุดเปลี่ยนสำคัญต่อไปเกิดขึ้นพร้อมกับการแนะนำ RomCom 3.0 ในเดือนกุมภาพันธ์ 2023 ซึ่งนำมาใช้โครงสร้างแบบโมดูลาร์ที่ประกอบด้วยสามส่วนหลัก ซึ่งแสดงถึงการกระโดดที่สำคัญในด้านความยืดหยุ่นและฟังก์ชันการทำงาน โดยรองรับ 42 คำสั่งที่แตกต่างกัน ซึ่งหลายคำสั่งเป็นการเปลี่ยนแปลงเล็กๆ ของกันและกัน ซึ่งเน้นย้ำถึงการมุ่งเน้นของฝ่ายโจมตีในการปรับแต่งและปรับปรุงการดำเนินงาน

การเปลี่ยนแปลงในภายหลังเน้นไปที่การปรับปรุงความสามารถและความทนทานในการดำเนินงาน เมื่อเวลาผ่านไป RomCom พัฒนาไปจากแบ็คดอร์ที่ออกแบบมาเพื่อการเข้าถึงระยะไกลและขโมยข้อมูลพื้นฐาน ไปสู่มาัลแวร์ที่ใช้กันอย่างแพร่หลายโดยกลุ่มอาชญากร ซึ่งรวมเข้ากับหนังสือเล่นของพวกเขาเพื่ออำนวยความสะดวกในการดำเนินการที่หลากหลาย การเปลี่ยนแปลงนี้สะท้อนให้เห็นในการผสมผสานกับครอบครัวมาัลแวร์ Cuba, Industrial Spy และ Underground ซึ่งบ่งชี้ว่ามันกลายเป็นส่วนหนึ่งของระบบนิเวศของฝ่ายศัตรู

การผสมผสานนี้ยังทำให้เห็นถึงการเปลี่ยนแปลงของมาัลแวร์จากเพย์โหลดแบบสแตนด์อโลนไปสู่แพลตฟอร์มที่ใช้สำหรับการดำเนินการที่ซับซ้อน ซึ่งรวมถึงการสนับสนุนการ间諜และการข่มขู่ทางการเงิน โดยเฉพาะอย่างยิ่งเมื่อมันถูกใช้โดยฝ่ายศัตรูที่ได้รับการสนับสนุนจากรัฐเพื่อสนับสนุนการดำเนินการที่มีจุดมุ่งหมายทางการเมือง

คุณสังเกตเห็นความแตกต่างที่เพิ่มขึ้นระหว่างกิจกรรมของประเทศและกลุ่มอาชญากร คุณคิดว่าสิ่งเหล่านี้มีผลต่อการป้องกันอย่างไร และผู้ป้องกันควรพิจารณาอะไรเมื่อประเมินแรงจูงใจและความสัมพันธ์?

การผสมผสานระหว่างการดำเนินงานของประเทศและกลุ่มอาชญากรขับเคลื่อนโดยปัจจัยเชิงปฏิบัติจากทั้งสองฝ่าย สำหรับฝ่ายศัตรูที่ได้รับการสนับสนุนจากรัฐ วัตถุประสงค์คือการได้รับขีดความสามารถที่ได้รับการยืนยันและพิสูจน์แล้วโดยไม่ต้องใช้ทรัพยากรมากเกินไปในการพัฒนาทools ที่กำหนดเอง ในทางกลับกัน สำหรับกลุ่มอาชญากร การเข้าถึงทรัพยากรและโครงสร้างพื้นฐานระดับประเทศช่วยให้สามารถขยายขีดความสามารถได้อย่างรวดเร็ว ในขณะที่ได้รับการสนับสนุนทางการเงินและความมั่นคง

RomCom เป็นตัวอย่างที่ดีของการผสมผสานนี้ โดยเริ่มต้นจากมาัลแวร์แบบจ่ายเงินเพื่อการเข้าถึงระยะไกลและขโมยข้อมูลพื้นฐาน และต่อมาได้รับการนำมาใช้ในกิจกรรมที่สอดคล้องกับผลประโยชน์ของรัสเซีย โดยมุ่งเป้าไปที่สถาบันรัฐบาล หน่วยงานทหาร องค์กรบรรเทาสงคราม และประเทศที่เป็นพันธมิตรกับ NATO การเปลี่ยนแปลงนี้แสดงให้เห็นว่ามาัลแวร์สามารถเปลี่ยนจากเครื่องมือที่ใช้เพื่อการข่มขู่ทางการเงินไปสู่เครื่องมือที่ใช้ในการสนับสนุนการดำเนินการที่มีจุดมุ่งหมายทางการเมือง

การเปลี่ยนแปลงนี้เน้นย้ำถึงหลักการสำคัญ: ไม่ว่าฝ่ายศัตรูจะถูกขับเคลื่อนด้วยแรงจูงใจทางการเงินหรือการเมือง ผลกระทบต่อเหยื่อยังคงเหมือนเดิม การป้องกันที่ได้รับข้อมูลจากภัยคุกคามจึงมีความสำคัญอย่างยิ่ง องค์กรควรให้ความสำคัญกับการตรวจสอบการป้องกันและความทนทานต่อพฤติกรรมที่เป็นจริงที่สังเกตได้ มากกว่าการมุ่งเน้นไปที่การระบุหรือแรงจูงใจที่คาดหวัง

สิ่งใดที่ RomCom เผยให้เห็นเกี่ยวกับการผสมผสานระหว่างแรงจูงใจทางการเงินและทางการเมืองของฝ่ายศัตรู และคุณตีความการเติบโตของแนวโน้มที่กลุ่มอาชญากรที่ได้รับการสนับสนุนจากรัฐใช้โครงสร้างพื้นฐานของกลุ่มอาชญากรเป็นเครื่องมือของอิทธิพลหรือการปฏิเสธที่เป็นไปได้อย่างไร?

RomCom แสดงให้เห็นถึงการเปลี่ยนแปลงของกลุ่มอาชญากรที่รักษาความสอดคล้องในการดำเนินงานในระยะยาว ในขณะที่ขยายเครือข่ายของพันธมิตรอย่างต่อเนื่อง ในระหว่างการดำเนินงาน มันสร้างความเชื่อมโยงที่ชัดเจนกับครอบครัวมาัลแวร์หลายตัว โดยเฉพาะ Cuba, Industrial Spy และ Underground ซึ่งสะท้อนให้เห็นถึงการผสมผสานลึกๆ ในระบบนิเวศของกลุ่มอาชญากร

RomCom ยังเน้นย้ำถึงรูปแบบที่กว้างขึ้นของกลุ่มอาชญากรที่ได้รับการสนับสนุนจากรัฐที่นำมาัลแวร์ของกลุ่มอาชญากรมาใช้หรือปรับใช้ใหม่ ซึ่งให้ความสะดวกในการดำเนินการที่หลากหลายและช่วยให้สามารถเข้าถึงทรัพยากรและโครงสร้างพื้นฐานที่มีอยู่ได้ สิ่งนี้ทำให้เห็นถึงความสัมพันธ์ที่เป็นประโยชน์ร่วมกัน: ผู้ดำเนินการ RomCom และพันธมิตรของพวกเขาได้รับอิทธิพลและผลประโยชน์ทางการเงิน ในขณะที่รัฐได้รับทรัพยากรที่สามารถปฏิเสธได้และยั่งยืน

การเปลี่ยนแปลงนี้แสดงให้เห็นว่ามาัลแวร์ครอบครัวต่างๆ ได้กลายเป็นเครื่องมือของอิทธิพลของรัฐ โดยเสริมการ间諜แบบดั้งเดิมผ่านโครงสร้างพื้นฐานของกลุ่มอาชญากรที่สามารถปฏิเสธได้ ยืดหยุ่น และยั่งยืน นี่เป็นตัวอย่างที่ชัดเจนของการผสมผสานระหว่างการดำเนินงานของกลุ่มอาชญากรและรัฐ ซึ่งทำให้เกิดความท้าทายใหม่ๆ สำหรับการป้องกันและความมั่นคงทางไซเบอร์

มาัลแวร์สมัยใหม่มักจะไม่จำกัดอยู่ในอุตสาหกรรมหรือภูมิภาคเดียว สิ่งนี้บอกเราถึงอะไรเกี่ยวกับลำดับความสำคัญหรือความจำกัดของฝ่ายโจมตี และมีภาคส่วนหรือภูมิภาคใดที่คุณคิดว่าจะเป็นเป้าหมายต่อไปสำหรับการขยายข้ามโดเมน?

แม้ว่าฝ่ายโจมตีบางฝ่ายอาจกำหนดข้อจำกัดให้กับตัวเอง แต่หลายฝ่ายมองว่าความเร่งด่วนและวิกฤติเป็นเวกเตอร์สำหรับการติดเชื้อที่เร่งรีบ ทำให้การบุกรุกและใช้ประโยชน์จากการป้องกันที่ถูกขัดขวางหรือตึงเครียด มotivation มีอิทธิพลต่อการกำหนดเป้าหมาย แต่ไม่จำกัดมัน กลุ่มอาชญากรที่ขับเคลื่อนด้วยการเงินมุ่งเป้าไปที่วัตถุประสงค์ที่มีศักยภาพในการชำระเงินสูงหรือการดำเนินการที่ต้องอาศัยการดำเนินงาน เช่น การเงิน ผู้ประมวลผลการชำระเงิน และองค์กรขนาดใหญ่ที่มีข้อกำหนดการทำงานอย่างเข้มงวด

กลุ่มอาชญากรที่ได้รับการสนับสนุนจากรัฐมุ่งเน้นไปที่ภาคส่วนที่ส่งเสริมวัตถุประสงค์ทางการเมือง รวมถึงรัฐบาล การป้องกัน และโครงสร้างพื้นฐานที่สำคัญ อย่างไรก็ตาม การทับซ้อนกันของแรงจูงใจเหล่านี้มีมากขึ้น “ยิงและหวัง” และการทำให้มาัลแวร์เป็นสินค้าจะยังคงดำเนินต่อไป รูปแบบการให้บริการมาัลแวร์ (RaaS) เครื่องมือที่ใช้กันอย่างแพร่หลาย และการ扫描อัตโนมัติทำให้กลุ่มอาชญากรที่ขับเคลื่อนด้วยการเงินสามารถขยายชุดเป้าหมายได้อย่างต่อเนื่อง

การขยายไปสู่ภูมิภาคต่างๆ ตามโอกาสและช่องว่างด้านความมั่นคง ภูมิภาคที่กำลังผ่านการเปลี่ยนแปลงดิจิทัลอย่างรวดเร็วแต่ยังมีความมั่นคงทางไซเบอร์ที่จำกัดหรือความสามารถในการตอบสนองต่อเหตุการณ์ที่ไม่เพียงพอเป็นเป้าหมายที่น่าสนใจสำหรับการบุกรุกและการขยายตัว ในทางกลับกัน เป้าหมายที่มีคุณค่าสูงในภูมิภาคที่ป้องกันดีจะได้รับผลกระทบผ่านการบุกรุกของห่วงโซ่อุปทานหรือการเข้าถึงที่ได้รับการอนุญาต

เมื่อสร้างการจำลองฝ่ายศัตรูที่สมจริง คุณพบกับความท้าทายทางเทคนิคที่ยากที่สุดอะไร และคุณตรวจสอบว่าการจำลองเหล่านั้นมีความเป็นตัวแทนของภัยคุกคามในโลกแห่งความเป็นจริงเพียงพอหรือไม่ และมีพฤติกรรมใดที่ยังคงยากที่จะจำลองได้อย่างน่าเชื่อถือ?

หนึ่งในความท้าทายทางเทคนิคที่ยากที่สุดคือการบรรลุความซื่อสัตย์ของพฤติกรรมโดยไม่แนะนำความเสี่ยงในการดำเนินงาน การจำลองต้องจำลองพฤติกรรมในโลกแห่งความเป็นจริงเพียงพอเพื่อตรวจสอบการตรวจจับและการป้องกัน ในขณะเดียวกันก็ยังคงปลอดภัยพอที่จะดำเนินการใน环境การผลิต

เทคนิคบางอย่างถูกจำกัดหรือละเว้นเนื่องจากมีความเสี่ยงหรือไม่สามารถจำลองได้อย่างถูกต้องโดยไม่ทำให้สภาพแวดล้อมไม่เสถียร การสร้างการจำลองที่สมจริงเป็นกระบวนการวิศวกรรมที่ต้องทำซ้ำ โดยระบุ จัดทำเอกสาร ใช้งาน ทดสอบ ตรวจสอบ และปรับปรุง

การสร้างการจำลองที่สมจริงเป็นกระบวนการที่ต้องมีการสร้างสมดุลระหว่างความซื่อสัตย์ ความปลอดภัย และความเกี่ยวข้องในการดำเนินงาน เพื่อให้แน่ใจว่าการจำลองมีความสมจริงและสามารถใช้งานได้

เมื่อมองไปข้างหน้าสามถึงห้าปี คุณพบว่าแนวโน้มใดในด้านความซับซ้อนของมาัลแวร์ วิธีการโจมตี หรือระบบนิเวศของภัยคุกคามที่น่ากังวลหรือน่าสนใจ และคุณแนะนำขั้นตอนพื้นฐานใดสำหรับองค์กรที่เริ่มต้นการเดินทางด้านการป้องกันที่ได้รับข้อมูลจากภัยคุกคามและจำลองฝ่ายศัตรู?

หนึ่งในแนวโน้มที่น่ากังวลและน่าสนใจที่สุดคือความซับซ้อนของระบบนิเวศของกลุ่มอาชญากรที่เพิ่มขึ้น ในช่วงหลายปีที่ผ่านมา กลุ่มอาชญากรได้ขยายอิทธิพลของตนอย่างมาก

ในอดีต จำนวนผู้เข้าร่วมมีจำกัด และอิทธิพลของพวกเขาไม่มากนัก แต่ปัจจุบัน มีหลายร้อยของหน่วยงานที่เชื่อมโยงและร่วมมือกัน โดยมีบทบาทที่แตกต่างกัน ระบบนิเวศนี้มีโครงสร้างที่คล้ายกับตลาดที่ถูกต้องตามกฎหมายในด้านโครงสร้างและประสิทธิภาพ

อีกแนวโน้มที่สำคัญคือการผสมผสานระหว่างการดำเนินงานของรัฐและกลุ่มอาชญากร ไม่เพียงแต่ในระดับการดำเนินงานเท่านั้น แต่ยังรวมถึงการพัฒนาโครงสร้างพื้นฐานและแพลตฟอร์มมาัลแวร์ที่ใช้ร่วมกัน RomCom เป็นตัวอย่างของการเปลี่ยนแปลงนี้ โดยเปลี่ยนจากมาัลแวร์ที่ขับเคลื่อนด้วยการเงินไปสู่เครื่องมือที่ใช้ในการดำเนินการที่ได้รับการสนับสนุนจากรัฐ

สำหรับองค์กรที่เริ่มต้นการเดินทางด้านการป้องกันที่ได้รับข้อมูลจากภัยคุกคาม ขั้นตอนพื้นฐานคือการนำเฟรมเวิร์ก MITRE ATT&CK มาใช้เป็นภาษาร่วมสำหรับการทำความเข้าใจและพูดคุยเกี่ยวกับพฤติกรรมของฝ่ายศัตรู เฟรมเวิร์ก ATT&CK ให้ภาษาที่เป็นพฤติกรรมซึ่งช่วยให้ผู้ป้องกันสามารถแมปกับการตรวจจับและการควบคุมโดยตรงไปยังเทคนิคของฝ่ายโจมตี มากกว่าเครื่องหมายที่คงที่

ให้ความสำคัญกับการตรวจจับพฤติกรรมมากกว่าการตรวจจับแบบอิงสัญญาณ เครื่องหมายการบุกรุกเปลี่ยนแปลงอย่างต่อเนื่อง แต่เทคนิคของฝ่ายศัตรูยังคงค่อนข้างเสถียร ซึ่งเป็นหลักการที่ถูกจับในเฟรมเวิร์ก Pyramid of Pain

ขอขอบคุณสำหรับการตอบคำถามที่มีรายละเอียด ผู้อ่านสามารถเยี่ยมชม AttackIQ เพื่อเรียนรู้เพิ่มเติม