ปาสคาล กีนันส์ รองประธานฝ่ายข่าวกรองภัยคุกคามไซเบอร์ ของ Radware – ซีรีส์สัมภาษณ์

ปาสคาล กีนันส์ รองประธานฝ่ายข่าวกรองภัยคุกคามไซเบอร์ ของ Radware เป็นนักวิจัยด้านความมั่นคงไซเบอร์และผู้นำด้านเทคโนโลยีที่มีประสบการณ์มากกว่าสองทศวรรษในด้านเทคโนโลยีสารสนเทศ ความมั่นคงเครือข่าย และข่าวกรองภัยคุกคาม ใน Radware เขาช่วยให้การวิจัยและความเป็นผู้นำของบริษัทในเรื่องภัยคุกคามไซเบอร์ที่เปลี่ยนแปลงอย่างต่อเนื่อง โดยมุ่งเน้นไปที่การโจมตีแบบปฏิเสธการให้บริการแบบกระจาย มัลแวร์ อินเทอร์เน็ตของสรรพสิ่ง การโจมตีแบบอัตโนมัติ และการใช้ปัญญาประดิษฐ์โดยทั้งผู้โจมตีและผู้ป้องกัน กีนันส์ พัฒนาและดูแล IoT honeypots เป็นส่วนหนึ่งของทีมวิจัยความมั่นคง của Radware และได้ทำการวิจัยอย่างกว้างขวางเกี่ยวกับภัยคุกคาม เช่น BrickerBot และ Hajime ก่อนที่จะเข้าร่วม Radware เขาทำงานเป็นวิศวกรที่ปรึกษาที่ Juniper Networks โดยให้คำแนะนำแก่ผู้ให้บริการคลาวด์และการสื่อสารรายใหญ่ๆ ทั่วยุโรป ตะวันออกกลาง และแอฟริกา ในด้านเครือข่ายที่กำหนดโดยซอฟต์แวร์ ระบบเสมือนฟังก์ชันเครือข่าย และกลยุทธ์การอัตโนมัติของศูนย์ข้อมูล

Radware เป็นบริษัทความมั่นคงไซเบอร์และการให้บริการแอปพลิเคชันที่จดทะเบียนสาธารณะที่ช่วยให้ธุรกิจปกป้องเครือข่าย เว็บไซต์ แอปพลิเคชัน และ API ทั่วสภาพแวดล้อมทางกายภาพ คลาวด์ ไฮบริด และซอฟต์แวร์ที่กำหนด พอร์ตโฟลิโอของ Radware รวมถึงการป้องกันการโจมตีแบบปฏิเสธการให้บริการแบบกระจายที่มีพลังงานจาก AI ตัวผนังไฟแอปพลิเคชันเว็บ การจัดการบอท การรักษาความปลอดภัย API คอนโทรลเลอร์การให้บริการแอปพลิเคชัน และบริการตอบสนองฉุกเฉินแบบจัดการ โดยการผสมผสานการวิเคราะห์แบบพฤติกรรม การเรียนรู้ของเครื่อง ความรู้ภัยคุกคามระดับคลาวด์ และการบรรเทาแบบอัตโนมัติ เทคโนโลยีของ Radware ได้รับการออกแบบมาเพื่อระบุการกระทำที่เป็นอันตรายในเวลาจริง ในขณะเดียวกันก็รักษาการเข้าถึงสำหรับผู้ใช้ที่ถูกต้องและรักษาความพร้อมใช้งานและประสิทธิภาพของบริการดิจิทัลที่สำคัญ

คุณได้ใช้เวลาเกือบสามทศวรรษในด้านความมั่นคงไซเบอร์ ตั้งแต่การสนับสนุนเคอร์เนล IBM AIX และวิศวกรรมโครงสร้างพื้นฐานไปจนถึงการค้นพบบอทเน็ต เช่น BrickerBot, JenX และ Demonbot และตอนนี้คุณเป็นผู้นำด้านข่าวกรองภัยคุกคามที่ Radware เมื่อมองย้อนกลับไป คุณได้เห็นการเปลี่ยนแปลงที่ยิ่งใหญ่ที่สุดในด้านวิธีการที่ผู้โจมตีสร้างสรรค์นวัตกรรม และ AI ได้เปลี่ยนแปลงความคาดหวังของคุณเกี่ยวกับภัยคุกคามไซเบอร์ประเภทต่อไปที่จะเกิดขึ้นอย่างไร

ภูมิทัศน์ของภัยคุกคามได้ผ่านการเปลี่ยนแปลงพื้นฐานจากนักแฮกที่ทำงานเดี่ยวที่มีความเชี่ยวชาญสูงไปสู่ผู้กระทำผิดไซเบอร์ที่มีการจัดระเบียบและมีความซับซ้อนมากขึ้น ในอดีต นักแฮกมักถูกขับเคลื่อนด้วยความท้าทายด้านเทคนิคเอง แต่ปัจจุบัน การเร่งความเร็วทางดิจิทัลและการใช้ AI ที่สร้างสรรค์ได้ทำให้การดำเนินงานทั้งหมดกลายเป็นเศรษฐกิจ Crime-as-a-Service (CaaS) ที่เติบโตเต็มที่ ผู้กระทำผิดมัลแวร์ได้เลียนแบบแบบจำลอง Software-as-a-Service (SaaS) ขององค์กร โดยขายเครื่องมือที่ทันสมัยให้กับทุกคน สิ่งนี้ทำให้ผู้โจมตีที่ไม่มีประสบการณ์สามารถเปิดตัวการโจมตีที่ซับซ้อนในระดับใหญ่ได้ เมื่อเทียบกับการขยายตัวของการเข้าถึงดิจิทัลของเราแต่ละปี พื้นที่โจมตีที่มีอยู่และโอกาสในการแสวงหาผลประโยชน์ทางการเงินก็เพิ่มขึ้นตามไปด้วย

AI กำลังขับเคลื่อนบทต่อไปของการเปลี่ยนแปลงนี้ในสองวิธีที่แตกต่างกัน

ประการแรก มันทำให้การกระทำผิดไซเบอร์เป็นประชาธิปไตย มันให้ความสามารถทันทีแก่ผู้โจมตีที่ไม่มีประสบการณ์ ในขณะที่ช่วยให้กลุ่มที่มีประสิทธิภาพสามารถปรับปรุงการดำเนินงานของตนได้

ประการที่สอง และสำคัญกว่านั้น การเพิ่มขึ้นของ AI ที่มีหน่วยงานและแบบจำลองแนวหน้าทำให้วงจรชีวิตของความอ่อนแอเป็นอัตโนมัติ เรากำลังเข้าสู่ความเป็นจริงในการดำเนินงานที่เครื่องสามารถสแกนเครือข่าย ค้นพบความอ่อนแอ และสร้างอาวุธโจมตีได้โดยไม่ต้องมีการแทรกแซงจากมนุษย์

AI กำลังลดค่ากำแพงทางเทคนิคสำหรับผู้โจมตี คุณกังวลเกี่ยวกับความสามารถในการโจมตีของ AI มากที่สุดในช่วงสามถึงห้าปีข้างหน้า และคุณคิดว่าความสามารถใดที่ได้รับการสนใจมากกว่าที่ควร

พื้นที่ที่ต้องการความสนใจมากที่สุดในขณะนี้คือการค้นพบและใช้ประโยชน์จากความอ่อนแอโดยใช้ AI

ในขณะเดียวกัน เรากำลังเห็นการเปลี่ยนแปลงครั้งใหญ่ไปสู่ระบบ AI ที่ต่อเนื่องกันและทำงานในท้องถิ่น โดยเฉพาะ “ตัวแทนในท้องถิ่นที่มีการเต้นของหัวใจ” ตัวอย่างที่สำคัญคือ OpenClaw และการประกาศล่าสุดของ Microsoft (MSFT ) ที่จะรวม OpenClaw เข้ากับแท็็กบาร์ของพนักงานทุกคน ตัวแทนในท้องถิ่นเหล่านี้ทำงานอย่างต่อเนื่องในพื้นหลังบนเครื่องของพนักงาน โดยดำเนินการผ่านลูปที่ต่อเนื่องกันและเลียนแบบการกระทำของมนุษย์ เช่น การพิมพ์และการนำทางผ่านการอัตโนมัติของเบราว์เซอร์ ทำให้ระบบความปลอดภัยแบบดั้งเดิมไม่สามารถแยกแยะระหว่างพนักงานและตัวแทน AI ได้

ความเสี่ยงที่มีการกล่าวถึงมากเกินไปคือความเสี่ยงของ AI ที่สามารถโจมตีแบบอัตโนมัติและใช้ประโยชน์จากช่องโหว่แบบศูนย์วันได้โดยไม่ต้องมีการแทรกแซงจากมนุษย์ สิ่งนี้อาจเกิดขึ้นในอนาคต แต่ปัจจุบันไม่ใช่ปัญหา ปัญหาในปัจจุบันคือผู้โจมตีที่มีประสบการณ์สูงและมีเครื่องมือที่ดีขึ้น และผู้โจมตีที่ไม่มีประสบการณ์ที่สามารถทำได้มากกว่าที่เคย

ช่วงเวลาระหว่างการเปิดเผยช่องโหว่และความพยายามในการใช้ประโยชน์จากช่องโหว่ดังกล่าวยังคงลดลงอย่างต่อเนื่อง คุณคิดว่า AI ได้เร่งการเปลี่ยนแปลงนี้มากเพียงใด และอะไรคือการเปลี่ยนแปลงที่ทีมความปลอดภัยขององค์กรควรทำเพื่ออยู่เหนือการโจมตี

เป็นการแข่งขันสองด้าน หนึ่งด้านคือการแข่งขันเพื่อค้นพบและแก้ไขช่องโหว่ใหม่ก่อนที่ผู้โจมตีจะทำได้ อีกด้านหนึ่งคือการแข่งขันเพื่อแก้ไขช่องโหว่ในซอฟต์แวร์ที่เปิดเผยก่อนที่ผู้โจมตีจะสามารถใช้ประโยชน์จากช่องโหว่ได้ AI อยู่ตรงกลางของการแข่งขันทั้งสองนี้

ผู้ป้องกันต้องจัดการกับจำนวนช่องโหว่ที่เพิ่มขึ้นและเวลาที่ลดลงในการตอบสนอง เมื่อช่องโหว่ถูกเปิดเผย ผู้โจมตีก็จะเร่งดำเนินการผ่านขั้นตอนพื้นฐาน AI ช่วยเหลือในขั้นตอนเหล่านั้นทั้งหมด

การแก้ไขปัญหาไม่สามารถเป็นเพียงสิ่งที่ทีมความปลอดภัยดูอีกต่อไป ทีมเหล่านั้นต้องทราบว่าอะไรที่ถูกเปิดเผย อะไรที่สามารถใช้ประโยชน์ได้จริง และบริการธุรกิจหรือทรัพยากรใดที่จะได้รับผลกระทบเมื่อพวกเขาถูกโจมตี

เพื่อปิดช่องโหว่ดังกล่าว ผู้ป้องกันต้องเปลี่ยนจากความคิดที่มุ่งเน้นการแก้ไขปัญหาเป็นแบบอัตโนมัติ โดยใช้การป้องกันที่มีการป้องกันแบบเรียลไทม์โดยเฉพาะสำหรับสภาพแวดล้อม โดยไม่พึ่งพาสิ่งบ่งชี้ทั่วไปหรือการรีบำบัดซอฟต์แวร์แบบไม่ได้รับการตรวจสอบ องค์กรควรเริ่มพึ่งพาการค้นพบและป้องกันแบบอัตโนมัติ โดยใช้การป้องกันที่ตระหนักถึงบริบทและสามารถสร้างและปรับเปลี่ยนการป้องกันเสมือนจริงได้แบบไดนามิก

องค์กรต่างๆ กำลังใช้แอปพลิเคชันและตัวแทน AI ที่พึ่งพา API อย่างมาก มองข้ามความเสี่ยงด้านความปลอดภัยที่เกิดขึ้นหรือไม่ และคุณเห็นข้อผิดพลาดที่ใหญ่ที่สุดในปัจจุบัน

ใช่ องค์กรหลายแห่งยังคงเห็น AI เป็นเพียงแอปพลิเคชันที่ต้องได้รับการรักษาความปลอดภัย และดูว่าความปลอดภัยของ AI เป็นเพียงเรื่องของความเป็นส่วนตัวของข้อมูล มากกว่าที่จะเป็นภัยคุกคามด้านการปฏิบัติการ

ปัญหาที่เราเห็นมากที่สุดขณะนี้คือความเข้าใจที่ไม่ถูกต้องเกี่ยวกับการกระทำของตัวแทน AI สำหรับตัวแทน AI ท้องถิ่นให้ทำงานได้อย่างมีประสิทธิภาพ พนักงานต้องมอบหมายสิทธิ์การเข้าถึงระบบให้กับตัวแทน AI ทั้งหมด ซึ่งหมายความว่าตัวแทน AI จะสืบทอดอัตลักษณ์และการเข้าถึงที่เชื่อถือได้ของพนักงานทั่วทั้งแอปพลิเคชัน ระบบไฟล์ และเซสชันเบราว์เซอร์

การมอบหมายความไว้วางใจนี้กลายเป็นเรื่องอันตรายมาก เนื่องจากวิธีการประมวลผลข้อมูลพื้นฐานของ AI: โมเดล AI ไม่สามารถแยกแยะระหว่างข้อมูลและคำสั่งได้ เมื่อตัวแทน AI ได้รับการเข้าถึงระบบอย่างกว้างขวาง มันจะกลายเป็นเรื่องง่ายมากสำหรับผู้โจมตีที่จะหลอกลวงตัวแทน AI ผ่านการฉีดคำสั่งทางอ้อม

คุณใช้เวลาหลายปีในการวิจัยมัลแวร์ IoT และบอทเน็ต คุณเห็นว่า AI จะเปลี่ยนแปลงรุ่นต่อไปของบอทเน็ตอย่างไร และเราจะเห็นบอทเน็ตอัตโนมัติที่สามารถปรับเปลี่ยนยุทธวิธีโดยไม่มีการแทรกแซงจากมนุษย์หรือไม่

ผู้ควบคุมบอทเน็ตไม่เคยหยุดนิ่ง พวกเขาสับเปลี่ยนพAYโหลด ใช้ประโยชน์จากช่องโหว่ใหม่ๆ และเปลี่ยนโครงสร้างพื้นฐานของคำสั่งเมื่อผู้ป้องกันตามทัน AI ตัวแทนสามารถเพิ่มความเร็วในการวนรอบเหล่านี้ได้อย่างจริงจัง

บอทเน็ตอัตโนมัติไม่ใช่เรื่องนิยาย BrickerBot เป็นหนึ่งในบอทแรกที่เป็นอิสระ มันจะนั่งเงียบๆ และรอจนกว่าอุปกรณ์ IoT ที่ติดเชื้อ Mirai จะพยายามยึดเครื่องของมัน จากนั้นมันจะโต้ตอบด้วยการโจมตีกลับโดยใช้การระบุอุปกรณ์และเลือกช่องโหว่ที่เหมาะสมที่สุดเพื่อพยายามยึดอุปกรณ์

มีการอภิปรายอย่างมากในชุมชนด้านความปลอดภัยเกี่ยวกับศักยภาพของบอทเน็ต Agentic ที่สร้างขึ้นจากเฟรมเวิร์กตัวแทน AI ท้องถิ่น เช่น OpenClaw

การรณรงค์ของกลุ่มหัวรุนแรงและโจมตีแบบ DDoS ระดับใหญ่กลายเป็นเรื่องธรรมดา ผู้กระทำเหล่านี้กลายเป็นมืออาชีพมากขึ้นหรือ AI และเครื่องมือโจมตีที่พร้อมใช้งานทำให้การโจมตีที่ซับซ้อนสามารถเข้าถึงได้โดยผู้โจมตีในวงกว้างหรือไม่

ทั้งสองอย่าง ผู้กระทำผิดบางคนได้รับการจัดระเบียบมากขึ้น บางกลุ่ม เช่น NoName057(16) ได้ทำการโจมตีแบบ DDoS ทุกวันตั้งแต่เดือนกุมภาพันธ์ 2022

ในขณะเดียวกัน เครื่องมือเหล่านี้ได้กลายเป็นเรื่องง่ายที่จะเข้าถึงมากกว่าที่เคย DDoS-for-hire, บอทเน็ต, โพรกซี่เน็ตเวิร์ก, สคริปต์ที่รั่วไหล และคำแนะนำทำให้ทุกคนที่มีทักษะจำกัดสามารถเข้าร่วมการรณรงค์และรู้สึกเป็นส่วนหนึ่งของสิ่งที่ใหญ่กว่า AI เพิ่มการเขียนโค้ด การวิจัยเป้าหมาย การแปลข้อความแคมเปญ และการอัตโนมัติขั้นพื้นฐาน

เมื่อองค์กรเร่งให้ AI เข้าสู่การดำเนินงานของตน อะไรคือพื้นที่โจมตีใหม่ที่ผู้นำด้านความปลอดภัยอาจไม่เข้าใจอย่างเต็มที่

คำตอบถูกกำหนดโดยสิ่งที่ตัวแทน AI สามารถเข้าถึงได้ เมื่อตัวแทน AI มีการเข้าถึงเอกสารภายใน โค้ด ระบบ CI/CD คีย์ API หรือเครื่องมือ DevOps พื้นที่โจมตีก็ขยายตัวขึ้นอย่างรวดเร็ว

การฉีดคำสั่งทางอ้อมกลายเป็นเรื่องร้ายแรงในด้านนี้ หากตัวแทน AI ประมวลผลเนื้อหาที่ไม่น่าเชื่อถือและดำเนินการตามนั้น คำสั่งสามารถกลายเป็นเส้นทางเข้าสู่กระบวนการทำงานได้

AI ถูกใช้โดยทั้งผู้โจมตีและผู้ป้องกัน คุณเชื่อว่า AI สำหรับการป้องกันจะตามทัน AI สำหรับการโจมตีหรือไม่ หรือองค์กรจะเผชิญกับการต่อสู้ที่ไม่สมดุลมากขึ้นในอีกหลายปีข้างหน้า

AI สร้างความไม่สมดุลที่เอื้อต่อผู้โจมตี ไม่ใช่เพราะโมเดล AI สำหรับการป้องกันไม่ดี แต่เนื่องจากช่องว่างด้านความเร็วในการปฏิบัติการ

เมื่อช่องโหว่ถูกเปิดเผย ทีมความปลอดภัยมีเวลาเพียงเล็กน้อยในการปรับใช้การแก้ไขปัญหา AI ได้บีบอัดช่วงเวลานี้ลงจนเกือบจะเป็นศูนย์

ในที่สุด ผู้นำด้านความปลอดภัยจะไม่ได้ถูกกำหนดโดยใครที่มี AI ที่ “ฉลาด” กว่า แต่โดยใครที่สามารถช่องว่างด้านความเร็วทางสถาปัตยกรรมได้ องค์กรที่มอง AI เป็นเพียงเครื่องมือความปลอดภัยมาตรฐานจะถูกครอบงำโดยความเร็วของภัยคุกคามร่วมสมัย ความสำเร็จต้องอาศัยการออกแบบโครงสร้างพื้นฐานใหม่เพื่อให้ AI สำหรับการป้องกันสามารถแยกและปิดกั้นภัยคุกคามได้อย่างอิสระ

ทีมความปลอดภัยหลายทีมยังคงพึ่งพาตัวชี้วัดและวิธีการตรวจจับแบบดั้งเดิม ในขณะที่การโจมตีกลายเป็นเร็วและอัตโนมัติมากขึ้น องค์กรควรให้ความสำคัญกับตัวชี้วัดหรือพฤติกรรมใดแทน

ตัวชี้วัดความปลอดภัยส่วนใหญ่ยังคงมุ่งเน้นไปที่กิจกรรม: ระบบแจ้งเตือน, การโจมตีที่ถูกปิดกั้น, ช่องโหว่ที่พบ แม้ว่าตัวเลขเหล่านี้จะมีประโยชน์สำหรับการตอบสนองต่อเหตุการณ์ แต่ก็ไม่ได้ให้ข้อมูลเชิงลึกเกี่ยวกับการเปิดเผยที่แท้จริงขององค์กร

การบริหารจัดการพื้นที่โจมตีแบบเรียลไทม์เป็นสิ่งจำเป็น ผู้ป้องกันต้องมีความเข้าใจอย่างต่อเนื่องเกี่ยวกับความเสี่ยงที่เฉพาะเจาะจง: แอปพลิเคชันและ API ที่สำคัญใดที่ถูกเปิดเผยต่ออินเทอร์เน็ต ช่องโหว่ใดที่มีอยู่ภายใน

ความยืดหยุ่นแท้จริงมาจากการเชื่อมต่อพื้นที่โจมตีนี้กับการวิเคราะห์พฤติกรรมและข่าวกรองภัยคุกคาม โดยการเข้าใจสิ่งที่ถูกเปิดเผยและพฤติกรรมอย่างไร ทีมความปลอดภัยสามารถคาดการณ์และปิดกั้นการโจมตีที่ไม่ทราบก่อนหน้านี้

เมื่อมองไปข้างหน้า五ปี คุณคิดว่าความท้าทายด้านความปลอดภัยของยุค AI จะเป็นอะไร และผู้นำด้านความปลอดภัยและทีมควรเริ่มทำอะไรวันนี้เพื่อเตรียมพร้อม

ความท้าทายด้านความปลอดภัยที่สำคัญที่สุดของยุค AI จะเป็นการกำกับดูแลและรักษาความปลอดภัยของความสัมพันธ์ที่ไม่ใช่มนุษย์

ในห้าปี องค์กรจะไม่เพียงจัดการกับพนักงานมนุษย์และซอฟต์แวร์ที่คงที่เท่านั้น แต่ยังดูแลตัวแทน AI อีกหลายพันรายที่โต้ตอบซึ่งกันและกัน ข้อมูลองค์กร และระบบภายนอก

การมองเห็นระบบ agentic ทั่วทั้งองค์กรจะเป็นสิ่งจำเป็น ก่อนที่ตัวแทนจะแพร่หลาย ผู้นำด้านความปลอดภัยควรสร้างทะเบียนกลางที่กำหนดความเป็นเจ้าของที่ชัดเจนสำหรับตัวแทน AI ที่ใช้งานทุกตัว

ในห้าปี การป้องกัน API และแอปพลิเคชันออนไลน์จะไม่เกี่ยวกับการจัดการการกำหนดค่า การบล็อกสิ่งบ่งชี้ที่ทราบ หรือการแก้ไขช่องโหว่ แต่จะเป็นสงครามของตรรกะต่อตระกูล

ผู้โจมตีจะใช้โมเดล AI ที่ทันสมัยเพื่อทำให้การค้นพบและใช้ประโยชน์จากช่องโหว่ของ API โลจิกเป็นอัตโนมัติ

เพื่อตอบโต้การค้นพบอัตโนมัติ ผู้ป้องกันต้องบรรลุความเข้าใจพื้นที่โจมตีที่เปิดเผยแบบเรียลไทม์

การป้องกันแบบอัตโนมัติจะต้องสร้างและปรับเปลี่ยนการป้องกันเสมือนจริงที่กำหนดเองเพื่อปิดกั้นการโจมตีโดยไม่ส่งผลกระทบต่อลอจิกของแอปพลิเคชันที่อ่อนแอ

ขอขอบคุณสำหรับการสัมภาษณ์ที่ยอดเยี่ยม ผู้อ่านสามารถเยี่ยมชม Radware เพื่อเรียนรู้เพิ่มเติม