ทีมรักษาความปลอดภัยกำลังแก้ไขภัยคุกคามที่ไม่ถูกต้อง มาดูกันว่าจะทำอย่างไรเพื่อแก้ไขในยุคการโจมตีของ AI

การโจมตีทางไซเบอร์ไม่ใช่การดำเนินการเชิงเส้นแบบแมนนวลอีกต่อไป ด้วย AI ที่ฝังตัวอยู่ในกลยุทธ์ทางฝ่ายโจมตี ผู้โจมตีกำลังพัฒนา มัลแวร์แบบพอลิโมร์ฟิก อัตโนมัติในการสอดแนม และหลบหลีกการป้องกันความปลอดภัยได้เร็วกว่าที่ทีมรักษาความปลอดภัยหลายๆ ทีมสามารถตอบสนองได้ นี่ไม่ใช่สถานการณ์ในอนาคต แต่เป็นเรื่องที่เกิดขึ้นแล้วในปัจจุบัน

ในเวลาเดียวกัน การป้องกันความปลอดภัยส่วนใหญ่ยังคงเป็นแบบตอบสนอง พวกเขาพึ่งพาการระบุอินดิเคเตอร์ของการละเมิดที่ทราบ การใช้รูปแบบการโจมตีในอดีต และการระบุความเสี่ยงตามคะแนนความเสี่ยงที่อาจไม่สะท้อนถึงภูมิทัศน์ความเสี่ยงจริง ทีมงานถูกท่วมท้นด้วยปริมาณ ไม่ใช่ข้อมูลเชิงลึก ซึ่งสร้างสภาพแวดล้อมที่สมบูรณ์แบบสำหรับผู้โจมตีในการประสบความสำเร็จ

ทัศนคติที่มีมายาวนานในอุตสาหกรรมซึ่งสร้างขึ้นรอบๆ รายการตรวจสอบความเป็นไปตามข้อกำหนด การประเมินแบบจัดระยะ และการแบ่งส่วนเครื่องมือได้กลายเป็นภาระแล้ว ทีมรักษาความปลอดภัยทำงานหนักกว่าที่เคย แต่บ่อยครั้งแก้ไขสิ่งที่ไม่ถูกต้อง

เหตุใดจึงมีช่องว่างนี้

อุตสาหกรรมความปลอดภัยทางไซเบอร์ได้พึ่งพาคะแนนความเสี่ยง เช่น CVSS เพื่อจัดลำดับความสำคัญของช่องโหว่ อย่างไรก็ตาม คะแนน CVSS ไม่สะท้อนถึงบริบทในโลกแห่งความเป็นจริงของโครงสร้างพื้นฐานขององค์กร เช่น ไม่ว่าช่องโหว่จะถูกเปิดเผย ถึงถึงหรือสามารถใช้ได้ภายในเส้นทางการโจมตีที่ทราบ

ดังนั้น ทีมรักษาความปลอดภัยจึงใช้เวลามีค่าในการแก้ไขปัญหาที่ไม่สามารถใช้ได้ ในขณะที่ผู้โจมตีหาวิธีสร้างสรรค์ในการเชื่อมโยงความอ่อนแอระหว่างช่องโหว่และหลบหลีกการควบคุม

สถานการณ์นี้ยิ่งซับซ้อนขึ้นโดยธรรมชาติของสแต็คความปลอดภัยที่กระจัดกระจาย SIEMs, ระบบ EDR, เครื่องมือการจัดการช่องโหว่ และแพลตฟอร์ม CSPM ทั้งหมดทำงานอิสระ ซึ่งสร้างจุดบอดที่ผู้โจมตีที่ใช้ AI สามารถใช้ประโยชน์ได้มากขึ้น

การตรวจจับตามลายลักษณ์กำลังเสื่อมถอย

หนึ่งในแนวโน้มที่น่ากังวลที่สุดในด้านความปลอดภัยทางไซเบอร์สมัยใหม่คือคุณค่าที่ลดลงของวิธีการตรวจจับแบบดั้งเดิม ลายลักษณ์ที่ไม่เปลี่ยนแปลงและระบบแจ้งเตือนตามกฎเกณฑ์เป็นผลดีเมื่อภัยคุกคามตามรูปแบบที่คาดเดาได้ แต่การโจมตีที่สร้างโดย AI ไม่ปฏิบัติตามกฎเหล่านั้น พวกมันเปลี่ยนแปลงโค้ด หลบเลี่ยงการตรวจจับ และปรับตัวให้เข้ากับการควบคุม

ลองพิจารณามัลแวร์แบบพอลิโมร์ฟิก ซึ่งเปลี่ยนโครงสร้างของมันเองทุกครั้งที่ใช้งาน หรืออีเมลฟิชชิ่งที่สร้างโดย AI ซึ่งเลียนแบบสไตล์การสื่อสารของผู้บริหารด้วยความแม่นยำที่น่าตกใจ ภัยคุกคามเหล่านี้สามารถหลบเลี่ยงเครื่องมือที่ใช้ลายลักษณ์ได้ทั้งหมด

หากทีมรักษาความปลอดภัยยังคงพึ่งพาการระบุสิ่งที่เห็นแล้ว พวกเขาจะยังคงอยู่ข้างหลังผู้โจมตีที่สร้างสรรค์อย่างต่อเนื่อง

แรงกดดันจากกฎระเบียบกำลังเพิ่มขึ้น

ปัญหาไม่ใช่แค่ด้านเทคนิค แต่ยังเป็นด้านกฎระเบียบด้วย คณะกรรมการกำกับหลักทรัพย์และตลาดหลักทรัพย์ของสหรัฐฯ (SEC) ได้แนะนำกฎระเบียบการเปิดเผยความปลอดภัยทางไซเบอร์ใหม่ ซึ่งกำหนดให้บริษัทที่มีการซื้อขายสาธารณะต้องรายงานเหตุการณ์ความปลอดภัยทางไซเบอร์ที่สำคัญและอธิบายกลยุทธ์การจัดการความเสี่ยงในแบบเรียลไทม์ ในทำนองเดียวกัน กฎหมายดิจิทัลการดำเนินงานที่มีความยืดหยุ่นของสหภาพยุโรป (DORA) ต้องการการเปลี่ยนแปลงจากการประเมินแบบจัดระยะไปสู่การจัดการความเสี่ยงทางไซเบอร์ที่ต่อเนื่องและได้รับการตรวจสอบ

ส่วนใหญ่ขององค์กรไม่ได้เตรียมพร้อมสำหรับการเปลี่ยนแปลงนี้ พวกเขาไม่มีความสามารถในการให้การประเมินความเสี่ยงทางไซเบอร์ในแบบเรียลไทม์เกี่ยวกับว่าระบบป้องกันความปลอดภัยในปัจจุบันของพวกเขามีประสิทธิภาพต่อภัยคุกคามในปัจจุบันหรือไม่ โดยเฉพาะอย่างยิ่งเมื่อ AI ยังคงพัฒนาภัยคุกคามเหล่านี้ด้วยความเร็วของเครื่องจักร

การจัดลำดับความสำคัญของภัยคุกคามถูกทำลาย

ความท้าทายหลักอยู่ที่วิธีการจัดลำดับความสำคัญของงานขององค์กร ส่วนใหญ่ยังคงพึ่งพาระบบการให้คะแนนความเสี่ยงที่ไม่เปลี่ยนแปลงเพื่อกำหนดสิ่งที่จะแก้ไขและเมื่อใด ซึ่งระบบเหล่านี้ไม่ค่อยคำนึงถึงสภาพแวดล้อมที่ช่องโหว่เกิดขึ้น ไม่ว่าจะถูกเปิดเผย ถึงถึงหรือสามารถใช้ได้

สิ่งนี้นำไปสู่ทีมรักษาความปลอดภัยที่ใช้เวลามีค่าในการแก้ไขช่องโหว่ที่ไม่สามารถโจมตีได้ ในขณะที่ผู้โจมตีหาวิธีเชื่อมโยงปัญหาเล็กๆ น้อยๆ ที่ถูกละเลยเพื่อเข้าถึงระบบได้ แบบจำลอง “ค้นหาและแก้ไข” แบบดั้งเดิมได้กลายเป็นวิธีการจัดการความเสี่ยงทางไซเบอร์ที่ไม่มีประสิทธิภาพและไม่มีประสิทธิผล

ความปลอดภัยต้องพัฒนาจากการตอบสนองต่อการแจ้งเตือนไปสู่การทำความเข้าใจพฤติกรรมของฝ่ายโจมตี – วิธีที่ผู้โจมตีจะเคลื่อนผ่านระบบจริงๆ ระบบป้องกันใดที่พวกเขาสามารถหลบเลี่ยงได้ และจุดอ่อนที่แท้จริงอยู่ที่ไหน

วิธีที่ดีกว่าไปข้างหน้า: การป้องกันที่ขับเคลื่อนด้วยเส้นทางการโจมตีแบบกระตือรือร้น

สมมติว่าทีมรักษาความปลอดภัยสามารถจำลองการโจมตีของจริงได้อย่างต่อเนื่อง และแก้ไขเฉพาะสิ่งที่สำคัญที่สุด?

แนวทางนี้ซึ่งมักถูกเรียกว่าการตรวจสอบความปลอดภัยแบบต่อเนื่องหรือการจำลองเส้นทางการโจมตี ได้รับความนิยมเป็นกลยุทธ์ในการเปลี่ยนแปลง แทนที่จะรักษาช่องโหว่แยกจากกัน มันจะสร้างแผนที่ว่าผู้โจมตีสามารถเชื่อมโยงการกำหนดค่าที่ไม่ถูกต้อง ความอ่อนแอของอัตลักษณ์ และสินทรัพย์ที่มีช่องโหว่เพื่อเข้าถึงระบบสำคัญได้อย่างไร

โดยการจำลองพฤติกรรมของฝ่ายโจมตีและตรวจสอบการควบคุมในแบบเรียลไทม์ ทีมสามารถมุ่งเน้นไปที่ความเสี่ยงที่สามารถใช้ได้จริงที่เปิดเผยต่อธุรกิจ ไม่ใช่แค่สิ่งที่เครื่องมือการปฏิบัติตามข้อกำหนดระบุ

คำแนะนำสำหรับ CISO และผู้นำด้านความปลอดภัย

สิ่งที่ทีมรักษาความปลอดภัยควรจัดลำดับความสำคัญในวันนี้เพื่ออยู่เหนือการโจมตีที่สร้างโดย AI คือ:

• ใช้การจำลองการโจมตีแบบต่อเนื่อง นำเครื่องมือจำลองผู้โจมตีแบบอัตโนมัติที่ใช้ AI มาใช้เพื่อทดสอบการควบคุมของคุณเหมือนผู้โจมตีจริง การจำลองเหล่านี้ควรดำเนินอย่างต่อเนื่อง ไม่ใช่แค่สำหรับการออกกำลังกายของทีมแดงปีละครั้ง
• จัดลำดับความสำคัญของการโจมตีได้มากกว่าความเสี่ยง พ้นจากคะแนน CVSS แล้ว รวมการวิเคราะห์เส้นทางการโจมตีและการตรวจสอบตามบริบทเข้ากับโมเดลความเสี่ยงของคุณ ถามว่า: ช่องโหว่นี้สามารถเข้าถึงได้หรือไม่? สามารถใช้ได้ในวันนี้หรือไม่?
• รวมข้อมูลโทรเมทริกซ์ด้านความปลอดภัย รวมข้อมูลจากแพลตฟอร์ม SIEM, CSPM, EDR และ VM เข้ากับมุมมองที่ถูกต้องและเกี่ยวข้อง ซึ่งช่วยให้สามารถวิเคราะห์เส้นทางการโจมตีและปรับปรุงความสามารถในการตรวจจับการบุกรุกที่ซับซ้อนหลายขั้นตอน
• ใช้การตรวจสอบการป้องกันแบบอัตโนมัติ เปลี่ยนจากการตรวจจับแบบแมนนวลไปสู่การตรวจสอบที่ขับเคลื่อนด้วย AI ใช้การเรียนรู้ของเครื่องจักรเพื่อให้แน่ใจว่ากลยุทธ์การตรวจจับและการตอบสนองของคุณพัฒนาร่วมกับภัยคุกคามที่พวกเขาตั้งใจจะหยุด
• ปรับปรุงการรายงานความเสี่ยงทางไซเบอร์ แทนที่แดชบอร์ดความเสี่ยงที่ไม่เปลี่ยนแปลงด้วยการประเมินความเสี่ยงที่เปิดเผยในแบบเรียลไทม์ จัดตำแหน่งตามเฟรมเวิร์ก เช่น MITRE ATT&CK เพื่อแสดงว่าการควบคุมของคุณสอดคล้องกับพฤติกรรมภัยคุกคามในโลกแห่งความเป็นจริงอย่างไร

องค์กรที่เปลี่ยนไปใช้การตรวจสอบแบบต่อเนื่องและจัดลำดับความสำคัญตามการโจมตีได้สามารถคาดหวังการปรับปรุงที่วัดได้หลายมิติของการดำเนินงานด้านความปลอดภัย โดยการมุ่งเน้นไปที่ภัยคุกคามที่มีผลกระทบสูงและสามารถดำเนินการได้ ทีมรักษาความปลอดภัยสามารถลดความเหนื่อยล้าจากการแจ้งเตือนและกำจัดสิ่งรบกวนที่เกิดจากผลลบหรือช่องโหว่ที่ไม่สามารถใช้ได้ได้ นี่ทำให้สามารถตอบสนองต่อการโจมตีจริงได้เร็วขึ้นและลดเวลาในการอยู่ในระบบได้มาก

นอกจากนี้ แนวทางนี้ยังปรับปรุงการปฏิบัติตามกฎระเบียบ การตรวจสอบแบบต่อเนื่องตอบสนองต่อความต้องการที่เพิ่มขึ้นจากเฟรมเวิร์ก เช่น กฎการเปิดเผยความปลอดภัยทางไซเบอร์ของ SEC และกฎระเบียบ DORA ของสหภาพยุโรป ซึ่งทั้งสองต้องการการมองเห็นความเสี่ยงทางไซเบอร์ในแบบเรียลไทม์ สิ่งสำคัญที่สุดคือกลยุทธ์นี้รับประกันว่าการจัดสรรทรัพยากรที่มีประสิทธิภาพมากขึ้น และช่วยให้ทีมสามารถลงทุนเวลาและความสนใจในจุดที่สำคัญที่สุด

เวลาที่จะปรับตัวคือตอนนี้

ยุคของการโจมตีทางไซเบอร์ที่ขับเคลื่อนด้วย AI ไม่ใช่การคาดการณ์อีกต่อไป แต่เป็นปัจจุบัน ผู้โจมตีใช้ AI เพื่อค้นหาวิธีใหม่ในการเข้าถึงระบบ

ไม่ใช่เรื่องของการเพิ่มการแจ้งเตือนหรือการแก้ไขปัญหาเร็วขึ้น แต่เป็นเรื่องของการรู้ว่าภัยคุกคามใดที่สำคัญ การตรวจสอบการป้องกันของคุณอย่างต่อเนื่อง และจัดตำแหน่งกลยุทธ์กับพฤติกรรมผู้โจมตีในโลกแห่งความเป็นจริงเท่านั้น จึงจะทำให้ผู้ป้องกันสามารถกลับมามีอำนาจเหนือในโลกที่ AI กำลังเขียนกฎของการมีส่วนร่วมใหม่