Simon Edwards, CEO และผู้ก่อตั้ง SE Labs – ชุดสัมภาษณ์

Simon Edwards, CEO และผู้ก่อตั้ง SE Labs, เป็นผู้เชี่ยวชาญด้านการทดสอบความปลอดภัยไซเบอร์ที่มีประสบการณ์มากกว่าสามทศวรรษ ครอบคลุมการวิจัยด้านความปลอดภัย การประเมินผลิตภัณฑ์ การสื่อสารเทคนิคด้านข่าวสาร และมาตรฐานอุตสาหกรรม ก่อนก่อตั้ง SE Labs ในปี 2015 Edwards ได้ดำเนินการ Dennis Technology Labs ซึ่งเขาเป็นผู้นำโครงการทดสอบความปลอดภัย และก่อนหน้านั้นทำงานเป็นนักข่าวเทคโนโลยีและบรรณาธิการหลายปี เขายังเคยดำรงตำแหน่งผู้นำระดับสูงใน Anti-Malware Testing Standards Organization (AMTSO) รวมถึงตำแหน่งประธานกรรมการ, ผู้จัดการ, และผู้ร่วมประธานกรรมการ Edwards เริ่มทดสอบผลิตภัณฑ์ความปลอดภัยตั้งแต่กลางทศวรรษ 1990s และเป็นผู้บุกเบิกวิธีการทดสอบแอนตี้มัลแวร์แบบโลกจริงในช่วงแรก ที่ออกแบบเพื่อประเมินว่เทคโนโลยีความปลอดภัยทำงานอย่างไรต่อการโจมตีที่สมบูรณ์แบบและส่งมาจากอินเทอร์เน็ต แทนที่จะเป็นตัวอย่างมัลแวร์แยกส่วน

SE Labs เป็นบริษัททดสอบและให้คำปรึกษาด้านความปลอดภัยไซเบอร์อิสระที่ประเมินว่เทคโนโลยีความปลอดภัยทำงานอย่างไรต่อการโจมตีที่สมจริง นักวิจัยของบริษัทจำลองเทคนิคของผู้โจมตีตลอดสายโซ่การโจมตีเพื่อประเมินผลิตภัณฑ์รวมถึงการป้องกันปลายเครื่อง (endpoint protection), Endpoint Detection and Response (EDR), บริการความปลอดภัยคลาวด์, ไฟร์วอลล์, ความปลอดภัยอีเมล, และเทคโนโลยีการตรวจจับเครือข่าย นอกจากการทดสอบเปรียบเทียบสาธารณะแล้ว SE Labs ยังให้บริการการรับรอง, การทดสอบความปลอดภัยขั้นสูง, การตรวจสอบผลิตภัณฑ์, และบริการให้คำปรึกษาสำหรับองค์กรและผู้ขายความปลอดภัยไซเบอร์ บริษัทเผยแพร่วิธีการทดสอบและกรอบการจำลองภัยคุกคามของตนและได้รับการรับรองตาม ISO/IEC 27001:2022 และ BS EN ISO 9001:2015 สำหรับการให้บริการทดสอบผลิตภัณฑ์ความปลอดภัยด้านไอที

อาชีพของคุณครอบคลุมมากกว่าสามทศวรรษในด้านการสื่อสารเทคโนโลยี, การให้คำปรึกษาด้านความปลอดภัย, การทดสอบอิสระ, และบทบาทผู้นำใน Anti-Malware Testing Standards Organization (AMTSO). ประสบการณ์นี้ได้ส่งผลต่อวิธีที่คุณแยกความก้าวหน้าจริงในด้านความปลอดภัยไซเบอร์ที่ใช้ AI จากเทคโนโลยีที่ส่วนใหญ่ถูกนำเสนอเป็น “AI” เพื่อการตลาดอย่างไร?

การทำข่าวสอนให้ฉันตั้งคำถามต่อข้ออ้าง, ในขณะที่การทดสอบอิสระสอนให้ฉันว่าคำตอบที่เชื่อถือได้เพียงอย่างเดียวมาจากหลักฐาน บริษัทด้านความปลอดภัยไซเบอร์ได้ใช้การเรียนรู้ของเครื่องและการตัดสินใจอัตโนมัติมาหลายปี ดังนั้นการเพิ่มคำว่า “AI” ลงในชื่อผลิตภัณฑ์ไม่ได้หมายความว่าจะเป็นความก้าวหน้าทางเทคนิคโดยอัตโนมัติ

สามประเด็นพื้นฐานที่ควรพิจารณา: AI ทำอะไรจริง ๆ? ผลลัพธ์ด้านความปลอดภัยที่วัดได้ที่มันปรับปรุงคืออะไร? และผู้ทดสอบอิสระสามารถทำซ้ำการปรับปรุงนั้นได้หรือไม่?

หากคำตอบเพียงว่าผลิตภัณฑ์วิเคราะห์ข้อมูลจำนวนมากหรือทำกระบวนการที่มีอยู่ให้เป็นอัตโนมัติ, ป้าย AI อาจเป็นเพียงการวางตำแหน่งมากกว่าความสามารถจริง

ความก้าวหน้าที่แท้จริงทำงานได้ดีต่อการโจมตีที่ไม่คุ้นเคยหรือใหม่ล่าสุด, ปรับปรุงการป้องกันหรือการตอบสนอง, ลดภาระของนักวิเคราะห์, และทำเช่นนั้นโดยไม่ก่อให้เกิดความเสี่ยงที่ยอมรับไม่ได้ สิ่งอื่นใดยกเว้นนั้นเป็นเพียงการไม่พัฒนา หรือการลดคุณภาพ!

“AI-driven” กลายเป็นข้ออ้างทั่วไปในผลิตภัณฑ์ความปลอดภัยไซเบอร์ สิ่งสำคัญที่สุดที่ควรทดสอบอย่างอิสระก่อนที่องค์กรจะยอมรับว่าแพลตฟอร์มความปลอดภัยที่ใช้ AI นั้นจริง ๆ ส่งมอบตามที่ผู้ขายสัญญาได้คืออะไร?

ฉันจะไม่เริ่มด้วยการทดสอบว่าผลิตภัณฑ์มี AI หรือไม่ ฉันจะเริ่มด้วยการทดสอบข้ออ้างด้านความปลอดภัยที่ทำไว้สำหรับผลิตภัณฑ์นั้น ฉันไม่ได้สนใจว่าผลิตภัณฑ์ทำงานอย่างไร ตราบใดที่มันทำงานได้ นี่คือเป้าหมายที่แน่นอนของโครงการทดสอบ PIVOT ซึ่งกำลังได้รับความสนใจอย่างมากในอุตสาหกรรมในขณะนี้

การทดสอบแบบนี้หมายถึงการเปิดเผยผลิตภัณฑ์ต่อการโจมตีแบบสมบูรณ์และวัดว่ามันตอบสนองอย่างไร คาดว่ามันควรตรวจจับกิจกรรมและอาจต่อด้วยการป้องกันไม่ให้การโจมตีดำเนินต่อไป สิ่งนี้ขึ้นอยู่กับวิธีการที่ผลิตภัณฑ์ถูกสร้างและกำหนดค่า รวมถึงข้ออ้างทางการตลาดที่ผู้ขายทำ

เรายังต้องตรวจสอบเรื่องราวการสืบสวนที่นำเสนอให้กับลูกค้า ระบบเข้าใจว่าเกิดอะไรขึ้น เชื่อมโยงเหตุการณ์ที่เกี่ยวข้อง และทำให้หลักฐานปรากฏต่อผู้ที่ต้องดำเนินการหรือไม่

การทดสอบควรรวมถึงรูปแบบที่ไม่คุ้นเคย, การกำหนดค่าลูกค้าที่สมจริง และกิจกรรมธุรกิจปกติ นอกจากนี้ต้องวัดผลลบเท็จ, ความต้องการทรัพยากร และการกระทำที่อาจเป็นอันตราย หากระบบเป็นอัตโนมัติ เราต้องรู้ว่ามันทำงานเมื่อใด ทำไมจึงทำอะไร ใช้สิทธิ์อะไรและการตัดสินใจของมันสามารถย้อนกลับได้หรือไม่

เราเคยเห็นข่าวบางเรื่องเกี่ยวกับความปลอดภัย AI ที่ทำงานผิดพลาดและเกินขอบเขตรวมถึงอาจละเมิดกฎหมาย คำถามสำคัญไม่ใช่ว่าแพลตฟอร์มดูฉลาดหรือไม่ แต่คือมันสร้างผลลัพธ์ด้านความปลอดภัยที่ดีกว่าและปลอดภัยอย่างต่อเนื่องหรือไม่

เอเจนต์ AI อัตโนมัติอาจดำเนินการสืบค้น, การใช้ประโยชน์, การเคลื่อนย้ายแบบด้านข้าง, และขั้นตอนอื่นของการโจมตีได้เร็วกว่าผู้โจมตีมนุษย์อย่างมาก การทดสอบความปลอดภัยไซเบอร์ต้องเปลี่ยนแปลงอย่างไรเมื่อการโจมตีเริ่มทำงานด้วยความเร็วของเครื่อง?

หน่วยการทดสอบต้องเปลี่ยนจากเทคนิคเดี่ยวเป็นแคมเปญเต็มรูปแบบที่ดำเนินการภายใต้ความกดดันของเวลา หมายความว่า แทนที่จะลองวิธีการโจมตีต่าง ๆ ตลอดเช้าหรือสัปดาห์ การทดสอบมาตรการความปลอดภัยบางอย่างต้องทำอย่างรวดเร็ว มิฉะนั้นจะไม่เป็นจริง และความสมจริงเป็นสิ่งสำคัญมาก

การทดสอบแบบดั้งเดิมอาจทิ้งช่องว่างที่สะดวกระหว่างขั้นตอนต่าง ๆ เพื่อให้แต่ละเหตุการณ์สามารถตรวจสอบได้แยกกัน ผู้โจมตีอัตโนมัติอาจบีบอัดขั้นตอนการสำรวจข้อมูล การใช้ประโยชน์และการเคลื่อนที่ด้านข้างให้สั้นลงอย่างมาก ซึ่งอาจเปิดเผยจุดอ่อนที่ไม่ปรากฏในการทดสอบที่ช้า เช่น ความล่าช้าในการส่งข้อมูล telemetry ระบบที่ทำงานหนักเกินไป และการตอบโต้ด้านป้องกันที่มาถึงหลังจากการโจมตีบรรลุเป้าหมายแล้ว

เพื่อให้คุณเห็นตัวอย่างพื้นฐานอย่างยิ่ง หากเราฮักเข้ามาในเครื่อง Mac ดาวน์โหลดไฟล์ทั้งหมดและขโมยรหัสผ่านบัญชีต่าง ๆ มันก็ไม่มีประโยชน์มากหากแอนตี้ไวรัสแจ้งเตือนวันถัดมาพร้อมข่าวร้าย

การทดสอบการตอบสนองด้านความปลอดภัยต่อผู้โจมตีที่ใช้ AI จึงต้องอาศัยเครื่องมือวัดความละเอียดสูงและการวัดระยะเวลาการตรวจจับและการตอบสนองอย่างแม่นยำ ควรตรวจสอบว่าประสิทธิภาพเสื่อมลงเมื่อปริมาณและความเร็วของกิจกรรมเพิ่มขึ้นหรือไม่ และระบบป้องกันสามารถขัดขวางการโจมตีได้โดยไม่ต้องรอการตัดสินใจของมนุษย์ในทุกขั้นตอนหรือไม่

การโจมตีอาจปรับตัวตามสิ่งที่มันค้นพบ การทดสอบต้องสะท้อนสิ่งนั้นในขณะที่ยังคงรักษาความจริงพื้นฐาน หลักฐานและความสามารถในการเล่นซ้ำ ความเร็วของเครื่องจักรไม่ควรทำให้ละทิ้งวิธีการที่ควบคุมได้ เราต้องออกแบบการทดสอบที่ควบคุมได้ซึ่งสามารถทำงานและวัดเหตุการณ์ได้ด้วยความเร็วเท่ากับระบบที่กำลังประเมิน

SE Labs ใช้สถานการณ์การโจมตีที่สมจริงโดยอิงจากกลยุทธ์และเทคนิคของกลุ่มภัยคุกคามเช่น Scattered Spider คุณจะสร้างศัตรูเหล่านี้ในสภาพแวดล้อมที่ควบคุมได้อย่างไรในขณะที่ทำให้การทดสอบสะท้อนการโจมตีจริงที่อาจเกิดขึ้น แทนที่จะเป็นการทดสอบตามรายการตรวจสอบที่กำหนดไว้ล่วงหน้า?

เราจะเริ่มจากเป้าหมายของศัตรู พฤติกรรมที่ทราบและการตัดสินใจที่เป็นไปได้ แทนที่จะมองเทคนิคของมันเป็นรายการช็อปปิ้ง

การทดสอบจะตามห่วงโซ่การโจมตีที่สมจริงตั้งแต่การสำรวจข้อมูล การเข้าถึงครั้งแรก การดำเนินการ การยกระดับสิทธิ์ กิจกรรมหลังการเข้าถึงและการเคลื่อนที่ด้านข้าง ที่สำคัญ ผู้ทดสอบสามารถใช้ข้อมูลที่ค้นพบจริงระหว่างการสำรวจและการโจมตีเท่านั้น เราไม่ให้ความรู้แก่ผู้โจมตีที่ไม่สามารถหาได้ในการทำงานจริง

สถานการณ์ถูกกำหนดขอบเขตและควบคุมอย่างระมัดระวัง แต่ไม่ได้เป็นเพียงลำดับของการกดปุ่มที่กำหนดไว้ล่วงหน้า หากเส้นทางหนึ่งถูกบล็อก ผู้โจมตีอาจเลือกเส้นทางสำรองที่เชื่อถือได้ภายในกฎของการทดสอบ ซึ่งทำให้ผลิตภัณฑ์ความปลอดภัยสามารถมีอิทธิพลต่อการดำเนินเรื่องของสถานการณ์ได้

ในเวลาเดียวกัน ทุกการกระทำและผลลัพธ์สำคัญจะถูกบันทึกเพื่อให้เราสามารถอธิบายผลลัพธ์และเปรียบเทียบผลิตภัณฑ์ได้อย่างเป็นธรรม การควบคุมไม่ได้หมายความว่าจะต้องสคริปต์อย่างเข้มงวด แต่ควรหมายถึงความปลอดภัย การสังเกตที่ชัดเจนและการสนับสนุนด้วยหลักฐาน

ผลิตภัณฑ์ความปลอดภัยไซเบอร์โดยทั่วไปได้รับการประเมินอย่างหนักในด้านความสามารถในการตรวจจับภัยคุกคาม ทำไมองค์กรจึงควรให้ความสำคัญกับการปกป้อง การกักกัน และการตอบสนองต่อเหตุการณ์มากขึ้นเมื่อประเมินระบบความปลอดภัยที่ขับเคลื่อนด้วย AI?

การตรวจจับไม่เท่ากับการป้องกัน แพลตฟอร์มอาจสร้างการแจ้งเตือนที่แม่นยำได้แต่ยังคงให้ผู้โจมตีบรรลุเป้าหมายได้ นี่คือเหตุผลที่โปรแกรมการทดสอบ PIVOT รวมการตรวจจับและการปกป้องเป็นส่วนร่วมและแยกกันของการทดสอบโดยรวม

คุณสามารถเปรียบเทียบการตรวจจับความปลอดภัยไซเบอร์กับกล้อง CCTV ได้ มันควรสังเกตการบุกรุกและให้ข้อมูลเบื้องต้นเกี่ยวกับสิ่งที่เกิดขึ้น แต่จะไม่หยุดผู้บุกรุกได้ทางกายภาพ การปกป้องความปลอดภัยไซเบอร์นั้นทำงานอย่างกระตือรือร้นมากกว่า สามารถขับไล่หรือทำให้ผู้โจมตีไม่มีอำนาจได้เพื่อป้องกันความเสียหาย

องค์กรต้องรู้ว่าผลิตภัณฑ์ได้ป้องกันกิจกรรมเริ่มต้นหรือไม่ ขัดขวางห่วงโซ่การโจมตี จำกัดการเคลื่อนที่ด้านข้าง ปกป้องทรัพย์สินสำคัญและสนับสนุนการกู้คืนหรือไม่ หากการโจมตีสำเร็จ คำถามต่อไปคือมันถูกกักกันเร็วแค่ไหนและลูกค้าได้รับข้อมูลที่เชื่อถือได้พอที่จะตอบสนองอย่างมีประสิทธิภาพหรือไม่

สิ่งนี้สำคัญยิ่งกับระบบที่ขับเคลื่อนด้วย AI เพราะแม้ว่ามันอาจสร้างสรุปที่น่าเชื่อถือของเหตุการณ์ที่เกิดขึ้น แต่คำอธิบายที่โน้มน้าวใจไม่สามารถแทนที่การปกป้องได้ คำอธิบายต้องได้รับการสนับสนุนจากหลักฐานและต้องนำไปสู่การกระทำที่เหมาะสม

ดังนั้นเราจึงวัดการตรวจจับและการปกป้องแยกกัน เรายังตรวจสอบว่าการตรวจจับที่อ้างอิงนั้นเป็นที่มองเห็นและเป็นประโยชน์ต่อผู้ใช้จริงหรือไม่ ในที่สุดคุณค่าของระบบความปลอดภัยอยู่ที่การเปลี่ยนแปลงผลลัพธ์ของการโจมตี ไม่ใช่เพียงการสังเกตเหตุการณ์

เมื่อแพลตฟอร์มความปลอดภัยนำเอาเอเจนต์อัตโนมัติที่สามารถสืบค้นการแจ้งเตือนและดำเนินการแก้ไขได้เข้ามา เราควรให้ห้องปฏิบัติการอิสระทดสอบกระบวนการทำงานของมนุษย์และ AI ทั้งหมดอย่างไร แทนที่จะประเมินเทคโนโลยีการตรวจจับพื้นฐานแยกจากกัน?

การทดสอบควรติดตามกระบวนการทั้งหมดตั้งแต่กิจกรรมอันตรายแรกจนถึงผลลัพธ์ด้านความปลอดภัยสุดท้าย ซึ่งอาจเป็นการหยุดการโจมตีหรือการสำเร็จของการโจมตีทั้งหมด – หรืออยู่ระหว่างทาง

เราต้องตรวจสอบว่าเอเจนต์สังเกตอะไร สรุปอะไร แนะนำหรือทำอะไร ผู้ปฏิบัติการมนุษย์เห็นอะไรและตอบสนองอย่างไร (หรือมีตัวเลือกอะไรให้เลือก) รวมถึงคุณภาพของหลักฐาน ความชัดเจนของการส่งต่อ เวลาในการดำเนินการ จำนวนการแทรกแซงและว่ามนุษย์สามารถเข้าใจ ท้าทาย หรือย้อนกลับการตัดสินใจของเอเจนต์ได้หรือไม่

โหมดการทำงานที่แตกต่างกันก็มีความสำคัญเช่นกัน ตัวแทนที่แนะนำการกระทำเพื่อขอการอนุมัติสร้างความเสี่ยงที่แตกต่างจากตัวแทนที่สามารถแยกระบบโดยอัตโนมัติ ปิดการใช้งานบัญชี หรือเปลี่ยนแปลงการควบคุมความปลอดภัยได้

ระบบไม่ได้สำเร็จเพียงเพราะตัวตรวจจับพื้นฐานของมันระบุการโจมตี หากมันสร้างคิวที่เข้าใจยาก ซ่อนหลักฐานสำคัญ แนะนำการตอบสนองที่ผิดพลาด หรือทำการกระทำที่ทำลายกระบวนการทำงานโดยรวมแล้ว ระบบก็ถือว่าล้มเหลว การทดสอบอิสระควรวัดประสิทธิภาพรวมของเทคโนโลยี ส่วนประกอบอัตโนมัติ และผู้ใช้ที่คาดว่าจะใช้งาน

หนึ่งในความเสี่ยงของการใช้มาตรฐานความปลอดภัยที่กำหนดไว้ล่วงหน้าคือผู้จำหน่ายอาจปรับผลิตภัณฑ์ให้เหมาะสมกับการทดสอบโดยเฉพาะ วิธีใดที่การทดสอบอิสระจะยังคงสามารถทำซ้ำได้และเป็นธรรม ในขณะเดียวกันก็ต้องสร้างความไม่แน่นอนเพียงพอเพื่อเปิดเผยว่าผลิตภัณฑ์ทำงานอย่างไรต่อการโจมตีที่ไม่คุ้นเคย?

การทำซ้ำได้ไม่จำเป็นต้องให้ผู้เข้าร่วมทราบคำถามของการสอบล่วงหน้า

การทดสอบที่เชื่อถือได้ควรเผยแพร่วิธีการ สภาพแวดล้อม หลักการให้คะแนน การกำหนดค่าผลิตภัณฑ์และข้อกำหนดของหลักฐาน ผู้จำหน่ายควรเข้าใจกฎและมีโอกาสที่เป็นธรรมในการตรวจสอบว่าผลิตภัณฑ์ของตนทำงานอย่างถูกต้อง อย่างไรก็ตาม แคมเปญการโจมตีที่แม่นยำ, payloads และบางเส้นทางการโจมตีควรยังคงไม่เปิดเผยจนกว่าจะทำการทดสอบ

ตัวอย่างเช่น ใน PIVOT เราไม่เปิดเผยว่าจะทำซ้ำกลุ่มการโจมตีใดจนกว่าจะเสร็จสิ้นการทดสอบ เป้าหมายจริงไม่ได้รับการแจ้งเตือนล่วงหน้าก่อนที่การโจมตีจะเริ่มต้น!

เราสามารถรวมแกนมาตรฐานที่สนับสนุนการเปรียบเทียบตามเวลาเข้ากับความแปรผันที่ไม่คุ้นเคยซึ่งทดสอบความสามารถทั่วไป การกำหนดฐานและช่วงเงียบที่ซ่อนอยู่สามารถบ่งบอกพฤติกรรมของผลิตภัณฑ์ก่อนการโจมตี การกำหนดค่าควรถูกควบคุม บันทึกต้องถูกเก็บรักษา และการอ้างอิงใด ๆ ควรตรวจสอบกับหลักฐานของผู้ทดสอบเอง

ความเป็นธรรมหมายถึงการใช้กฎและมาตรฐานของหลักฐานเดียวกันกับผู้เข้าร่วมทุกคน ไม่ได้หมายถึงการทำซ้ำการโจมตีอย่างคาดเดาได้จนผู้จำหน่ายสามารถจำแนกเกณฑ์มาตรฐานแทนที่จะจำแนกภัยคุกคาม

นอกจากนี้ ความโปร่งใสอย่างรุนแรงช่วยให้ผู้จำหน่ายสามารถทำซ้ำการโจมตีได้ ซึ่งสำคัญหากพวกเขาต้องการแก้ไขปัญหาที่พบ เช่น การล้มเหลวในการตรวจจับหรือปกป้องจากภัยคุกคาม SE Labs โดยพื้นฐานแล้วฝึกฝนลูกค้าของตนเมื่อเจอปัญหา

ตัวแทนความปลอดภัยอัตโนมัตือนำมาซึ่งประเภทความเสี่ยงที่แตกต่าง เนื่องจากการตัดสินใจที่ผิดพลาดอาจกระตุ้นการดำเนินการแก้ไขที่ไม่จำเป็นหรือแม้กระทั่งทำให้เกิดความเสียหาย การทดสอบควรวัดผลบวกเท็จ การให้เหตุผลที่ไม่ถูกต้อง และการกระทำอัตโนมัติที่อาจเป็นอันตรายพร้อมกับความแม่นยำของการตรวจจับแบบดั้งเดิมหรือไม่?

การทดสอบผลบวกเท็จแบบดั้งเดิมเป็นเพียงชั้นแรกเท่านั้น กับตัวแทนอัตโนมัติ เราต้องแยกแยะระหว่างการแจ้งเตือนเท็จ ข้อสรุปที่ไม่มีการสนับสนุน และการกระทำที่ไม่ถูกต้อง แต่ละอย่างมีผลกระทบที่เป็นไปได้แตกต่างกัน

การทดสอบควรเปิดเผยระบบต่อกิจกรรมที่ถูกต้องซึ่งคล้ายกับพฤติกรรมอันเป็นอันตราย รวมถึงหลักฐานที่ไม่สมบูรณ์ ไม่ชัดเจน หรือทำให้เข้าใจผิด หากตัวแทนรับข้อมูลที่ไม่เชื่อถือได้ การทดสอบควรตรวจสอบด้วยว่าข้อมูลนั้นอาจมีอิทธิพลต่อการตัดสินใจของมันโดยไม่เหมาะสมหรือไม่

การให้เหตุผลควรได้รับการประเมินโดยอิงว่าข้อสรุปได้รับการสนับสนุนจากหลักฐานที่มีหรือไม่ ไม่ใช่โดยความสมเหตุสมผลหรือความมั่นใจของคำอธิบาย สำหรับการกระทำอัตโนมัติ เราควรวัดขอบเขต ความสัดส่วน การใช้สิทธิ์ การควบคุมการอนุมัติ ความสามารถในการตรวจสอบและการย้อนกลับ

การให้คะแนนต้องสะท้อนผลลัพธ์ การแจ้งเตือนที่ไม่จำเป็นเป็นเรื่องไม่สะดวก; การปิดการใช้งานบัญชีสำคัญหรือการแยกระบบที่สำคัญอาจทำให้องค์กรหยุดชะงัก ดังนั้นมาตรการความปลอดภัยที่มีประโยชน์จึงต้องพิจารณาทั้งความถี่ของข้อผิดพลาดและความเสียหายที่แต่ละข้อผิดพลาดอาจก่อให้เกิด

แม้จะพูดอย่างนั้น บางครั้งลูกค้าเลือกนโยบายที่ทำให้เกิดปัญหา ซึ่งไม่จำเป็นต้องเป็นความผิดของผู้จำหน่ายความปลอดภัย

AI เชิงสร้างสรรค์และโมเดลโอเพนซอร์สที่มีความสามารถเพิ่มขึ้นกำลังลดอุปสรรคในการอัตโนมัติกระบวนการบางส่วนของการโจมตี คุณคาดว่า AI จะทำให้การโจมตีไซเบอร์มีความซับซ้อนพื้นฐานมากขึ้น หรืออันตรายที่ใหญ่กว่า คือผู้โจมตีจะสามารถดำเนินการในระดับและความเร็วที่สูงขึ้นอย่างมากหรือไม่?

ความคาดหมายของฉันคืออันตรายที่ใกล้เคียงที่สุดคือขนาด ความเร็วและต้นทุนที่ลดลง

AI สามารถช่วยผู้โจมตีรวบรวมข้อมูล ปรับแต่งการหลอกลวงทางสังคม แก้ไขโค้ด และประสานส่วนต่าง ๆ ของแคมเปญ การโจมตีบางประเภทจะกลายเป็นซับซ้อนมากขึ้นโดยเฉพาะเมื่อ AI ช่วยเชื่อมโยงเทคนิคที่มีอยู่หรือปรับให้เข้ากับเป้าหมายเฉพาะ อย่างไรก็ตาม AI ไม่ได้ขจัดความต้องการในการเข้าถึง ใบรับรอง จุดอ่อนที่สามารถโจมตีได้ หรือข้อผิดพลาดของผู้ป้องกัน

AI ยังไม่เก่งในการสร้าง exploit ที่เชื่อถือได้ ซึ่งเป็นเรื่องยากแม้สำหรับมนุษย์ที่มีทักษะ ดังนั้นจึงลดความเป็นไปได้ของการโจมตีที่ซับซ้อนพื้นฐานมากขึ้นในความเห็นของฉันอย่างแรงกล้า

การเปลี่ยนแปลงที่ใหญ่กว่า คือกิจกรรมที่ก่อนหน้านี้ต้องใช้เวลา ทักษะ หรือทีมคนหลายคน สามารถทำได้เร็วขึ้นและครอบคลุมเป้าหมายมากขึ้น AI สามารถยกระดับความสามารถของผู้โจมตีทั่วไปในขณะที่ทำให้ผู้โจมตีที่มีความสามารถสามารถดำเนินการหลายอย่างพร้อมกันได้

แม้ว่าเทคนิคการโจมตีพื้นฐานจะไม่ได้เป็นการปฏิวัติ การนั้นก็ยังมีความสำคัญ ความอันตรายไม่ได้จำเป็นต้องเป็นรูปแบบการโจมตีไซเบอร์ใหม่ทั้งหมด แต่เป็นการที่การโจมตีที่คุ้นเคยกลายเป็นเร็วขึ้น ราคาถูกลง ปรับให้เป็นส่วนบุคคลมากขึ้นและจำนวนมากขึ้นอย่างมาก

เมื่อเอเย่นต์ AI ทั้งด้านการป้องกันและการโจมตีมีความเป็นอิสระมากขึ้น สิ่งที่สภาพแวดล้อมการทดสอบความปลอดภัยไซเบอร์ที่เชื่อถือได้ต้องมีลักษณะอย่างไรเพื่อให้ทันกับการเปลี่ยนแปลง? เราอาจถึงจุดที่ผลิตภัณฑ์ความปลอดภัยต้องเผชิญการท้าทายอย่างต่อเนื่องจากศัตรู AI ที่ปรับตัวได้ แทนที่จะประเมินเพียงผ่านการทดสอบความปลอดภัยเป็นระยะ?

สภาพแวดล้อมที่เชื่อถือได้จำเป็นต้องคล้ายกับองค์กรที่ทำงานจริง มากกว่าการเป็นเพียงกลุ่มเป้าหมายแยกส่วน ควรรวมถึงอุปกรณ์ปลายทาง ระบบยืนยันตัวตน อีเมล เครือข่าย บริการคลาวด์ ผู้ใช้ที่สมจริงและกิจกรรมธุรกิจปกติ นอกจากนี้ยังต้องมีเครื่องมือวัดผลครบถ้วนเพื่อให้สามารถสังเคราะห์การตัดสินใจและผลลัพธ์ทุกอย่างได้

ศัตรูที่ปรับตัวได้อาจได้รับมอบหมายเป้าหมายและขอบเขต แล้วให้เลือกเส้นทางตามสิ่งที่ค้นพบและการตอบสนองของผลิตภัณฑ์ป้องกัน การทดสอบยังคงต้องมีเงื่อนไขเริ่มต้นที่ควบคุมได้ คำอธิบายที่เชื่อถือได้เกี่ยวกับสิ่งที่เกิดขึ้นจริง และความสามารถในการเล่นซ้ำเหตุการณ์สำคัญ หากไม่มีสิ่งเหล่านี้ การทดสอบแบบปรับตัวอาจดูน่าประทับใจแต่ขาดความแข็งแกร่งทางวิทยาศาสตร์

ฉันคาดว่าการทดสอบจะกลายเป็นต่อเนื่องมากขึ้น โดยเฉพาะเมื่อผลิตภัณฑ์ โมเดล และนโยบายสามารถเปลี่ยนแปลงบ่อยครั้ง อย่างไรก็ตาม ความท้าทายอย่างต่อเนื่องควรเสริมให้กับการทดสอบเปรียบเทียบเป็นระยะ ไม่ใช่แทนที่องค์กรต้องการทั้งสองอย่าง: เกณฑ์มาตรฐานที่ควบคุมได้เช่น PIVOT ที่สนับสนุนความรับผิดชอบและการเปรียบเทียบ และการประเมินแบบปรับตัวอย่างต่อเนื่องที่เปิดเผยว่าระบบทำงานอย่างไรเมื่อภัยคุกคามและผลิตภัณฑ์เองเปลี่ยนแปลง

ฉันคิดว่าเราควรกังวลมากกว่ากับความจริงที่มนุษย์ที่ไม่มีทักษะมากสามารถเจาะระบบและเครือข่ายได้ มากกว่าหุ่นยนต์ที่สร้างเทคโนโลยีการโจมตีไซเบอร์รุ่นต่อไป

ขอบคุณสำหรับการสัมภาษณ์ที่ยอดเยี่ยม ผู้อ่านที่ต้องการเรียนรู้เพิ่มเติมควรเยี่ยมชม SE Labs.