Команди безпеки виправляють неправильні загрози. Ось як виправити курс у добу атак штучного інтелекту

Кібератаки вже не є ручними, лінійними операціями. Застосування штучного інтелекту в наступальних стратегіях дозволяє нападникам розробляти поліморфний шкідливий код, автоматизувати розвідку та обходити захист швидше, ніж багато команд безпеки можуть реагувати. Це не майбутній сценарій, а дійсність.

У той же час більшість засобів захисту безпеки все ще реагують. Вони покладаються на ідентифікацію відомих індикаторів компрометації, застосування історичних моделей нападів та маркування ризиків на основі оцінок тяжкості, які можуть не відображати справжню картину загроз. Команди перебувають під навалом обсягу, а не інсайтів, створюючи ідеальну атмосферу для успіху нападників.

Устаріла думка галузі, побудована навколо переліків вимог, періодичних оцінок та фрагментованого інструментарію, стала ліабілітом. Команди безпеки працюють більше ніж будь-коли, проте часто виправляють неправильні речі.

Чому існує ця прогалина

Індустрія кібербезпеки довгий час спирається на оцінки ризиків, такі як CVSS, для пріоритезації уразливостей. Однак оцінки CVSS не відображають реальної ситуації інфраструктури організації, наприклад, чи є уразливість відкритою, досяжною або експлуатованою в межах відомого шляху нападу.

Внаслідок цього команди безпеки часто витрачають цінний час на виправлення неексплуатованих проблем, тоді як нападники знають, як об’єднати невидимі слабкості та обійти засоби захисту.

Ситуацію ускладнює фрагментований характер стека безпеки. Системи SIEM, засоби виявлення та реагування на загрози на рівні кінцевих точок (EDR), інструменти управління уразливостями (VM) та платформи управління позиченнями в хмарі (CSPM) працюють незалежно. Ця ізольована телеметрія створює сліпі місця, яких нападники, що використовують штучний інтелект, все частіше використовують.

Розпізнавання на основі підписів втрачає свою цінність

Одна з найбільш тривожних тенденцій сучасної кібербезпеки – це зменшення цінності традиційних методів виявлення. Статичні підписи та сигнали, засновані на правилах, були ефективними, коли загрози слідували передбачуваним моделям. Проте атаки, створені штучним інтелектом, не підкоряються цим правилам. Вони мутують код, уникають виявлення та адаптуються до засобів захисту.

Розгляньте поліморфний шкідливий код, який змінює свою структуру з кожним розгортанням. Або електронні листи з фішингом, створені штучним інтелектом, які імітують стиль спілкування виконавців з тривожною точністю. Ці загрози можуть повністю обійти засоби захисту, засновані на підписах.

Якщо команди безпеки продовжують покладатися на ідентифікацію того, що вже було побачено, вони залишаться на одному крок позаду противників, які постійно інновують.

Регуляторний тиск зростає

Проблема не лише технічна, а й регуляторна. Комісія з цінних паперів і бірж США (SEC) недавно ввела нові правила щодо розкриття інформації про кібербезпеку, які вимагають від публічних компаній повідомляти про матеріальні інциденти кібербезпеки та описувати свої стратегії управління ризиками в режимі реального часу. Аналогічно, Директива Європейського Союзу про цифрову оперативну стійкість (DORA) вимагає переходу від періодичних оцінок до безперервного, валідованого управління кіберризиками.

Більшість організацій не готові до цього переходу. У них немає можливості надавати оцінки своєї поточної ефективності засобів захисту проти сучасних загроз, особливо коли штучний інтелект продовжує розвивати ці загрози з швидкістю машин.

Пріоритезація загроз порушена

Основна проблема полягає в тому, як організації пріоритезують свою роботу. Більшість все ще покладається на статичні системи оцінки ризиків для визначення того, що потрібно виправити та коли. Ці системи рідко враховують середовище, в якому існує уразливість, чи є вона відкритою, досяжною або експлуатованою.

Це призвело до того, що команди безпеки витрачають значний час і ресурси на виправлення уразливостей, які не можуть бути атаковані, тоді як нападники знають, як об’єднати низькорейтингові, невидимі проблеми, щоб отримати доступ. Традиційна модель “знай і виправ” стала неефективним і часто неефективним способом управління кіберризиками.

Безпека повинна еволюціонувати від реакції на сигнали до розуміння поведінки противників – того, як нападник рухається через систему, які засоби захисту він може обійти, і де лежать справжні слабкості.

Кращий шлях вперед: проактивна, орієнтована на шлях нападу оборона

Що якщо команди безпеки могли б безперервно симулювати, як реальні нападники спробують проникнути в їхнє середовище, і виправляти лише те, що найбільш важливо?

Цей підхід, часто званий безперервною валідациєю безпеки або симуляцією шляху нападу, набуває популярності як стратегічний зсув. Замість того, щоб розглядати уразливості в ізоляції, він відображає, як нападники можуть об’єднати слабкості конфігурації, проблеми ідентифікації та уразливі активи, щоб досягти критичних систем.

Симулюючи поведінку противників та валідуючи засоби захисту в режимі реального часу, команди можуть зосередитися на експлуатованих ризиках, які дійсно піддають бізнес ризику, а не лише на тих, які позначені інструментами відповідності.

Рекомендації для CISO та лідерів безпеки

Ось, на що команди безпеки повинні пріоритезувати сьогодні, щоб залишатися попереду атак, створених штучним інтелектом:

• Реалізуйте безперервні симуляції нападів Використовуйте автоматизовані, штучно-інтелектуальні інструменти імітації противників, які тестують ваші засоби захисту так, як це роблять реальні нападники. Ці симуляції повинні бути безперервними, а не лише проводитися під час щорічних тренувань червоних команд.
• Пріоритезуйте експлуатованність над рівнем ризику Перейдіть за межі оцінок CVSS. Інтегруйте аналіз шляху нападу та контекстну валідацию до ваших моделей ризиків. Запитайте: Чи є ця уразливість досяжною? Чи може вона бути експлуатованою сьогодні?
• Уніфікуйте телеметрію безпеки Об’єднайте дані з систем SIEM, CSPM, EDR та VM у централізований, корельований вигляд. Це дозволяє проводити аналіз шляху нападу та покращує вашу здатність виявляти складні, багатокрокові вторгнення.
• Автоматизуйте валідацию захисту Перейдіть від ручної інженерії виявлення до штучно-інтелектуальної валідації. Використовуйте машинне навчання, щоб забезпечити, що ваші стратегії виявлення та реагування еволюціонують разом із загрозами, яких вони призначені зупинити.
• Модернізуйте звітність про кіберризик Замініть статичні панелі ризиків на оцінки експозиції в режимі реального часу. Схожіться з框ами, такими як MITRE ATT&CK, щоб продемонструвати, як ваші засоби захисту відповідають реальним поведінкам загроз.

Організації, які переходять на безперервну валідацию та пріоритезацію експлуатованності, можуть очікувати вимірних покращень у декількох вимірах операцій безпеки. Зосереджуючись лише на діючих, високоефективних загрозах, команди безпеки можуть зменшити втому від сигналів та ліквідувати відволікання, спричинені хибними позитивами або неексплуатованими уразливостями. Ця зосереджена увага дозволяє швидше та більш ефективне реагування на реальні атаки, суттєво зменшуючи час перебування та покращуючи ізоляцію інцидентів.

Крім того, цей підхід підвищує відповідність вимогам регулювання. Безперервна валідация задовольняє зростаючі вимоги з боку框ів, таких як правила розкриття інформації про кібербезпеку Комісії з цінних паперів і бірж США та регуляція DORA Європейського Союзу, які вимагають видимості кіберризиків в режимі реального часу. Можливо, найважливіше, що ця стратегія забезпечує більш ефективне розподілення ресурсів та дозволяє командам інвестувати свій час і увагу там, де це найбільш важливо, а не розпорошувати їх по великій поверхні теоретичних ризиків.

Час адаптуватися зараз

Доба атак, створених штучним інтелектом, вже не є передбаченням, а реальністю. Нападники використовують штучний інтелект, щоб знайти нові шляхи проникнення. Команди безпеки повинні використовувати штучний інтелект, щоб закрити ці шляхи.

Це не про те, щоб додавати більше сигналів або виправляти швидше. Це про те, щоб знати, які загрози мають значення, валідувати захист безперервно та узгоджувати стратегію з реальною поведінкою нападників. Тільки тоді захисники можуть знову здобути верх у світі, де штучний інтелект переписує правила взаємодії.