Francis Guibernau, Kỹ sư Nghiên cứu Đối thủ Senior tại AttackIQ – Loạt Phỏng vấn

Francis Guibernau là một Kỹ sư Nghiên cứu Đối thủ Senior và thành viên của Đội Nghiên cứu Đối thủ (ART) tại AttackIQ. Francis thực hiện nghiên cứu và phân tích mối đe dọa sâu sắc để thiết kế và tạo ra các mô phỏng đối thủ tinh vi và thực tế. Ông cũng điều phối Dự án Trí tuệ Mối đe dọa mạng (CTI), tập trung vào nghiên cứu, phân tích, theo dõi và ghi chép lại các đối thủ, gia đình malware và sự cố an ninh mạng. Francis có kinh nghiệm rộng rãi trong lĩnh vực trí tuệ đối thủ, bao gồm cả mối đe dọa từ các quốc gia và tội phạm mạng, cũng như đánh giá và quản lý lỗ hổng, sau khi làm việc tại Deloitte và BNP Paribas.

AttackIQ là một công ty an ninh mạng giúp các tổ chức chuyển từ việc đưa ra giả định về khả năng phòng thủ của họ sang việc kiểm tra liên tục và dựa trên dữ liệu. Bằng cách mô phỏng các chiến thuật của đối thủ sử dụng mô hình MITRE ATT&CK và cung cấp kiểm tra tự động, an toàn cho sản xuất trên các môi trường đám mây, kết hợp và tại chỗ, công ty giúp phát hiện các lỗ hổng an ninh trong kiểm soát, quy trình và con người — cho phép các nhà lãnh đạo ưu tiên việc khắc phục, chứng minh đầu tư và chuyển từ phản ứng mạng tích cực sang khả năng phục hồi chủ động.

Bạn đã trở thành một phần của lĩnh vực an ninh mạng như thế nào, và tại sao bạn lại chọn chuyên về Trí tuệ Mối đe dọa mạng? Làm thế nào CTI đã định hình sự hiểu biết của bạn về cách các mối đe dọa tiến hóa trên cả hệ sinh thái quốc gia và tội phạm?

Con đường của tôi vào lĩnh vực an ninh mạng không được lên kế hoạch; nó xảy ra bởi cơ hội hơn là thiết kế. Nó bắt đầu khi tôi tham gia một tổ chức an ninh mạng trưởng thành, nơi tôi làm việc trên hai lĩnh vực chính: Đánh giá và Quản lý Lỗ hổng, và Trí tuệ Mối đe dọa mạng (CTI). Thông qua Quản lý Lỗ hổng, tôi đã có được quan điểm của người phòng thủ — đảm bảo rằng các hệ thống được duy trì đúng cách, vá và có khả năng chống lại các cuộc tấn công. Trong CTI, tôi đã áp dụng tư duy của kẻ tấn công, phân tích động cơ, mục tiêu và khả năng của họ. Đây là nơi tôi đã trở nên quen thuộc sâu sắc với Khung MITRE ATT&CK, mà tôi đã sử dụng để ghi chép lại Chiến thuật, Kỹ thuật và Thủ tục (TTPs) của đối thủ và định nghĩa các cuốn sách chiến dịch của họ.

Kinh nghiệm song song này đã mang lại cho tôi sự hiểu biết toàn diện về cách những người phòng thủ và kẻ tấn công tương tác trong một hệ sinh thái liên tục thay đổi. CTI nhanh chóng trở thành một niềm đam mê cá nhân. Mục đích chiến lược của nó là hiểu cách các đối thủ hoạt động, tiến hóa và ảnh hưởng lẫn nhau cảm thấy gần như được định sẵn. Tôi may mắn được tiếp tục làm việc trong lĩnh vực này, quan sát và phân tích sự phức tạp ngày càng tăng của cảnh quan mối đe dọa toàn cầu, nơi các đối thủ được nhà nước tài trợ và tội phạm mạng, mặc dù có động cơ khác nhau, ngày càng giao thoa và định hình hoạt động của nhau.

Nhìn lại, dự án hoặc kinh nghiệm nào đã đánh dấu một bước ngoặt trong sự nghiệp của bạn và định hình quan điểm của bạn trong lĩnh vực an ninh mạng? 

Một khoảnh khắc quan trọng đến khi tôi bắt đầu nghiên cứu và ghi chép lại các TTPs mà các đối thủ và malware sử dụng để phát hiện và tránh các môi trường được kiểm soát. Nỗ lực này đã trở thành nền tảng cho “Environment Awareness,” một dự án nghiên cứu mà tôi đã thực hiện cùng với đồng nghiệp và bạn bè Ayelen Torello, với người mà bây giờ tôi có cơ hội làm việc cùng tại AttackIQ. Nghiên cứu của chúng tôi tập trung vào việc lập danh mục các phương pháp khác nhau mà các đối thủ sử dụng để nhận ra và tránh các môi trường được sandbox hoặc ảo hóa, cho phép họ không bị phát hiện trong quá trình phân tích tự động. Bản trắng kết quả sau đó đã được áp dụng làm nền tảng cho kỹ thuật “T1497 – Virtualization/Sandbox Evasion” trong Khung MITRE ATT&CK.

Trong quá trình điều tra, tôi đã chứng kiến sự tiến hóa liên tục của các đối thủ, với các payload của họ trở nên tinh vi hơn và khả năng tránh hệ thống phát hiện tự động của họ được cải thiện, tăng cơ hội thành công trong việc xâm phạm các mục tiêu thực. Kinh nghiệm này đã định hình cơ bản sự hiểu biết của tôi về khả năng thích nghi của đối thủ và chu kỳ đổi mới liên tục định nghĩa các mối đe dọa hiện đại.

Kể từ khi bạn gia nhập AttackIQ vào năm 2021 với tư cách là Kỹ sư Nghiên cứu Đối thủ và dẫn đầu việc thành lập Sáng kiến Trí tuệ Mối đe dọa mạng, trách nhiệm của bạn đã thay đổi như thế nào, và bạn làm thế nào để cân bằng việc điều phối Dự án CTI, nghiên cứu mối đe dọa chiến lược và phát triển mô phỏng đối thủ? 

Xây dựng Chương trình Trí tuệ Mối đe dọa mạng tại AttackIQ là một nhiệm vụ phức tạp. Chúng tôi cần đạt được khả năng hiển thị trên một phổ rộng các mối đe dọa một cách nhanh chóng. Với tư cách là nhà cung cấp dịch vụ,焦 điểm của chúng tôi không thể bị giới hạn ở một lĩnh vực, khu vực hoặc quốc gia duy nhất. Thay vào đó, chúng tôi cần một cơ sở kiến thức bao gồm cả đối thủ và malware, từ các nhóm được nhà nước tài trợ đến các nhóm tội phạm mạng, cũng như malware, từ các gia đình phổ thông đến các gia đình được xây dựng tùy chỉnh. Khi nền tảng được thiết lập, chúng tôi bắt đầu tập trung vào những gì tôi gọi là “Heavyweights”: các thực thể có hoạt động cao và có tác động lớn, ảnh hưởng đến nhiều lĩnh vực, khu vực và quốc gia. Cách tiếp cận này cho phép chúng tôi ưu tiên các mối đe dọa có liên quan nhất đến cơ sở khách hàng của chúng tôi.

Được cho rằng cảnh quan mối đe dọa đang thay đổi nhanh chóng, việc cân bằng thu thập thông tin, phân tích mối đe dọa và mô phỏng đối thủ vốn phức tạp. Mỗi loại mô phỏng đều có những thách thức riêng. Mặt khác, mô phỏng của các quốc gia có thể tinh vi, được thiết kế cho các mục tiêu cụ thể, được đặc trưng bởi thời gian lưu trú kéo dài và được thúc đẩy bởi động cơ chính trị. Việc tái tạo hành vi của chúng đòi hỏi phải phân tích sâu sắc, kiên nhẫn và chính xác, khiến chúng trở nên thách thức và thú vị để mô phỏng. Mặt khác, mô phỏng tội phạm mạng diễn ra nhanh chóng và mang tính cơ hội. Những đối thủ này giới thiệu các kỹ thuật mới, hoạt động với thời gian lưu trú ngắn hơn và thường ảnh hưởng đến nhiều lĩnh vực và khu vực. Việc sử dụng các công cụ và malware chung, cùng với các TTPs chồng chéo giữa các nhóm, khiến cho các cuốn sách chiến dịch của họ trở nên năng động và thú vị để tái tạo.

Việc tìm kiếm sự cân bằng là một quá trình chiến lược. Chúng tôi căn chỉnh ưu tiên nghiên cứu và mô phỏng với yêu cầu của khách hàng và các sự phát triển toàn cầu, bao gồm căng thẳng địa chính trị, lỗ hổng quan trọng mới được tiết lộ và các khuyến cáo từ các tổ chức quốc tế như Cơ quan An ninh Mạng và Cơ sở hạ tầng (CISA) và Trung tâm An ninh Mạng Quốc gia (NCSC). Cuối cùng, công việc này là một nỗ lực của nhóm. Đội Nghiên cứu Đối thủ (ART) bao gồm những cá nhân tài năng đáng kinh ngạc, những đóng góp của họ làm cho các mô phỏng thực tế và an toàn trở nên khả thi. CTI chỉ là một phần của quá trình; việc chuyển đổi thông tin thành mô phỏng đối thủ được kiểm soát và thực tế là một thách thức phức tạp đòi hỏi sự hợp tác, chính xác và cam kết chung.

Trong Đội Nghiên cứu Đối thủ của AttackIQ, nghiên cứu được cấu trúc và ưu tiên như thế nào, và những thách thức quan trọng nhất trong việc chuyển đổi thông tin về mối đe dọa thành mô phỏng đối thủ hành động là gì?

Một số yếu tố ảnh hưởng đến cách chúng tôi ưu tiên nghiên cứu trong Đội Nghiên cứu Đối thủ của AttackIQ. Tập trung chính của chúng tôi là vào việc mô phỏng các đối thủ gây ra rủi ro lớn nhất cho phân khúc khách hàng lớn nhất của chúng tôi, đảm bảo rằng tài nguyên được tối ưu hóa và tập trung vào các mối đe dọa có tác động rộng lớn trước khi giải quyết các mối đe dọa cụ thể.

Phạm vi này bao gồm cả đối thủ và gia đình malware được quan sát trong tự nhiên. Chúng tôi liên tục theo dõi một loạt các thực thể, với việc ưu tiên được thúc đẩy bởi nhu cầu hoạt động chứ không phải các chỉ đạo quy định. Các mối đe dọa mới nổi thường xuyên thúc đẩy việc tái ưu tiên nhanh chóng. Căng thẳng địa chính trị gia tăng, báo cáo tăng về một lỗ hổng quan trọng cụ thể hoặc các khuyến cáo tập trung của CERT nhanh chóng nâng cao các chủ đề lên hàng đầu của danh sách.

Một trong những thách thức chính của chúng tôi là duy trì sự ưu tiên nhất quán và cân bằng tài nguyên để cung cấp mô phỏng thực tế và tinh vi trong khi đảm bảo hiệu quả và khả năng mở rộng trên các chu kỳ phát triển. Chúng tôi đặt sự nhấn mạnh mạnh mẽ vào việc phát triển các hành vi có thể tái sử dụng rộng rãi. Bằng cách xác định các điểm chung giữa các đối thủ và gia đình malware, chúng tôi tập trung vào việc sao chép các kỹ thuật và thủ tục thường xuất hiện nhất quán trên nhiều cuốn sách chiến dịch. Những điều này sau đó có thể được điều chỉnh và tích hợp vào các mô phỏng khác, cho phép sự linh hoạt và khả năng mở rộng lớn hơn. Cách tiếp cận này cho phép chúng tôi ưu tiên các hành vi có khả năng tái sử dụng và liên quan đến hoạt động cao hơn là đầu tư mạnh vào các triển khai hẹp, một lần.

Trong nghiên cứu RomCom gần đây của bạn, những điểm chuyển inflection quan trọng nào đã ảnh hưởng đến sự chuyển đổi của nó từ một cổng hậu cơ bản thành một nền tảng đa năng hỗ trợ cả gián điệp và tống tiền tài chính, và dưới những hoàn cảnh nào thì malware chuyển từ một payload độc lập thành một nền tảng đầy đủ? 

Trường hợp của RomCom đặc biệt thú vị vì nó xuất hiện lần đầu tiên vào tháng 5 năm 2022 như một cổng hậu tương đối đơn giản được thiết kế chủ yếu cho truy cập từ xa và thu thập dữ liệu cơ bản. Điểm chuyển inflection quan trọng đầu tiên xảy ra chỉ một tháng sau đó với việc phát hành RomCom 2.0, đã giới thiệu các cải tiến đáng kể phản ánh một công cụ tinh vi hơn, hướng đến ẩn danh và tối ưu hóa cho các hoạt động gián điệp và lưu trú lâu dài. Những cập nhật này đã cải thiện đáng kể khả năng thu thập và thu hồi dữ liệu, cho thấy một sự thay đổi rõ ràng hướng đến một trường hợp sử dụng chiến lược hơn.

Điểm chuyển inflection tiếp theo đến với việc giới thiệu RomCom 3.0 vào tháng 2 năm 2023, đã áp dụng một kiến trúc mô-đun được cấu trúc thành ba thành phần cốt lõi. Nó đại diện cho một bước nhảy vĩ đại về tính linh hoạt và chức năng, hỗ trợ 42 lệnh khác nhau, nhiều trong số đó là các biến thể tinh vi của nhau, nhấn mạnh sự tập trung của vận hành vào sự thích nghi và tinh chỉnh hoạt động.

Các phiên bản sau tiếp tục tập trung vào việc tinh chỉnh khả năng và tăng cường sự ổn định hoạt động. Theo thời gian, RomCom đã tiến hóa từ một cổng hậu được xây dựng cho mục đích sang một công cụ hàng hóa được các nhóm tội phạm mạng sử dụng, đã tích hợp nó vào các cuốn sách chiến dịch của họ để kích hoạt và hỗ trợ các hoạt động tội phạm đa dạng. Sự tiến hóa này được chứng minh bằng việc tích hợp RomCom với các hoạt động tống tiền của Cuba, Industrial Spy và Underground, rõ ràng cho thấy nó đã trở thành một phần của hệ sinh thái đối thủ rộng lớn hơn như là cơ sở hạ tầng được chia sẻ. Sự áp dụng rộng rãi này cuối cùng đã thu hút sự chú ý của các đối thủ được nhà nước tài trợ, đặc biệt là những người được liên kết với lợi ích của Nga, những người bắt đầu sử dụng RomCom như một nền tảng đa năng hỗ trợ cả gián điệp và các hoạt động ảnh hưởng chiến lược.

Sự hội tụ này đã xác nhận đánh giá của chúng tôi rằng ranh giới giữa các hoạt động của quốc gia và tội phạm mạng đang ngày càng bị xóa mờ. Sự chuyển đổi từ payload độc lập sang nền tảng đầy đủ xảy ra chính xác tại điểm giao này, khi nó bắt đầu được sử dụng cho các mục tiêu chiến lược và tinh vi hơn, mở rộng ngoài mục đích cơ hội hoặc lợi ích tài chính. Tại giai đoạn đó, nó ngừng phục vụ một mục đích chiến thuật duy nhất và thay vào đó cho phép nhiều mục tiêu hoạt động, đôi khi mâu thuẫn, đồng thời. Điều này cho thấy rằng các vận hành viên xem payload như một cơ sở hạ tầng có thể tái sử dụng chứ không phải là một vũ khí được xây dựng cho mục đích.

Bạn đã quan sát thấy sự hội tụ ngày càng tăng giữa hoạt động của quốc gia và tội phạm mạng. Từ quan điểm của bạn, những yếu tố chính nào đang thúc đẩy sự hội tụ này, và làm thế nào những người phòng thủ nên suy nghĩ khác biệt khi đánh giá attribution và động cơ trong những trường hợp này? 

Sự hội tụ giữa hoạt động của quốc gia và tội phạm mạng chủ yếu được thúc đẩy bởi các yếu tố thực tế từ cả hai phía. Đối với các đối thủ được nhà nước tài trợ, mục tiêu là nhanh chóng có được các khả năng đã được xác thực và chứng minh trên chiến trường. Việc tận dụng các công cụ hoặc cơ sở hạ tầng hiện có cho phép họ có được sự linh hoạt hoạt động mà không cần phải dành nhiều tài nguyên để phát triển các công cụ tùy chỉnh từ đầu. Nếu một payload là mạnh mẽ, hiệu quả và có sẵn, tại sao phải tái tạo nó? Ngược lại, đối với các vận hành viên tội phạm mạng, việc tiếp cận các nguồn lực và cơ sở hạ tầng cấp quốc gia, bao gồm cả thông tin, dữ liệu mục tiêu và kênh phân phối được bảo vệ, cho phép họ mở rộng khả năng một cách nhanh chóng trong khi nhận được sự hỗ trợ tài chính đảm bảo với rủi ro tối thiểu.

RomCom minh họa cho sự hội tụ này. Ban đầu, nó là một malware hàng hóa được thiết kế để hỗ trợ các hoạt động tống tiền, nhưng sau đó nó được áp dụng trong các hoạt động được liên kết với lợi ích chiến lược của Nga, nhắm vào các cơ quan chính phủ Ukraine, nhân viên quân sự, tổ chức nhân đạo và các thực thể liên kết với NATO. Đánh giá của chúng tôi cho thấy RomCom đã chuyển từ một công cụ thuần túy mang lại lợi ích tài chính sang một công cụ đa năng được sử dụng trong các hoạt động của quốc gia, hỗ trợ cả gián điệp và phá hoại. Điều này nhấn mạnh một nguyên tắc quan trọng: bất kể đối thủ có động cơ tài chính hay chính trị, tác động lên nạn nhân vẫn giống nhau. Trong bối cảnh này, phòng thủ thông tin về mối đe dọa trở nên thiết yếu. Các tổ chức nên ưu tiên việc kiểm tra và tăng cường khả năng phòng thủ của mình chống lại các hành vi thực tế và quan sát được, thay vì tập trung quá mức vào việc gán nhãn hoặc động cơ giả định.

Điều gì mà RomCom tiết lộ về sự hội tụ của động cơ tài chính và địa chính trị giữa các đối thủ, và làm thế nào bạn giải thích xu hướng ngày càng tăng của các nhóm được nhà nước tài trợ tận dụng cơ sở hạ tầng tội phạm mạng như công cụ ảnh hưởng hoặc khả năng phủ nhận? 

RomCom chứng minh sự tiến hóa của một nhóm tội phạm mạng đã duy trì sự nhất quán hoạt động lâu dài trong khi mở rộng mạng lưới liên kết của mình. Trong suốt hoạt động của mình, nó đã thiết lập các kết nối rõ ràng với nhiều gia đình tống tiền, đặc biệt là Cuba, Industrial Spy và Underground, phản ánh sự tích hợp sâu sắc trong hệ sinh thái tội phạm mạng. Theo thời gian, RomCom đã chuyển từ một cổng hậu được xây dựng cho mục đích sang một nền tảng đa năng có thể hỗ trợ cả hoạt động gián điệp và tống tiền. Việc nhắm mục tiêu vào các cơ quan chính phủ Ukraine, nhân viên quân sự, tổ chức nhân đạo và các quốc gia liên kết với NATO cho thấy sự tập trung hoạt động vào các mục tiêu chiến lược và ảnh hưởng của Nga. Điều này không phải là tội phạm cơ hội; nó đại diện cho việc thu thập thông tin và truy cập lâu dài có chủ đích. Cùng một malware, cơ chế phân phối và thủ tục hoạt động bây giờ hỗ trợ cả hoạt động gián điệp và tống tiền.

RomCom cũng nhấn mạnh một mô hình rộng lớn hơn của các đối thủ được nhà nước tài trợ áp dụng hoặc tái sử dụng cơ sở hạ tầng tội phạm mạng. Những công cụ này đã được chứng minh, hiệu quả và phục vụ như các công cụ tiện lợi cho các mục tiêu chiến lược rộng lớn hơn. Nga vẫn là một ví dụ chính: báo cáo rộng rãi chi tiết về các nhóm tội phạm liên kết với Nga hoạt động như các phần mở rộng thực sự của hoạt động nhà nước hoặc được sử dụng trực tiếp để hỗ trợ chúng. Điều này cho phép các quốc gia tận dụng các hoạt động có thể phủ nhận, đặc biệt là những hoạt động phá hoại hoặc hủy hoại, cho các vận hành viên tội phạm, hoặc hấp thụ công cụ và cơ sở hạ tầng của họ. Cuối cùng, động lực này tiết lộ một mối quan hệ có lợi lẫn nhau: các vận hành viên RomCom và các liên kết của họ có được ảnh hưởng và lợi ích tài chính, trong khi các quốc gia có được khả năng truy cập vào các tài sản có thể phủ nhận, hiệu quả và tự duy trì. Trong hệ sinh thái tội phạm mạng, sự trung thành là giao dịch, dựa trên ảnh hưởng và lợi ích.

Mô hình này cung cấp các lợi thế chiến lược rõ ràng, đó là lý do tại sao nó đang trở nên phổ biến. Các đối tác tội phạm cung cấp cho các quốc gia khả năng truy cập và khả năng mà không cần gán nhãn trực tiếp, và sự模糊 hoạt động này làm phức tạp các phản ứng ngoại giao và pháp lý. Các gia đình malware đã trở thành công cụ của nhà nước, tăng cường thay vì thay thế gián điệp truyền thống thông qua cơ sở hạ tầng tội phạm mạng có thể phủ nhận, có thể mở rộng và tự duy trì.

Malware hiện đại thường không giới hạn ở một ngành hoặc khu vực. Điều này gợi ý điều gì về ưu tiên hoặc hạn chế của kẻ tấn công, và có những ngành hoặc địa lý nào bạn nghĩ là “tiếp theo” cho việc mở rộng giữa các lĩnh vực? 

Mặc dù một số đối thủ có thể tự áp đặt các hạn chế, nhiều đối thủ coi sự cấp bách và khủng hoảng như các vector lây nhiễm bổ sung, tăng tốc độ xâm nhập và khai thác các điểm yếu trong phòng thủ. Động cơ ảnh hưởng đến mục tiêu nhưng hiếm khi hạn chế nó. Các nhóm có động cơ tài chính ưu tiên các mục tiêu có tiềm năng lợi nhuận cao hoặc phụ thuộc vào hoạt động, chẳng hạn như tài chính, bộ xử lý thanh toán và các doanh nghiệp lớn với yêu cầu thời gian hoạt động nghiêm ngặt. Ngược lại, các nhóm được nhà nước tài trợ tập trung vào các lĩnh vực hỗ trợ các mục tiêu địa chính trị, bao gồm chính phủ, quốc phòng và cơ sở hạ tầng quan trọng. Tuy nhiên, sự chồng chéo giữa các động cơ này ngày càng phổ biến.

Chiến thuật “phun và cầu nguyện” và sự phổ biến sẽ tiếp tục. Các mô hình Ransomware như một Dịch vụ (RaaS), công cụ hàng hóa và quét tự động cho phép các đối thủ có động cơ tài chính mở rộng tập hợp mục tiêu của họ một cách hung hãn. Bất kỳ dịch vụ nào được lộ ra, yếu về phòng thủ đều có khả năng nằm trong phạm vi. Mở rộng địa lý theo cả cơ hội và khoảng cách trưởng thành. Các khu vực đang trải qua chuyển đổi kỹ thuật số nhanh chóng nhưng vẫn còn thiếu trưởng thành về an ninh mạng hoặc khả năng ứng phó với sự cố là hấp dẫn cho việc xâm nhập ban đầu và mở rộng quy mô. Ngược lại, các mục tiêu có giá trị cao ở các khu vực được bảo vệ tốt thường bị ảnh hưởng thông qua việc thỏa hiệp chuỗi cung ứng hoặc truy cập được ủy quyền. Nhìn về phía trước, sự mở rộng có thể xảy ra ở các khu vực tiếp giáp với các cuộc xung đột địa chính trị đang diễn ra, nơi thu thập thông tin hỗ trợ lợi ích chiến lược và trưởng thành về phòng thủ vẫn còn tụt lại phía sau sự tinh vi của đối thủ.

Khi tạo ra các mô phỏng đối thủ thực tế, những thách thức kỹ thuật khó khăn nhất bạn gặp phải là gì? Làm thế nào bạn xác nhận rằng những mô phỏng này đủ đại diện cho các mối đe dọa thế giới thực, và có những hành vi nào vẫn còn khó để mô phỏng một cách tin cậy?

Một trong những thách thức kỹ thuật khó khăn nhất là đạt được độ trung thực của hành vi mà không giới thiệu rủi ro hoạt động. Các mô phỏng phải sao chép các hành vi thế giới thực một cách chính xác đủ để xác nhận phát hiện và kiểm soát, trong khi vẫn an toàn đủ để chạy trong môi trường sản xuất. Đó là một sự cân bằng liên tục. Các triển khai quá hung hãn rủi ro làm mất ổn định hệ thống hoặc tạo ra các kết quả dương tính hoặc âm tính giả nguy hiểm, trong khi các triển khai quá thận trọng mất đi độ trung thực và giá trị. Chúng tôi ưu tiên mô phỏng “điểm nghẽn” của đối thủ, các hành vi quan trọng quyết định liệu một cuộc xâm nhập có thành công hay không, và nơi khả năng hiển thị và phản ứng phòng thủ quan trọng nhất. Bằng cách tập trung độ trung thực vào các hành vi quyết định này, các mô phỏng cung cấp giá trị cao nhất cho cả phạm vi phát hiện và xác nhận khả năng phục hồi.

Một số kỹ thuật được giới hạn hoặc bỏ qua vì chúng tạo ra rủi ro không thể chấp nhận hoặc không thể được mô phỏng một cách trung thực mà không làm hỏng môi trường. Nếu bạn thực hiện một triển khai hơi sai, bạn sẽ kiểm tra một cái gì đó mà đối thủ thực không thực sự làm, hoặc bạn sẽ làm mất ổn định hệ thống bạn đang cố gắng bảo vệ. Các hành vi khác bị hạn chế bởi bối cảnh môi trường hoặc yêu cầu truy cập được xác thực. Các hành vi được mạng hóa cũng bị hạn chế: ví dụ, chúng tôi tái tạo các mẫu giao thức và hành vi tín hiệu cho C2 mà không kết nối với cơ sở hạ tầng độc hại.

Tạo ra các mô phỏng thực tế do đó là một quá trình kỹ thuật lặp lại: xác định, ghi chép, triển khai, kiểm tra, xác nhận và tinh chỉnh. Mỗi lần lặp lại cân bằng độ trung thực, an toàn và liên quan đến hoạt động để đảm bảo rằng các mô phỏng đều thực tế và có thể triển khai.

Nhìn về tương lai 3 đến 5 năm, những xu hướng nào trong sự tinh vi của malware, phương pháp tấn công hoặc hệ sinh thái mối đe dọa bạn thấy lo ngại hoặc thú vị nhất, và những bước cơ bản nào bạn sẽ khuyên các tổ chức nên thực hiện khi bắt đầu hành trình về phòng thủ thông tin về mối đe dọa và mô phỏng đối thủ?

Một trong những xu hướng thú vị và lo ngại nhất là sự tinh vi ngày càng tăng của các hệ sinh thái tội phạm mạng. Trong thập kỷ qua, các diễn viên tội phạm mạng đã mở rộng ảnh hưởng của họ một cách đáng kể.

Trong những năm trước, số lượng người tham gia bị giới hạn và ảnh hưởng của họ tương đối nhỏ. Ngày nay, hàng trăm thực thể liên kết tồn tại và hợp tác, mỗi thực thể đều có vai trò chuyên môn hóa. Sự phụ thuộc lẫn nhau này tạo thành một hệ sinh thái phức tạp, có cấu trúc và hiệu quả như các thị trường hợp pháp. Hệ sinh thái tống tiền minh họa điều này một cách hoàn hảo: hàng chục gia đình hoạt động cùng tồn tại, tiến hóa và thay thế nhau. Sự thay đổi liên tục này tiết lộ một mạng lưới quan hệ phức tạp ngày càng khó phân tích.

Một xu hướng xác định khác là sự hội tụ giữa hoạt động của quốc gia và tội phạm mạng. Không chỉ ở cấp độ hoạt động mà còn trong sự phát triển của cơ sở hạ tầng và nền tảng malware chung. RomCom minh họa cho sự tiến hóa này. Nó chuyển từ một hàng hóa thuần túy mang lại lợi ích tài chính sang một công cụ đa năng được sử dụng trong hoạt động của quốc gia, hỗ trợ cả gián điệp và phá hoại. Việc nhắm mục tiêu vào các cơ quan chính phủ, nhân viên quân sự, tổ chức nhân đạo và các quốc gia liên kết với NATO cho thấy sự tập trung hoạt động vào các mục tiêu chiến lược và ảnh hưởng của Nga. Điều này không phải là tội phạm cơ hội; nó đại diện cho việc thu thập thông tin và truy cập lâu dài có chủ đích.

Đối với các tổ chức mới tham gia vào phòng thủ thông tin về mối đe dọa, bước cơ bản là áp dụng Khung MITRE ATT&CK làm ngôn ngữ chung để hiểu và thảo luận về hành vi của đối thủ. ATT&CK cung cấp một phân loại hành vi cho phép các nhà phòng thủ ánh xạ phát hiện và kiểm soát trực tiếp đến các kỹ thuật của đối thủ chứ không phải các chỉ số tĩnh. Ưu tiên phát hiện hành vi hơn các phương pháp dựa trên chữ ký. Các chỉ số xâm nhập thay đổi liên tục, nhưng các kỹ thuật của đối thủ vẫn tương đối ổn định, một nguyên tắc được nắm bắt trong khuôn khổ Cột đau. Hãy ưu tiên phát hiện hành vi hơn các phương pháp dựa trên chữ ký. Các chỉ số xâm nhập thay đổi liên tục, nhưng các kỹ thuật của đối thủ vẫn tương đối ổn định, một nguyên tắc được nắm bắt trong khuôn khổ Cột đau.

Cảm ơn bạn đã trả lời chi tiết, những người đọc muốn tìm hiểu thêm có thể truy cập AttackIQ.