دورهای که در طول سالها در حوزه امنیت سایبری شاهد آن بودیم، به پایان رسیده است. برای سالها، امنیت سایبری به الگوی شناخته شدهای پیوسته بود: دفاعها بهبود مییافت، حملهگرها سازگاری میکردند و این چرخه ادامه داشت. امروزه، حملهگرانی که از هوش مصنوعی (AI) استفاده میکنند، به راحتی از دفاعها پیشی میگیرند. بیشتر نفوذها در حال حاضر از تشخیص نقطه پایان (endpoint) و تشخیص مالویر (malware) عبور میکنند.
گزارش جهانی تهدیدات CrowdStrike برآورد میکند که حدود 79 درصد از حملات مضر، بدون استفاده از مالویر هستند، زیرا حملهگران از دزدی کلمه عبور و تکنیکهای بارگذاری DLL برای دور زدن نظارت سطح میزبان استفاده میکنند. آسیبپذیریهای حاشیهای این خطر را افزایش میدهد؛ بر اساس گزارش اخیر Verizon Data Breach Investigations، نفوذ به دیوار آتش و گیتویپیان 19 درصد افزایش یافته است.
در لحظهای که یک دشمن دسترسی به سیستم پیدا میکند، گشایش معمولاً در ثانیههای اولیه رخ میدهد. مدلهای Claude Mythos و مشابه آن فشار عملیاتی را افزایش دادهاند. این مدلها میتوانند به سرعت نقاط ضعف پیشبینی نشده را کشف و استفاده کنند، و در نتیجه، پنجره از کشف اولیه تا کامل شدن نفوذ را به طور تقریبی بسته کنند.
برنامههای امنیتی باید به سرعت به Adapt شوند تا حاشیههای پس از نفوذ و تحلیل رفتار پس از نفوذ را اولویتبندی کنند، و قابلیتهای دفاعی باید به تشخیص زمان واقعی که فراتر از پوشش سطح میزبان باشد، نیاز داشته باشند. اینجاست که تشخیص چند لایه شبکه در حال حاضر به کار میآید، و دفاع را از نقطه پایان فراتر میبرد – اما اثربخشی آن به شدت به دادههای پشت آن بستگی دارد.
دادههای شبکه قدرت تشخیص را افزایش میدهد
پلتفرمهای نقطه پایان، هویت و ابر هر کدام از منظرهای ارزشمندی در امنیت شرکتها ارائه میدهند. ابزارهای میزبان فرآیندهای حافظه را ردیابی میکنند، راه حلهای هویت کلمات عبور را ردیابی میکنند، و محیطهای ابر تغییرات پیکربندی را ردیابی میکنند. در حالی که هر یک از این منابع دیدگاه را ارائه میدهند، این سیستمها به طور جداگانه کار میکنند و در نتیجه، خلأهای دید را به وجود میآورند که حملهگران میتوانند به راحتی از آن استفاده کنند.
هر یک از ابزارها فقط بخش کوچکی از زنجیره حمله را میبیند. حملهگران میتوانند یک ایستگاه کار را به خطر بیندازند، از خلأ بین نقطه پایان و سیستمهای هویت برای پنهان کردن دزدی کلمات عبور استفاده کنند، به سمت زیرساختهای ابر حرکت کنند و دادهها را قبل از این که مرکز عملیات امنیتی (SOC) آگاه شود، خارج کنند. اینجاست که دادههای شبکه ضروری است تا تصویر کامل را نشان دهد.
تشخیص و پاسخ شبکه (NDR)، این سیگنالهای جداگانه را با استفاده از دادههای شبکه، تأیید، غنیسازی و متصل میکند. زیرا این دادهها از طریق کانالهای جداگانه جمعآوری میشوند، این دادهها حتی در صورت خاموش شدن عوامل محلی یا در صورت خاموش کردن ابزارهای نقطه پایان، تغییر نمیکنند. و به دلیل این که این دادهها ترافیک کل شرکت را در بر میگیرند، NDR درک حیاتی را ارائه میدهد، و هرگونه گفتگو، معامله و انتقال داده را ضبط میکند، و این اثبات قطعی را برای دفاعیان برای پاسخ دادن ارائه میدهد.
برای مثال، هنگامی که یک ابزار هویت یک ورود غیرمعمول را اعلام میکند، دادههای شبکه تأیید میکند که آیا این حساب در آغاز درخواستهای غیرمجاز پایگاه داده را آغاز کرده است. هنگامی که یک هشدار نقطه پایان کلمات عبور را اعلام میکند، این کمک میکند تا تأیید کند که آیا حملهگر تلاش برای حرکت جانبی کرده است.
تشخیص چند لایه اعتماد را در تصمیمات افزایش میدهد
اغلب سازمانها از برخی شکل از دیدگاه شبکه، مانند سیستمهای تشخیص نفوذ قدیمی (IDS)، دستگاههای ضبط پکت (PCAP) یا لوگهای NetFlow ابتدایی، استفاده میکنند. با این حال، این ابزارهای قدیمی به طور جداگانه کار میکنند و اغلب نتوانستهاند سرعت مورد نیاز برای پاسخ به حملات مدرن را ارائه دهند. NDR این ابزارهای قدیمی و جدا شده را جایگزین میکند.
با ادغام امضایهای چندگانه، تجزیه و تحلیل پکت و لوگهای جریان در یک جریان کاری، NDR یک مجموعه جامع از تشخیصها و قابلیتها را ارائه میدهد که بار کогنیوتیو Analyst را به شدت کاهش میدهد. در عوض از آنجایی که باید در حجم عظیمی از سیگنالهای جداگانه و نامنظم جستجو کنند، دفاعیان از چندین لایه تشخیص شبکه یک اثبات قطعی را برای تأیید میکنند.
– تشخیص مبتنی بر امضا و اطلاعات تهدید: اینها تأیید سریع برای حملات مستند شده را ارائه میدهند، و حملات شناخته شده و فایلهای مضر تاریخی را با دقت بالا شناسایی میکنند، و ارتباط با زیرساختهای حملهگر شناخته شده را تشخیص میدهند. با این حال، برای شناسایی فعالیت پس از نفوذ، ابزارهای خودکار مدرن نیاز به لایههای رفتاری و異نما پیشرفته دارند.
– تشخیص رفتاری: مدلهای رفتاری حملهگران را بر اساس تاکتیکها، تکنیکها و رویهها (TTPs) شناسایی میکنند، بیتوجه به فایلهای خاص یا کدهای نفوذ. برای مثال، آنها میتوانند بدون تکیه بر نشانگرهای خاص، تاکتیکهای کنترل و فرمان را شناسایی کنند.
– تشخیص انحراف: تشخیص انحراف نشانگرهای تغییرات ساختاری از ترافیک شبکه پایه را نشان میدهد، مانند یک ایستگاه کار که به طور ناگهانی مانند یک اسکنر پورت داخلی رفتار میکند، اتصالات به تعداد زیادی میزبان پیشبینی نشده را شناسایی میکند، یا الگوهای اتصال را نشان میدهد که نشان دهنده جمعآوری داده است.
– مدلهای ML تحت نظارت: این مدلهای یادگیری ماشین در شناسایی الگوهای دشوار که با امضایها یا منطق مبتنی بر規則 قابل دسترسی نیستند، بسیار خوب عمل میکنند، و بنابراین، پوشش را به حملات که از روشهای تشخیص سنتی فرار میکنند، افزایش میدهند. آنها میتوانند نشانگرهای نفوذ را در ترافیک رمزگذاری شده شناسایی کنند، دامنههای مضر را شناسایی کنند و در شبکه، تونلینگ را کشف کنند.
AI: به جای ارسال هشدار مستقل که تحلیلگران را مجبور به حدس زدن شدت آن میکند، موتورهای هوش مصنوعی پیشرفته هشدارها را در سراسر منابع مختلف تелемتری و لایهها هماهنگ میکنند و رفتار حملهگر را نقشهبرداری میکنند. این ادغام سردرگمی را کاهش میدهد، زنجیره کشتن کامل را ردیابی میکند و اعتماد به تصمیمات عملیاتی را افزایش میدهد. با اطلاعات هوشمندانه و هماهنگ، تحلیلگران از تأیید هشدارها به تریاژ سریع و حصر مهاجم منتقل میشوند.
برای دستیابی به این درجه از شفافیت عملی، رهبران امنیتی باید در محافظت از چرخه کامل سرمایهگذاری کنند. این موضع بر اساس تелемتری شبکه پیشرفته است که میتواند فعالیتهای دشمن را به سرعت کافی برای مطابقت با ریتم عملیاتی تهدیدهای کلاس مایثوس نشان دهد.
AI تنها به اندازه شواهد پشت آن موثر است
به عنوان یک لایه دفاعی، AI در حال حاضر در تریاژ تهدید، اتوماسیون جریان کار و خلاصهسازی حادثه برتر است. با این حال، قانون اساسی اصلی باقی میماند: دروازه زباله، زباله است.
اثر بخشی امنیت خودکار با استفاده از AI محدود شده است توسط سقف دانش که توسط دادههای منبع تعیین میشود، نه انتخاب مدل. حتی مدلهای پیشرفتهترین نیز نمیتوانند با محدودیتهای اعمال شده توسط دادههای کم کیفیت یا کمبود داده مقابله کنند. سرمایهگذاری در دادهها را انجام دهید؛ همه چیز بعد از آن دنبال میشود.
تелемتری شبکه غنی به AI حقایق مورد نیاز را میدهد تا نتیجههای صحیح را به دست آورد، نقشهبرداری از ابراز وجود شرکت را دقیقتر کند، مسیرهای حمله را بازسازی کند و مشخص کند که آیا اکسپلویتها موفق شدهاند یا خیر. بدون آن، ابزارهای AI میتوانند مثبتهای جعلی را تولید کنند، فعالیتهای حیاتی را از دست بدهند و پاسخ به حادثه را کند کنند.
ترافیک شبکه نماینده شواهد غیرقابل انکار محیط شرکت است. هنگامی که AI در این دادههای قابل اثبات قرار میگیرد، ارزش امنیتی را ارائه میدهد نه نویز.
از سیلوهای داده تا دفاع یکپارچه
این زمینه شبکه نیست یک راه حل مستقل؛ نیاز به ادغام و غنیسازی داده از چندین ابزار SOC برای دستیابی به حداکثر تأثیر دارد. قدرت واقعی این روش در معماری داده باز و تنظیمات عمیق است.
وقتی یک پلتفرم از استانداردهای داده باز پشتیبانی میکند، تحلیلگران میتوانند تелемتری شبکه را با هشدارهای میزبان و هویت هماهنگ کنند. این ادغام بیدرنگ اجازه میدهد تیمهای امنیتی از شبکه غنی استفاده کنند، که در نتیجه حوادث مبهم را حل میکند و مسیرهای حمله را از ورود اولیه تا اجرا نقشهبرداری میکند. دادههای ساختار یافته و دسترسپذیر تضمین میکنند که تیمهای پاسخ به حادثه میتوانند حصر دقیق را قبل از گسترش حادثه اجرا کنند.
نتایج کلیدی
Emergence تهدیدهای خودکار قدرتمند مانند مایثوس نیاز به تکامل در دفاع شرکت دارد. در این منظر، تیمهای امنیتی باید به یک معماری دفاعی با دادههای شبکه در مرکز تکامل یابند تا ابزارهای امنیتی و دادههای جدا شده را با هم متصل کنند. این ادغام شواهد و زمینه را فراهم میکند که نقاط ضعف و عدم قطعیت را کاهش میدهد. با این حال، AI به عنوان یک جزء اصلی در SOC مدرن، ارزش استراتژیک دادههای شبکه به طور اگزپونانسیال افزایش مییابد.
شواهد شبکه یکپارچه و دیدگاه جامع تضمین میکنند که تحلیلگران انسانی و مدلهای AI از دیدگاه یکسان از محیط استفاده کنند. این دیدگاه مشترک جای حدس را با واقعیات ساختار یافته میگیرد. این استراتژی سه نتیجه عملیاتی حیاتی را به طور مداوم ارائه میدهد:
– کیفیت تشخیص بهبود یافته: شناسایی حملات پیچیده و چند مرحلهای را که از ابزارهای تک لایه فرار میکنند
– تحقیقات سریعتر: از لوگهای شبکه غنی برای بازسازی سریع حادثههای امنیتی استفاده کنید
– اعتماد بیشتر به نتایج: شکاف عملیاتی را از بین ببرید و حصر تهدید را سریعتر اجرا کنید
با یک اساسنامه شبکه، سازمانها میتوانند شبکه خود را به دارایی دفاعی قدرتمند خود تبدیل کنند.
در مورد Corelight
Corelight ارائه دهنده راه حلهای تشخیص و پاسخ به شبکه (NDR) است که تحقیقات تهدید را با استفاده از دفاع هوشمند AI تسریع میکند. با ترکیب دیدگاه شبکه جامع با تجزیه و تحلیل رفتاری عمیق، پلتفرم Open NDR Corelight امنیت تیمهای امنیتی را با زمینه و شواهد پشتیبانیشده با تشخیص میدهد. متخصصان امنیتی میتوانند Corelight Network Defense را بررسی کنند یا وب سایت Corelight را برای یادگیری نحوه دفاع از شرکتهای laihy برسند.