Oleme jõudnud huvitavasse punkti lõputus relvastusvõidlusesse ründajate ja kaitsjate vahel. Esimesed kasutavad tehisintellekti, automatiseerimist ja mitmesuguseid tehnikaid, millel on mõnikord laastav mõju. Ühes raportis väidetakse, et 80% ransomware-as-a-service (RaaS) rühmadest pakuvad nüüd tehisintellekti või automatiseerimist kui funktsioone – ja loomulikult on olemas ka õitsengut koguv turg vahenditega, mis on spetsiaalselt mõeldud turvatööriistade vältimiseks. Selle tulemusena on andmelekked ja nendega seotud kulud järsult kasvanud.
Teisalt teevad aga ohuallikad lihtsalt seda, mida nad on varemgi teinud – võimendavad olemasolevaid taktikaid, tehnikaid ja protseduure (TTP), et rünnakuid kiirendada. Näiteks mõõdetakse aega esmase juurdepääsu ja külgsuunalise liikumise vahel (breakout time) nüüd minutites. Kaitsjate jaoks, kes on harjunud töötama tundide või päevade kaupa, peavad asjad muutuma.
Pooletunnine hoiatus
Põgenemisaeg on oluline, sest kui võrgu kaitsjad ei suuda selles etapis vastaseid peatada, võib esialgne sissetung väga kiiresti muutuda suureks intsidendiks. Keskmine aeg külgsuunaliseks liikumiseks on nüüd umbes 30 minutit – ligikaudu 29% kiirem kui aasta tagasi –, kuigi mõned vaatlejad on näinud seda juhtuvat vähem kui minut pärast esialgset juurdepääsu.
On mitu põhjust, miks tegutsemiseks jääv aeg kiiresti lüheneb. Ohtude tekitajad:
- Paremaks muutumine teie töötajate õiguspäraste autentimisandmete varastamisel, murdmisel ja phishingul. Nõrgad, korduvalt kasutatavad ja harva vahetatavad paroolid aitavad neil selles (st muutes jõuvõttega rünnakud lihtsamaks). Sama kehtib ka mitmefaktorilise autentimise (MFA) puudumise kohta. Nad muutuvad üha paremaks ka paroolide taastamise vishing-rünnakutes, esinedes kas kasutajatoe nimel või helistades kasutajatoele töötajate nimel. Õigete sisselogimisandmetega saavad nad end kasutajateks maskeerida, ilma et see käivitaks mingeid sisemisi häireid.
- Kasutavad nullpäeva ekspluate, et rünnata servaseadmeid, nagu Ivanti EPMM, et saada jalgealune võrkudes, jäädes samal ajal ettevõttesisestele turvatööriistadele märkamatuks.
- Nad on muutunud paremaks luureandmete kogumisel, kasutades avatud lähtekoodi tehnikaid ja tehisintellekti, et otsida veebist avalikult kättesaadavat teavet väärtuslike sihtmärkide kohta (kasutades privileegitud autentimisandmeid). Nad koguvad teavet organisatsiooni struktuuri, sisemiste protsesside ja IT-keskkonna kohta, et rünnakuid tõhustada ja sotsiaalse inseneritöö skripte kavandada.
- Automatiseerivad rünnakujärgseid tegevusi, kasutades tehisintellekti skripte volituste kogumiseks, kohapealse ressursside kasutamiseks ja isegi pahavara loomiseks.
- Silo-meeskondade ja punktlahenduste vaheliste lünkade ärakasutamine. Selle tulemusena võib tegevus, mis esimesele tundub õiguspärane, teisele ebatavaline, kuid ilma tervikliku ülevaateta ei pruugita äärejuhtumeid uurida. Mõnel juhul astuvad ohu tekitajad teadlikke samme EDR-i väljalülitamiseks või sellest kõrvalehoidmiseks.
- „Living off the land” (LOTL) tehnikate kasutamine, et jääda varjatuks. See tähendab kehtivate autentimisandmete, seaduslike kaugjuurdepääsu tööriistade ja protokollide (nagu SMB ja RDP) kasutamist, mis võimaldab neil sulanduda tavapärase tegevusega.
Selles etapis on ohuallikate tabamine hädavajalik – eriti kuna andmete väljavoolu (kui see algab) kiirendab ka tehisintellekt. Eelmisel aastal registreeritud kiireim juhtum kestis vaid kuus minutit; 2024. aastal oli see veel 4 tundi ja 29 minutit.
Tulekahju kustutamine (tehisintellekti) tulega
Kui ründajad suudavad pääseda teie võrku kõrgendatud õigustega või jääda märkamatuks jälgimata lõppseadmetes ning seejärel liikuda külgsuunas ilma häiret tekitamata, on inimjõul toimuv reageerimine sageli liiga aeglane. Teil on vaja piirata sotsiaalset inseneritööd, ajakohastada kaitsemeetmeid kahtlase käitumise avastamise parandamiseks ja kiirendada reageerimisaegu.
AI-põhine laiendatud avastamine ja reageerimine (XDR) ning hallatud avastamine ja reageerimine (MDR) võivad siin aidata, märgistades kahtlast käitumist automaatselt, kasutades kontekstuaalseid andmeid hoiatuste täpsuse parandamiseks ja parandades olukorda vajaduse korral. Täiustatud lahendused võivad aidata ka hoiatuste klastrite moodustamisel ja automatiseeritud vastuste genereerimisel ülekoormatud SOC-meeskondadele, vabastades nende aega kõrge väärtusega ülesannete jaoks, nagu ohuotsing.
Üksainus ühtne teenusepakkuja, kellel on ülevaade lõppseadmetest, võrkudest, pilvest ja muudest kihtidest, võib samuti valgustada lünki, mis eksisteerivad punktlahenduste vahel, et saada täielik ülevaade potentsiaalsetest rünnakuteedest. Veenduge, et sellistel tööriistadel on ka ülevaade ääre seadmetest ning et need töötavad sujuvalt koos teie turbeinfo ja sündmuste haldamise (SIEM) ning turbeorkestreerimise ja reageerimise (SOAR) tööriistadega.
Ohuteave ja ohuotsing on samuti olulised, et pidada sammu AI-toega vaenlastega. Lähenemine, mis kasutab mõlemat, aitab meeskondadel keskenduda olulisele – kuidas ründajad neid sihtivad ja kuhu nad võivad järgmisena liikuda. AI-agendid võivad aja jooksul suuta neid ülesandeid iseseisvalt rohkem enda kanda võtta, et reageerimisaega veelgi kiirendada.
Initsiatiivi tagasivõtmine
Reageerimisaega on võimalik kiirendada ka muul viisil, sealhulgas:
- Järjepidev seire ja teadlikkus lõppseadmete, võrgu ja pilvekeskkondade ulatuses.
- Automatiseeritud meetmed – nagu seansi lõpetamine, parooli taastamine või hosti isoleerimine –, mida tuleb võtta kahtlase tegevuse käsitlemiseks, ning vajaduse korral automatiseeritud analüüs koos inimese hinnanguga, et uurida hoiatusi ja teavitada meetmetest, mis on vajalikud ohu kiireks ohjamiseks.
- Minimaalse õigustega juurdepääsupoliitikad, mikrosegmenteerimine ja muud Zero Trusti tunnusjooned, et tagada range juurdepääsukontroll ja minimeerida rünnakute mõju ulatust.
- Täiustatud identiteedipõhine turvalisus, mis põhineb paroolihalduris hallatavatel tugevatel ja unikaalsetel autentimisandmetel ning mida toetab phishing-vastane MFA.
- Vishinguvastased meetmed, sealhulgas ajakohastatud kasutajatoe protsessid (nt väljaspool sagedusala tagasihelistamine) ja tõhus teadlikkuse tõstmise koolitus
- Brute-force-kaitse, mis blokeerib automaatsed parooli äraarvamise rünnakud juba sisenemisel.
- Sotsiaalmeedia ja dark web’i pidev jälgimine, et avastada avalikustatud töötaja- ja ettevõtteandmeid, mida võidakse kuritarvitada.
- Skriptide ja protsesside jälgimine, kui need mälus „paljastuvad”, et avastada ja blokeerida LOTL-käitumist.
- Kahtlaste failide käivitamine pilve-sandboxis, et leevendada nullpäeva ekspluateerimise ohte.
Ükski neist sammudest ei ole eraldi võttes imerohi. Kuid kui neid kombineerida ja toetuda maineka tarnija AI-põhisele MDR/XDR-ile, võivad need aidata kaitsjatel initsiatiivi tagasi võita. See võib olla relvavõidlus, kuid selline, mille lõppu pole põhimõtteliselt näha. See tähendab, et on aega järele jõuda.
