CISO Insider: Τεύχος 2

Οι εισβολείς ransomware στοχεύουν τα πιο πολύτιμα στοιχεία σας όπου πιστεύουν ότι μπορούν να αποσπάσουν τα περισσότερα χρήματα από εσάς, είτε είναι τα πιο ενοχλητικά ή πολύτιμα εάν κρατούνται όμηροι είτε τα πιο ευαίσθητα εάν απελευθερωθούν.

Ο κλάδος είναι ένας σημαντικός καθοριστικός παράγοντας του προφίλ κινδύνου ενός οργανισμού—ενώ οι ηγέτες των κατασκευών αναφέρουν τη διατάραξη της επιχείρησης ως το κύριο μέλημα, οι CISO λιανικής και χρηματοοικονομικών υπηρεσιών δίνουν προτεραιότητα στην προστασία ευαίσθητων προσωπικών πληροφοριών. Οι οργανισμοί υγειονομικής περίθαλψης, εν τω μεταξύ, είναι εξίσου ευάλωτοι και στα δύο μέτωπα. Σε απάντηση, οι ηγέτες ασφαλείας μετατοπίζουν επιθετικά το προφίλ κινδύνου τους μακριά από την απώλεια δεδομένων και την έκθεση μέσω της σκλήρυνσης της περιμέτρου τους, των αντιγράφων ασφαλείας κρίσιμων δεδομένων, των περιττών συστημάτων και της καλύτερης κρυπτογράφησης.

Η διατάραξη των επιχειρήσεων είναι πλέον το επίκεντρο πολλών ηγετών. Η επιχείρηση επιβαρύνεται με κόστος ακόμη και αν η διατάραξη είναι σύντομη. Ένας CISO υγειονομικής περίθαλψης μου είπε πρόσφατα ότι, λειτουργικά, το ransomware δεν διέφερε από μια μεγάλη διακοπή ρεύματος. Ενώ ένα επαρκές εφεδρικό σύστημα μπορεί να βοηθήσει στην γρήγορη επαναφορά της τροφοδοσίας, εξακολουθείτε να έχετε χρόνο διακοπής λειτουργίας που διαταράσσει την επιχείρηση. Ένας άλλος CISO ανέφερε ότι σκέφτονται πώς η διατάραξη μπορεί να επεκταθεί πέρα από το κύριο εταιρικό τους δίκτυο σε λειτουργικές ανησυχίες, όπως ζητήματα αγωγών ή το δευτερεύον αποτέλεσμα τερματισμού βασικών προμηθευτών από ransomware.

Οι τακτικές για τη διαχείριση της διατάραξης περιλαμβάνουν τόσο πλεονάζοντα συστήματα όσο και τμηματοποίηση για να ελαχιστοποιηθεί ο χρόνος εκτός λειτουργίας, επιτρέποντας στον οργανισμό να μεταφέρει την κυκλοφορία σε διαφορετικό τμήμα του δικτύου, ενώ συγκρατεί και αποκαθιστά ένα επηρεαζόμενο τμήμα. Ωστόσο, ακόμη και οι πιο ισχυρές διαδικασίες δημιουργίας αντιγράφων ασφαλείας ή αποκατάστασης καταστροφής δεν μπορούν να επιλύσουν πλήρως την απειλή διατάραξης της επιχείρησης ή έκθεσης δεδομένων. Η άλλη πλευρά του μετριασμού είναι η πρόληψη.

Πολλοί από τους CISO με τους οποίους συνομιλώ ακολουθούν μια προσέγγιση παλέτας για την πρόληψη και τον εντοπισμό επιθέσεων, χρησιμοποιώντας επίπεδα λύσεων προμηθευτών που καλύπτουν δοκιμές ευπάθειας, περιμετρικές δοκιμές, αυτοματοποιημένη παρακολούθηση, ασφάλεια τελικού σημείου, προστασία ταυτότητας κ.λπ. Για κάποιους, αυτό είναι σκόπιμος πλεονασμός, ελπίζοντας ότι μια πολυεπίπεδη προσέγγιση θα καλύψει τυχόν κενά - όπως στις στοίβες ελβετικού τυριού, με την ελπίδα ότι τα κενά δεν θα ευθυγραμμιστούν.

Η εμπειρία μας έχει δείξει ότι αυτή η ποικιλομορφία μπορεί να περιπλέξει τις προσπάθειες αποκατάστασης συμμόρφωσης, δημιουργώντας δυνητικά μεγαλύτερη έκθεση σε κινδύνους. Όπως σημειώνει ένας CISO, το μειονέκτημα της συγκέντρωσης πολλαπλών λύσεων είναι η έλλειψη ορατότητας λόγω κατακερματισμού: «Έχω μια καλύτερη προσέγγιση, η οποία από μόνη της παρουσιάζει ορισμένες προκλήσεις, επειδή υπάρχει έλλειψη γνώσης για τους συγκεντρωτικούς κινδύνους, επειδή έχετε αυτές τις ανεξάρτητες κονσόλες όπου διαχειρίζεστε απειλές και δεν έχετε τη συνολική εικόνα του τι συμβαίνει στη θέση σας». (Υγεία, 1.100 υπάλληλοι) Με τους εισβολείς να υφαίνουν έναν περίπλοκο ιστό που εκτείνεται σε πολλές διαφορετικές λύσεις, μπορεί να είναι δύσκολο να αποκτήσετε μια πλήρη εικόνα της αλυσίδας εξοντώσεων, να εντοπίσετε την έκταση του συμβιβασμού και να ξεριζώσετε πλήρως τυχόν ωφέλιμα φορτία κακόβουλου λογισμικού. Η διακοπή μιας επίθεσης σε εξέλιξη απαιτεί τη δυνατότητα εξέτασης πολλαπλών φορέων για τον εντοπισμό, την αποτροπή και τον περιορισμό/αποκατάσταση επιθέσεων σε πραγματικό χρόνο.

Η υπόσχεση του XDR παραμένει απραγματοποίητη από τους περισσότερους. Πολλοί CISO με τους οποίους μιλάμε έχουν εφαρμόσει ένα ισχυρό σημείο εκκίνησης στο EDR. Το EDR είναι ένα αποδεδειγμένο πλεονέκτημα: έχουμε δει ότι οι τρέχοντες χρήστες εντοπισμού και απόκρισης τελικού σημείου έχουν ιστορικό εντοπισμού και διακοπής ransomware γρηγορότερα.

Ωστόσο, επειδή το XDR είναι μια εξέλιξη του EDR, ορισμένοι CISO παραμένουν δύσπιστοι σχετικά με τη χρησιμότητα του XDR. Είναι το XDR μόνο EDR με ορισμένες λύσεις; Χρειάζεται πραγματικά να χρησιμοποιήσω μια εντελώς ξεχωριστή λύση; Ή μήπως το EDR μου θα προσφέρει τελικά τις ίδιες δυνατότητες; Η τρέχουσα αγορά λύσεων XDR προσθέτει περαιτέρω σύγχυση καθώς οι πωλητές αγωνίζονται να προσθέσουν προσφορές XDR στα χαρτοφυλάκια προϊόντων. Ορισμένοι προμηθευτές επεκτείνουν το εργαλείο EDR τους για να ενσωματώσουν πρόσθετα δεδομένα απειλών, ενώ άλλοι επικεντρώνονται περισσότερο στη δημιουργία αποκλειστικών πλατφορμών XDR. Οι τελευταίες είναι κατασκευασμένες από την αρχή για να παρέχουν ολοκληρωμένη ενοποίηση και δυνατότητες που επικεντρώνονται στις ανάγκες του αναλυτή ασφαλείας, αφήνοντας τα λιγότερα κενά στην ομάδα σας τα οποία πρέπει να συμπληρώσει χειροκίνητα.

Αντιμέτωποι με έλλειψη ταλέντων ασφαλείας και την ανάγκη να ανταποκριθούν γρήγορα για να περιοριστούν οι απειλές, ενθαρρύναμε τους ηγέτες να χρησιμοποιήσουν αυτοματισμούς για να βοηθήσουν τους ανθρώπους τους να απελευθερώσουν την άμυνα τους από τις χειρότερες απειλές αντί να χειρίζονται κοινές εργασίες, όπως η επαναφορά κωδικών πρόσβασης. Είναι ενδιαφέρον ότι πολλοί από τους ηγέτες ασφαλείας με τους οποίους μίλησα αναφέρουν ότι δεν εκμεταλλεύονται ακόμη πλήρως τις αυτοματοποιημένες δυνατότητες. Σε ορισμένες περιπτώσεις, οι ηγέτες ασφαλείας δεν γνωρίζουν πλήρως την ευκαιρία. Άλλοι διστάζουν να υιοθετήσουν την αυτοματοποίηση από φόβο μήπως χάσουν τον έλεγχο, προσκαλέσουν ανακρίβεια ή θυσιάσουν την ορατότητα σε απειλές. Το τελευταίο είναι μια πολύ εύλογη ανησυχία. Ωστόσο, βλέπουμε ότι όσοι υιοθέτησαν πιο αποτελεσματικά τον αυτοματισμό πετυχαίνουν ακριβώς το αντίθετο—περισσότερο έλεγχο, λιγότερα ψευδώς θετικά στοιχεία, λιγότερο θόρυβο και πιο αποτελεσματική εικόνα—με την ανάπτυξη αυτοματισμού παράλληλα με την ομάδα ασφαλείας για την καθοδήγηση και την εστίαση των προσπαθειών της ομάδας.

Ο αυτοματισμός καλύπτει μια σειρά δυνατοτήτων, από βασικές αυτοματοποιημένες εργασίες διαχείρισης έως αξιολόγηση κινδύνου με δυνατότητα έξυπνης μηχανικής εκμάθησης. Οι περισσότεροι CISO αναφέρουν ότι υιοθετούν τον προηγούμενο αυτοματισμό, που ενεργοποιείται από συμβάντα ή βασίζεται σε κανόνες, αλλά λιγότεροι έχουν εκμεταλλευτεί την ενσωματωμένη τεχνητή νοημοσύνη και τις δυνατότητες μηχανικής μάθησης που επιτρέπουν αποφάσεις πρόσβασης σε πραγματικό χρόνο με βάση τον κίνδυνο. Σίγουρα, η αυτοματοποίηση εργασιών ρουτίνας βοηθά στην απελευθέρωση της ομάδας ασφαλείας ώστε να επικεντρωθεί στην πιο στρατηγική σκέψη που οι άνθρωποι κάνουν καλύτερα. Αλλά είναι σε αυτό το στρατηγικό πεδίο - στη διαλογή απόκρισης σε περιστατικά, για να αναφέρουμε ένα παράδειγμα - ότι η αυτοματοποίηση έχει τις περισσότερες δυνατότητες να ενδυναμώσει την ομάδα ασφαλείας ως ένας έξυπνος συνεργάτης που συγκεντρώνει δεδομένα, ταιριάζει μοτίβα. Για παράδειγμα, η τεχνητή νοημοσύνη και ο αυτοματισμός είναι ικανά να συσχετίζουν σήματα ασφαλείας για να υποστηρίξουν τον ολοκληρωμένο εντοπισμό και την απόκριση σε μια παραβίαση. Περίπου οι μισοί από τους επαγγελματίες ασφαλείας που ρωτήσαμε πρόσφατα λένε ότι πρέπει να συσχετίζουν χειροκίνητα σήματα.1   Αυτό είναι απίστευτα χρονοβόρο και καθιστά σχεδόν αδύνατη την ταχεία απόκριση για τον περιορισμό μιας επίθεσης. Με τη σωστή εφαρμογή του αυτοματισμού —όπως η συσχέτιση των σημάτων ασφαλείας— οι επιθέσεις μπορούν συχνά να εντοπιστούν σε σχεδόν πραγματικό χρόνο.

Διαπιστώσαμε ότι πολλές ομάδες ασφαλείας χρησιμοποιούν ελάχιστα τον αυτοματισμό που είναι ενσωματωμένος σε υπάρχουσες λύσεις που ήδη χρησιμοποιούν. Σε πολλές περιπτώσεις, η εφαρμογή αυτοματισμού είναι τόσο εύκολη (και εντυπωσιακή!) όσο η διαμόρφωση των διαθέσιμων λειτουργιών, όπως η αντικατάσταση πολιτικών πρόσβασης σταθερού κανόνα με πολιτικές πρόσβασης υπό όρους βάσει κινδύνου, η δημιουργία εγχειριδίων τακτικής και στρατηγικής απόκρισης κ.λπ.

Οι CISO που επιλέγουν να παραιτηθούν από τις ευκαιρίες του αυτοματισμού συχνά το κάνουν λόγω δυσπιστίας, επικαλούμενοι ανησυχίες σχετικά με το ότι το σύστημα κάνει μη αναστρέψιμα σφάλματα ενώ λειτουργεί χωρίς ανθρώπινη επίβλεψη. Μερικά από τα πιθανά σενάρια περιλαμβάνουν ένα σύστημα που διαγράφει ακατάλληλα δεδομένα χρήστη, ενοχλεί ένα στέλεχος που χρειάζεται πρόσβαση στο σύστημα ή, το χειρότερο, οδηγεί σε απώλεια ελέγχου ή ορατότητας σχετικά με μια ευπάθεια που έχει εκμεταλλευτεί.

Αλλά η ασφάλεια τείνει να είναι μια ισορροπία μεταξύ της καθημερινής μικρής ταλαιπωρίας που σταθμίζεται έναντι της συνεχούς απειλής μιας καταστροφικής επίθεσης. Ο αυτοματισμός έχει τη δυνατότητα να χρησιμεύσει ως σύστημα έγκαιρης προειδοποίησης για μια τέτοια επίθεση και οι ταλαιπωρίες του μπορούν να μετριαστούν ή να εξαλειφθούν. Και επιπλέον, ο αυτοματισμός στα καλύτερά του δεν λειτουργεί μόνος του, αλλά δίπλα σε ανθρώπινους χειριστές, όπου η τεχνητή νοημοσύνη του μπορεί να ενημερώσει και να ελεγχθεί από την ανθρώπινη νοημοσύνη.

Για να διασφαλίσουμε την ομαλή ανάπτυξη, προσθέτουμε λειτουργίες μόνο για αναφορές στις λύσεις μας, προκειμένου να προσφέρουμε μια δοκιμαστική εκτέλεση πριν από την κυκλοφορία. Αυτό επιτρέπει στην ομάδα ασφαλείας να εφαρμόζει την αυτοματοποίηση με τον δικό της ρυθμό, να ρυθμίζει τους κανόνες αυτοματισμού και να παρακολουθεί την απόδοση των αυτοματοποιημένων εργαλείων.

Οι ηγέτες ασφαλείας που χρησιμοποιούν τον αυτοματισμό πιο αποτελεσματικά τον αναπτύσσουν μαζί με την ομάδα τους για να καλύψουν τα κενά και να χρησιμεύσουν ως πρώτη γραμμή άμυνας. Όπως μου είπε πρόσφατα ένας CISO, είναι σχεδόν αδύνατο και απαγορευτικά δαπανηρό να έχει μια ομάδα ασφαλείας εστιασμένη παντού ανά πάσα στιγμή—και ακόμα κι αν ήταν, οι ομάδες ασφαλείας είναι επιρρεπείς σε συχνούς κύκλους εργασιών. Ο αυτοματισμός παρέχει ένα επίπεδο διαρκούς συνέχειας και συνέπειας για την υποστήριξη της ομάδας ασφαλείας σε τομείς που απαιτούν αυτή τη συνέπεια, όπως η παρακολούθηση της κυκλοφορίας και τα συστήματα έγκαιρης προειδοποίησης. Με αυτήν την υποστηρικτική ικανότητα, ο αυτοματισμός βοηθά στην απελευθέρωση της ομάδας από τον μη αυτόματο έλεγχο αρχείων καταγραφής και συστημάτων και τους επιτρέπει να είναι πιο προληπτικοί. Ο αυτοματισμός δεν αντικαθιστά τους ανθρώπους—αυτά είναι εργαλεία που δίνουν τη δυνατότητα στους ανθρώπους σας να δίνουν προτεραιότητα στις ειδοποιήσεις και να εστιάζουν τις προσπάθειές τους εκεί που μετράει περισσότερο.