CISO Insider: מהדורה 2

תוקפי תוכנת כופר מציבים כיעד את הנכסים יקרי הערך ביותר שלך שבהם הם מרגישים שהם יכולים לחלץ ממך את כמות הכסף הגדולה ביותר, מאחר שזה הנכס, שאם התוקף יחזיק בו כבן ערובה הדבר יפריע לך יותר מהכל או שמדובר בנכס יקר הערך ביותר או שההפצה שלו היא הרגישה ביותר.

סוג התעשייה הוא גורם מכריע של פרופיל סיכון של ארגון - בעוד שמובילי יצרנות מציינים שיבוש עסקי כחשש המרכזי שלהם, מנהלי אבטחה של שירותי קמעונאות ושירותים פיננסיים מתעדפים את ההגנה על מידע רגיש המאפשר זיהוי אישי; בינתיים, ארגוני שירותי בריאות זוכים להיות פגיעים באופן שווה בשתי החזיתות. כתגובה, מובילי אבטחה מרחיקים באגרסיביות את פרופיל הסיכון שלהם מאובדן נתונים וחשיפה נתונים באמצעות הקשחת ההיקף שלהם, גיבויים של נתונים קריטיים, מערכות מיותרת והצפנה טובה יותר.

שיבוש עסקי נמצא עכשיו במוקד של מובילים רבים. לעסק נגרמות עלויות אפילו אם השיבוש קצר. מנהל אבטחה אחד בשירותי הבריאות אמר לי לאחרונה שבאופן תפעולי, תוכנת כופר אינה שונה מהפסקת חשמל גדולה. אמנם מערכת גיבוי מתאימה יכולה לעזור בהחזרת החשמל במהירות, עדיין תסבול מזמן השבתה שמשבש את העסק. מנהל אבטחה אחר ציין שהם חושבים על האופן שבו שיבוש יכול להתרחב מעבר לרשת הארגון הראשונית שלהם לחששות תפעוליים כגון בעיות בקו צינור או אפקט משני של השבתת ספקים חשבים על-ידי תוכנת כופר.

טקטיקות לניהול שיבוש כוללות שתי מערכות מיותרות וחלוקה למקטעים כדי לעזור למזער את זמן ההשבתה, ובכך לאפשר לארגונים לשנות את התעבורה לחלק שונה של הרשת תוך הכלה ושחזור של המקטע שמושפע. עם זאת, אפילו הגיבוי או תהליך שחזור האסון החזק ביותר לא יכול לפתור בצורה מלאה את האיום של שיבוש עסק או חשיפת נתונים. הצד השני של צמצום הוא מניעה.

רבים ממנהלי האבטחה שאני מדבר איתם מדברים על גישת לוח צבעים בנוגע למניעה וזיהוי של מתקפה, אשר משתמשת בשכבות של פתרונות ספקים שכוללות בדיקת פגיעות, בדיקת היקף, ניטור אוטומטי, אבטחת נקודת קצה, הגנה על זהות וכן הלאה. עבור חלקם, מדובר בפעולה מיותרת מכוונת מתוך תקווה שגישה שכבתית תכסה על הפער - כמו ערימות של גבינה שווייצרית, בתקווה שהחורים לא יהיו אחד מעל השני.

הניסיון שלנו הראה שגיוון זה יכול לסבך את מאמצי התיקון, ובאופן פוטנציאלי ליצור יותר חשיפה לסיכון. כפי שמנהל אבטחה (CISO) אחד מציין, החיסרון של קיבוץ פתרונות מרובים הוא חוסר הניראות בשל חלוקה למקטעים: ”אכן יש לי את הגישה הטובה מסוג, אשר בפני עצמה מייצגת אתגרים מסוימים בגלל חוסר בתובנה לגבי סיכונים צבורים מאחר שיש לך את המסופים העצמאיים האלה שבאמצעותם אתה מנהל איומים, אך ללא נקודת המבט הצבורה של מה שקורה במקום שלך.” (שירותי בריאות, 1,100 עובדים) בשעה שתוקפים אורגים רשת מסובכת שמתרחבת בין פתרונות נבדלים מרובים, קבלת התמונה המלא של שרשרת התקפה יכולה להיות מאתגרת, בדומה לזיהוי ההיקף של החשיפה לסכנה ועקירה מלאה מהשורה של כל תוכני המנה של תוכנה זדונית. עצירת מתקפה שנמצאת בביצוע דורשת מבט בין וקטורים מרובים כדי לזהות, להרתיע ולהכיל/לתקן מתקפות בזמן אמת.

הבטחה זו של XDR נותרת ברובה לא ממומשת. מנהלי אבטחה רבים שאנו מדברים איתם הטמיעו נקודת פתיחה עוצמתית ב- EDR. EDR הוא נכס מוכח: ראינו שלמשתמשים קיימים של זיהוי ותגובה של נקודת קצה יש הישגי עבר של זיהוי ועצירת תוכנת כופר מהר יותר.

עם זאת, מאחר ש- XDR הוא התפתחות של EDR, מנהלי אבטחה מסוימים נשארים סקפטיים לגבי השימושיות של XDR. האם XDR הוא פשוט EDR עם כמה פתרונות נקודתיים שנעוצים בו? האם עליי באמת להשתמש בפתרון נפרד לגמרי? או האם ה- EDR שלי בסופו של דבר יציע את אותן יכולות? השוק הנוכחי של פתרונות XDR מוסיף בלבול נוסף בשעה שספקים מתחרים ביניהם להוסיף הצעות XDR לתיקי מוצרים. חלק מהספקים מרחיבים את כלי ה- EDR שלהם כדי לכלול נתונים איומים נוספים בעוד שאחרים ממוקדים יותר בבניית פלטפורמות XDR ייעודיות. פלטפורמות אלה בנויות מהיסוד מעלה כדי לספק שילוב ויכולות מחוץ לקופסה שממוקדים סביב הצרכים של אנליסט אבטחה, באופן שמותיר את כמות הפערים הקטן ביותר שאותם הצוות יצטרך למלא באופן ידני.

בשל ההתמודדות שלנו עם המחסור בכישרונות אבטחה והצורך להגיב במהירות כדי להכיל איומים, עודדנו מובילים להעסיק אוטומציה שתעזור בכך שהיא תאפשר לאנשים להתפנות כדי להתמקד בהגנה מול האיומים הגרועים ביותר במקום טיפול במשימות שגרתיות כמו איפוס סיסמאות. נקודה מעניינים היא שמובילי אבטחה רבים שדיברתי איתם, ציינו שהם עדיין לא מנצלים לגמרי את היכולות האוטומטיות. במקרים מסוימים, מובילי אבטחה אינם מודעים לגמרי להזדמנות; אחרים מהססים לאמץ אוטומציה מתוך הפחד באיבוד שליחה, הזמנת אי-דיוקים או הקרבת ניראות לטובת איומים. החשש האחרון הוא לגיטימי ביותר. עם זאת, אנחנו רואים את מאמצי האוטומציה היעילה מגיעים להישג ההפוך בדיוק - יותר שליטה, פחות התראות חיוביות כוזבות, פחות רעש ויותר תובנות עם הצעה לפעולה - על-ידי פריסת אוטומציה לצד צוות האבטחה כדי להדריך ולמקד את מאמצי הצוות.

אוטומציה כוללת טווח של יכולות, החל ממשימות ניהול אוטומטיות בסיסיות עד להערכת סיכון חכמה תואמת ללמידת מכונה. רוב מנהלי האבטחה מדווחים על אימוץ של האוטומציה הקודמת שמופעלת על-ידי אירוע או מבוססת על כלל, אך פחות מנהלי אבטחה ניצלו יכולות מוכללות של בינה מלאכותית ולמידת מכונה שמאפשרות החלטות גישה מבוססות על סיכון בזמן אמת. אין ספק שמשימות ניתוב אוטומטיות עוזרות לשחרר את צוות האבטחה כך שהוא יתמקד בחשיבה האסטרטגית יותר שבני אדם מבצעים בצורה הטובה יותר. אך זהו הולם האסטרטגי שבו - למשל בתגובת תקרית שקובעות סדר עדיפויות - לאוטומציה יש את הפוטנציאל הגדול ביותר להעצים צוות אבטחה כשותף חכם של עיבוד נתונים או התאמת דגם. לדוגמה, בינה מלאכותית ואוטומציה מומחיות בתיאום אותות אבטחה כדי לתמוך בזיהוי ותגובה מקיפים במקרי הפרה. כמחצית מאנשי המקצוע בתחום האבטחה שסקרנו לאחרונה, אומרים שעליהם לתאם אותות באופן ידני.1   פעולה זו צורכת זמן רב והופכת את התגובה המהירה להכנת מתקפה לכמעט בלתי אפשרית. באמצעות אפליקציית האוטומציה הנכונה - כגון תיאום את אותות אבטחה - לעתים קרובות ניתן לזהות מתקפות כמעט בזמן אמת.

גילינו שצוותי אבטחה רבים לא משתמשים מספיק באוטומציה שמוכללת בתוך פתרונות קיימים שהם כבר משתמשים בהם. במקרים רבים, החלת אוטומציה היא פשוטה (ובעלת השפעה גבוהה!) כמו קביעת תצורה של תכונות זמינות כגון החלפת פריטי מדיניות של גישה עם כללים קבועים עם פריטי מדיניות של גישה מותנית מבוססים על סיכון, שיוצרים מדריכי תגובה וכן הלאה.

מנהלי אבטחה שבוחרים לוותר על ההזדמנויות של אוטומציה, עושים זאת לעתים קרובות מתוך חשדנות, כשהם מצטטים חששות לגבי המערכת שיוצרת שגיאות שלא ניתן להתאושש מהן תוך תפעול ללא פיקוח אנושי. חלק מהתרחישים הפוטנציאליים כוללים מערכת שמוחקת נתוני משתמש בצורה בלתי הולמת, מה שגורם לאי-נוחות בקרב מנהלים שצריכים לגשת למערכת, או גרוע מזה, גורם למובילים לאבד שליטה או ניראות על פגיעות שנוצלה.

אך אבטחה נוטה להיות איזון בין אי-נוחות יומית קטנה אל מול האיום התמידי של מתקפה קטסטרופלית. לאוטומציה יש את הפוטנציאל לפעול כמערכת אזהרה מוקדמת עבור מתקפה מסוג זה, וניתן להקל או להסיר את אי-הנוחות שלה. חוץ מזה, אוטומציה במיטה לא פועל בעצמה אלא לצד אופרטורים אנושיים, במצבים בהם הבינה המלאכותית שלה יכולה גם ליידע להיבדק על-ידי בינה אנושית.

כדי לעזור לוודא פריסה חלקה, הוספנו מצבי דיווח בלבד לפתרונות שלנו כדי להציע הפעלת ניסיון לפני הפריסה. תוספת זו מאפשרת לצוות האבטחה להטמיע אוטומציה בקצב שלהם, לכוונן את כללי האוטומציה ולנטר את ביצועי הכלים האוטומטיים.

מובילי האבטחה משתמשים באוטומציה בצורה היעילה ביותר לצד הצוות שלהם כדי למלא את הפערים ולשרת כקו הגנה ראשון. כפי שאמר לי לאחרונה מנהל אבטחה אחד, כמעט בלתי אפשרי ויקר עד כדי מניחה למקד את צוות האבטחה בכל מקום בכל זמן - ואפילו אם זה היה אפשרי, צוותי אבטחה נוטים לשינויים תדירים. אוטומציה מספקת שכבה של המשכיות ועקביות שתמיד פועלות כדי לתמוך בצוות האבטחה בתחומים שדורשים את העקביות הזאת, כגון ניטור תעבורה ומערכות אזהרה מוקדמת. אוטומציה שנפרסת בקיבולת תומכת זו, עוזרת לפנות את הצוות מסקירה ידנית של יומני רישום ומערכות ומאפשרת להם ליזום יותר. אוטומציה אינה מחליפה בני אדם - אלו הם כלים שמעצימים את האנשים שלך לתיעדוף התראות ולמיקוד המאמצים שלהם במקומות החשובים ביותר.