CISO Insider: Drugo izdanje

Napadači ransomverom targetiraju najvrednije resurse preko kojih misle da mogu da izvuku najviše novca od vas, bilo zato što će to najviše izazvati pometnju ili zato što su najvredniji ako se otmu, odnosno najosetljiviji ako se objave.

Sektor je važan faktor u profilu rizika neke organizacije – vodeći proizvođači navode da se najviše boje ometanja poslovanja, vodeći direktori za bezbednost informacija u maloprodajnim i finansijskim uslugama prednost daju zaštiti osetljivih podataka o ličnosti, dok su zdravstvene organizacije podjednako ranjive na oba fronta. Zato istaknuti ljudi u bezbednosti odlučno menjaju svoj profil rizika da bi sprečili gubitak i izlaganje podataka jačanjem granica, pravljenjem rezervnih kopija ključnih podataka, dodatnih sistema i boljim šifrovanjem.

Mnogi lideri se sada fokusiraju na smetnje u poslovanju. Preduzeće snosi troškove čak i kada je prekid kratak. Jedan vodeći direktor za bezbednost informacija u zdravstvu nedavno mi je rekao da ransomver ima isti efekat na poslovanje kao i ozbiljan nestanak struje. Iako odgovarajući rezervni sistem može brzo da vrati struju, svakako imate zastoj koji prekida posao. Jedan drugi vodeći direktor za bezbednost informacija pomenuo je da razmišlja o tome kako smetnje mogu da se prošire sa glavne poslovne mreže i izazovu probleme u poslovanju, kao što su problemi sa cevovodima ili sekundarni efekat prekida kod ključnih dobavljača usled ransomvera.

Taktike za upravljanje smetnjama obuhvataju i dodatne sisteme i segmentaciju kako bi se zastoj sveo na minimum, a organizacije mogle da preusmere saobraćaj na druge delove mreže dok saniraju i oporavljaju pogođeni segment. Međutim, čak ni najizdržljiviji procesi pravljenja rezervi i oporavka posle katastrofe ne mogu u potpunosti da reše pretnju od ometanja poslovanja ili izlaganja podataka. Naličje ublažavanja je prevencija.

Mnogi vodeći direktori za bezbednost informacija sa kojima razgovaram imaju šaroliki pristup sprečavanju i otkrivanju napada, te koriste slojeve rešenja dobavljača koja obuhvataju testiranje ranjivosti, testiranje granica, automatizovani nadzor, bezbednost krajnjih tačaka, zaštitu identiteta itd. Za neke je to namerna redundantnost jer se nadaju da će slojeviti pristup otkloniti sve propuste, kao u modelu švajcarskog sira, u nadi da se rupe neće poklopiti.

Prema našem iskustvu, ta raznovrsnost može da komplikuje težnju ka oporavku i da potencijalno stvori veću izloženost riziku. Kako jedan vodeći direktor za bezbednost informacija ističe, loša strana spajanja više različitih rešenja jeste manja vidljivost usled fragmentacije: „Imam najbolji pristup u klasi, koji sam po sebi pravi određene probleme jer nema dovoljno uvida u ukupne rizike s obzirom da imate nezavisne konzole pomoću kojih upravljate pretnjama, a nemate jedinstven uvid u ono što se događa kod vas.“ (Zdravstvo, 1100 zaposlenih) Kada napadači pletu složenu mrežu koja se prostire na nekoliko različitih rešenja, može biti teško stvoriti kompletnu sliku o stepenima napada, odrediti razmere ugroženosti i u potpunosti ukloniti zlonamerne korisne podatke. Zaustavljanje napada dok traje zahteva sposobnost nadgledanja nekoliko vektora da bi se napadi uočili, odvratili i zadržali/sanirali u realnom vremenu.

Većina još uvek nema koristi od XDR. Mnogi vodeći direktori za bezbednost informacija sa kojima razgovaramo počeli su od otkrivanja i reagovanja na krajnjim tačkama. EDR je dokazani resurs: videli smo da trenutni korisnici otkrivanja i reagovanja na krajnjim tačkama brže otkrivaju i zaustavljaju ransomver.

Međutim, pošto XDR predstavlja nadogradnju EDR-a, neki vodeći direktori za bezbednost informacija i dalje su skeptični po pitanju njegove korisnosti. Da li je XDR samo EDR sa nalepljenim pojedinačnim rešenjima? Da li zaista moram da koristim potpuno odvojeno rešenje? Da li će moj EDR moći da ponudi iste mogućnosti? Trenutno tržište XDR rešenja unosi dodatnu zabunu jer se dobavljači takmiče u dodavanju XDR ponuda u proizvodni portfolio. Neki dobavljači proširuju svoje EDR alatke da bi obuhvatili dodatne podatke o pretnjama, a drugi se više fokusiraju na izgradnju namenskih XDR platformi. XDR platforme su napravljene iznova da bi se omogućila momentalna integracija i mogućnosti usredsređene na potrebe analitičara bezbednosti, tako da tim ima što manje propusta koje treba da otkloni ručno.

S obzirom na problem manjka stručnjaka za bezbednost i potrebe za brzom reakcijom radi ograničavanja pretnji, podstičemo lidere da koriste automatizaciju da bi rasteretili svoje ljudi i pomogli im da se fokusiraju na odbranu od najgorih pretnji, a ne na rešavanje dosadnih zadataka, kao što je menjanje lozinke. Zanimljivo je da mnogi istaknuti ljudi u bezbednosti sa kojima sam razgovarao kažu da još uvek ne iskorišćavanju mogućnosti automatizacije u potpunosti. U nekim slučajevima, istaknuti ljudi u bezbednosti nisu sasvim svesni prilike, drugi oklevaju da prihvate automatizaciju jer se boje da će izgubiti kontrolu, da će doći do netačnosti ili da će se narušiti vidljivost pretnji. Poslednje navedeno je legitiman razlog za brigu. Međutim, vidimo da oni koji efikasno usvajaju automatizaciju postižu suprotno – više kontrole, manje lažno pozitivnih rezultata, manje šuma i više akcionog uvida – korišćenjem automatizacije zajedno sa bezbednosnim timom, koja ih vodi i pomaže im da se usredsrede.

Automatizacija pokriva niz mogućnosti, od osnovnih automatizovanih administrativnih zadataka do pametne procene rizika omogućene mašinskim učenjem. Većina vodećih direktora za bezbednost informacija kaže da su usvojili ovo prvo, automatizaciju koju pokreću događaji ili zasnovanu na pravilima, ali manji broj koristi ugrađene sposobnosti veštačke inteligencije i mašinskog učenja koje omogućavaju odluke o pristupu zasnovane na riziku u realnom vremenu. Automatizacija rutinskih zadataka svakako rasterećuje bezbednosni tim i pomaže mu da se fokusira na strateško razmišljanje, koje čoveku najbolje i ide. Baš na tom strateškom polju, na primer u trijaži reagovanja na incident, automatizacija ima najveći potencijal da osnaži bezbednosni tim, kao inteligentni partner koji obrađuje podatke i prepoznaje obrasce. Na primer, AI i automatizacija su dobri u povezivanju bezbednosnih signala u cilju sveobuhvatnog otkrivanja i reagovanja na proboj. Otprilike polovina nedavnih ispitanika koji se praktično bave bezbednošću kažu da ručno moraju da spajaju signale.1   To oduzima strahovito mnogo vremena i maltene onemogućava brzo reagovanje kojim se zadržava napad. Uz odgovarajuću primenu automatizacije, kao što je povezivanje bezbednosnih signala, napadi često mogu da se otkriju gotovo u realnom vremenu.

Otkrili smo da mnogi bezbednosni timovi nedovoljno koriste automatizaciju ugrađenu u postojeća rešenja koja već koriste. U mnogim slučajevima, primena automatizacije je jednako jednostavna (i delotvorna) kao konfiguracija dostupnih funkcija, na primer zamena smernica za pristup sa fiksnim pravilima smernicama za uslovni pristup zasnovanim na riziku, osmišljavanje pravilnika o reagovanju itd.

Vodeći direktori za bezbednost informacija koji reše da propuste prilike za automatizaciju često rade to jer nemaju poverenje i navode da su zabrinuti da će sistem napraviti nepovratne greške dok radi bez ljudskog nadzora. Neki od potencijalnih scenarija su da sistem neprimereno izbriše korisničke podatke, pravljenje problema direktoru kojem je potreban pristup sistemu ili još gore, gubitak kontrole ili vidljivosti nad ranjivošću koja je iskorišćena.

Međutim, bezbednost je obično ravnoteža između svakodnevnih manjih neugodnosti nasuprot konstantnoj pretnji od katastrofalnog napada. Automatizacija ima potencijal da bude sistem ranog upozoravanja na takve napade, a neugodnosti koje donosi mogu da se ublaže ili otklone. Osim toga, u svom najboljem obliku, automatizacija ne radi sama, već sa ljudskim rukovaocima, gde njena veštačka inteligencija može da pruža informacije, ali i da se proveri ljudskom inteligencijom.

Da bi se osigurala neometana primena, dodavali smo svojim rešenjima režime samo za izveštavanje kako bismo ponudili probni rad pre početka korišćenja. To omogućava bezbednosnom timu da primenjuje automatizaciju svojim tempom, uz fino podešavanje pravila automatizacije i nadgledanje učinka automatizovanih alatki.

Istaknuti ljudi u bezbednosti koji najefikasnije koriste automatizaciju primenjuju je uz tim za otklanjanje nedostataka i kao prvu liniju odbrane. Kako mi je jedan vodeći direktor za bezbednost informacija nedavno rekao, gotovo da je nemoguće i papreno je skupo da se bezbednosni tim fokusira na sve u svakom trenutku, a čak i da je moguće, u bezbednosnim timovima je visoka fluktuacija radnika. Automatizacija pruža sloj stalnog kontinuiteta i doslednosti kao podrška bezbednosnom timu u oblastima koji zahtevaju takvu doslednost, kao što su nadzor saobraćaja i sistemi ranog upozoravanja. Kada se koristi kao podrška, automatizacija oslobađa tim od ručnog pregledanja evidencija i sistema i omogućava im da budu proaktivniji. Automatizacija ne zamenjuje ljude. To su alatke koje omogućavaju ljudima da određuju prioritete među upozorenjima i da usredsrede trud tamo gde je najpotrebnije.