CISO Insider: ฉบับที่ 2

ผู้โจมตีด้วยแรนซัมแวร์ต่างมุ่งเป้าโจมตีไปยังแอสเซทที่มีค่าที่สุดของคุณ ซึ่งพวกเขารู้สึกว่าจะสามารถดึงเงินจากคุณได้มากที่สุด ไม่ว่าจะเป็นการหยุดชะงักที่อาจเกิดขึ้นหรือเป็นแอสเซทที่มีค่าที่สุดหากถูกยึดไว้เป็นตัวประกัน หรือเป็นข้อมูลที่ละเอียดอ่อนที่สุดหากมีการเผยแพร่

อุตสาหกรรมจะเป็นตัวกำหนดโปรไฟล์ความเสี่ยงที่สำคัญขององค์กร ในขณะที่ผู้นำด้านการผลิตระบุว่าการหยุดชะงักทางธุรกิจเป็นข้อกังวลอันดับต้นๆ แต่ CISO ด้านบริการค้าปลีกและการเงินจะให้ความสำคัญกับการปกป้องข้อมูลส่วนบุคคลที่ละเอียดอ่อนที่สามารถระบุถึงตัวบุคคลได้ ในขณะที่องค์กรด้านการดูแลสุขภาพเผชิญความเสี่ยงอย่างเท่าเทียมกันในทั้งสองด้าน เพื่อเป็นการตอบสนองในเรื่องดังกล่าว ผู้นำด้านการรักษาความปลอดภัยจึงพยายามเปลี่ยนแปลงโปรไฟล์ความเสี่ยงของตนอย่างต่อเนื่องเพื่อหลีกเลี่ยงการสูญหายและรั่วไหลของข้อมูล ด้วยการเพิ่มความรัดกุมของพารามิเตอร์ การสำรองข้อมูลที่สำคัญ ระบบสำรอง และการเข้ารหัสที่ดีขึ้น

การหยุดชะงักทางธุรกิจกลายเป็นจุดที่ผู้นำหลายคนให้ความสำคัญไปแล้ว เพราะธุรกิจต้องเสียค่าใช้จ่ายแม้ว่าการหยุดชะงักจะเกิดขึ้นเพียงช่วงสั้นๆ ก็ตาม CISO ด้านการดูแลสุขภาพรายหนึ่งบอกผมเมื่อไม่นานนี้ว่าในแง่การปฏิบัติงานแล้ว แรนซัมแวร์แทบไม่แตกต่างจากเหตุการณ์ไฟฟ้าดับครั้งใหญ่เลย แม้ว่าระบบสำรองไฟฟ้าที่เพียงพอจะสามารถช่วยให้กลับมาใช้ไฟฟ้าได้อย่างรวดเร็ว แต่คุณยังคงต้องเผชิญกับเวลาหยุดทำงานที่ขัดขวางการดำเนินธุรกิจ CISO อีกรายกล่าวว่าพวกเขาคำนึงถึงวิธีการที่การหยุดชะงักสามารถส่งผลกระทบในวงกว้างนอกเหนือจากเครือข่ายหลักขององค์กรไปสู่ข้อกังวลด้านการดำเนินงาน เช่น ปัญหาด้านไปป์ไลน์หรือผลกระทบในลำดับรองลงมาจากการที่ซัพพลายเออร์หลักต้องหยุดการให้บริการจากแรนซัมแวร์

กลยุทธ์ในการจัดการการหยุดชะงักมีทั้งระบบสำรองและการแบ่งส่วนระบบเพื่อช่วยลดเวลาหยุดทำงาน ทำให้องค์กรสามารถเปลี่ยนการรับส่งข้อมูลไปยังส่วนอื่นของเครือข่ายได้ในขณะที่ยับยั้งและกู้คืนระบบในส่วนอื่นที่ได้รับผลกระทบ อย่างไรก็ตาม แม้แต่กระบวนการสำรองข้อมูลหรือการกู้คืนระบบจากความเสียหายที่มีประสิทธิภาพที่สุดก็ไม่สามารถแก้ปัญหาภัยคุกคามจากการหยุดชะงักทางธุรกิจหรือการรั่วไหลของข้อมูลได้อย่างสมบูรณ์ อีกด้านหนึ่งของการบรรเทาผลกระทบคือการป้องกัน

CISO หลายรายที่ผมมีโอกาสได้พูดคุยด้วยกำลังใช้แนวทางชุดแบบสีในการป้องกันและตรวจหาการโจมตี โดยใช้โซลูชันหลายชั้นของผู้ขายที่ครอบคลุมการทดสอบช่องโหว่ การทดสอบพารามิเตอร์ การตรวจสอบอัตโนมัติ การรักษาความปลอดภัยอุปกรณ์ปลายทาง การปกป้องข้อมูลประจำตัว ฯลฯ สำหรับบางคนแล้ว นี่คือการดำเนินการซ้ำซ้อนแบบจงใจ โดยหวังว่าวิธีการที่มีหลายชั้นจะครอบคลุมช่องว่างทั้งหมดเสมือนแผ่นชีสสวิสที่วางซ้อนกันและหวังว่ารูในแต่ละแผ่นจะไม่เรียงตรงกัน

ประสบการณ์ของเราแสดงให้เห็นว่าความหลากหลายนี้อาจทำให้ความพยายามในการแก้ไขยุ่งยากขึ้น และอาจสร้างโอกาสเผชิญความเสี่ยงได้มากขึ้น ตามที่ CISO รายหนึ่งได้ตั้งข้อสังเกตไว้ว่า ข้อเสียของการใช้โซลูชันหลายตัวร่วมกันคือการขาดความสามารถในการมองเห็นข้อมูลเนื่องจากการแยกส่วน: “เรามีแนวทางที่ดีที่สุด ซึ่งแนวทางดังกล่าวเองก็ก่อให้เกิดความท้าทายบางประการเนื่องจากขาดข้อมูลเชิงลึกเกี่ยวกับความเสี่ยงโดยรวม เนื่องจากคุณมีคอนโซลที่เป็นอิสระจากกันที่คุณกำลังจัดการภัยคุกคามต่างๆ และไม่ทราบภาพรวมของสิ่งที่เกิดขึ้นในสถานที่ปฏิบัติงานของคุณ” (การดูแลสุขภาพ, จำนวนพนักงาน 1,100 คน) เนื่องจากผู้โจมตีสร้างเครือข่ายการโจมตีที่ซับซ้อนซึ่งสามารถส่งผลกระทบในโซลูชันที่แตกต่างกันหลายตัว จึงเป็นเรื่องยากที่จะรับทราบภาพรวมที่สมบูรณ์ของการเจาะระบบเพื่อโจมตีทางไซเบอร์ ระบุขอบเขตของการโจมตี และกำจัดส่วนข้อมูลที่มีมัลแวร์ทั้งหมด การหยุดการโจมตีที่กำลังดำเนินอยู่ต้องใช้ความสามารถในการตรวจสอบเวกเตอร์หลายตัวเพื่อตรวจจับ ยับยั้ง และควบคุม/แก้ไขการโจมตีแบบเรียลไทม์

หลายคนยังคงไม่ได้ใช้ XDR ให้เกิดประโยชน์สูงสุด CISO หลายรายที่เรามีโอกาสพูดคุยด้วยได้นำจุดเริ่มต้นที่มีประสิทธิภาพไปใช้ใน EDR EDR เป็นแอสเซทที่ได้รับการพิสูจน์แล้ว โดยเราพบว่าผู้ใช้การตรวจหาและการตอบสนองอุปกรณ์ปลายทางในปัจจุบันมีประวัติในการตรวจหาและหยุดยั้งแรนซัมแวร์ได้เร็วขึ้น

อย่างไรก็ตาม เนื่องจาก XDR เป็นการต่อยอดจาก EDR ทางด้านของ CISO บางรายจึงยังคงไม่มั่นใจถึงประโยชน์ของ XDR XDR เป็นแค่ EDR ที่มีการแก้ไขปัญหาเพียงบางจุดหรือไม่ ฉันต้องใช้โซลูชันที่แยกจากกันโดยสิ้นเชิงหรือไม่ หรือ EDR ของฉันจะนำเสนอความสามารถแบบเดียวกันในท้ายที่สุดหรือไม่ ตลาดปัจจุบันสำหรับโซลูชัน XDR ก่อให้เกิดความสับสนมากขึ้น เนื่องจากผู้ขายต่างแข่งขันกันเพื่อเพิ่มข้อเสนอ XDR ลงในกลุ่มผลิตภัณฑ์ ผู้ขายบางรายกำลังเพิ่มเครื่องมือ EDR เพื่อรวมข้อมูลภัยคุกคามเพิ่มเติม ในขณะที่บางรายมุ่งเน้นไปที่การสร้างแพลตฟอร์ม XDR เฉพาะเป็นหลัก วิธีการหลังได้รับการสร้างขึ้นใหม่ทั้งหมดเพื่อมอบการทำงานร่วมกันที่พร้อมใช้งานทันทีและความสามารถที่มุ่งเน้นไปที่ความต้องการของนักวิเคราะห์ความปลอดภัยเป็นหลัก โดยเปิดโอกาสให้ทีมของคุณต้องดำเนินการบางอย่างด้วยตนเองน้อยที่สุด

เมื่อเผชิญกับปัญหาการขาดแคลนบุคลากรที่มีความสามารถด้านการรักษาความปลอดภัยและความจำเป็นในการตอบสนองอย่างรวดเร็วเพื่อยับยั้งภัยคุกคาม เราได้สนับสนุนให้ผู้นำใช้ระบบอัตโนมัติเพื่อช่วยให้บุคลากรของตนมีอิสระในการให้ความสำคัญกับการป้องกันภัยคุกคามที่เลวร้ายที่สุด แทนที่จะต้องจัดการกับงานทั่วไป เช่น การรีเซ็ตรหัสผ่าน ที่น่าสนใจก็คือผู้นำด้านการรักษาความปลอดภัยหลายรายที่ผมมีโอกาสพูดคุยต่างกล่าวว่าตนเองยังไม่ได้ใช้ประโยชน์จากความสามารถของระบบอัตโนมัติอย่างเต็มที่ ในบางกรณี ผู้นำด้านการรักษาความปลอดภัยไม่ได้ตระหนักถึงโอกาสนี้อย่างเต็มที่ ในขณะที่คนอื่นๆ ลังเลที่จะนำระบบอัตโนมัติมาใช้เนื่องจากกังวลว่าจะไม่สามารถควบคุมระบบได้ อาจก่อให้เกิดความไม่ถูกต้อง หรือสูญเสียความสามารถในการมองเห็นภัยคุกคาม ซึ่งข้อหลังนี้เองที่เป็นข้อกังวลที่ถูกต้องตามเหตุผลอย่างยิ่ง อย่างไรก็ตาม เราพบเห็นผู้นำระบบอัตโนมัติที่มีประสิทธิภาพมาใช้บรรลุผลในทางตรงกันข้าม โดยสามารถควบคุมระบบได้มากขึ้น ได้รับผลบวกปลอมน้อยลง มีข้อมูลที่ไม่เกี่ยวข้องน้อยลง และได้รับข้อมูลเชิงลึกที่สามารถดำเนินการได้มากขึ้น จากการปรับใช้ระบบอัตโนมัติร่วมกับทีมรักษาความปลอดภัยเพื่อใช้เป็นแนวทางและกำหนดความพยายามของทีม

ระบบอัตโนมัติครอบคลุมความสามารถที่หลากหลาย ตั้งแต่งานดูแลระบบอัตโนมัติขั้นพื้นฐานไปจนถึงการประเมินความเสี่ยงที่อาศัยการเรียนรู้ของเครื่องแบบอัจฉริยะ CISO ส่วนใหญ่รายงานว่ามีการนำระบบอัตโนมัติแบบแรกที่ทริกเกอร์ตามเหตุการณ์หรือตามกฎมาใช้ แต่มีเพียงไม่กี่รายเท่านั้นที่ใช้ประโยชน์จากความสามารถด้านปัญญาประดิษฐ์และการเรียนรู้ของเครื่องที่มีอยู่แล้วภายใน ซึ่งช่วยให้สามารถตัดสินใจเกี่ยวกับการเข้าถึงตามความเสี่ยงได้แบบเรียลไทม์ แน่นอนว่าการปรับงานประจำให้เป็นระบบอัตโนมัติช่วยให้ทีมรักษาความปลอดภัยมีอิสระในการให้ความสำคัญมากขึ้นกับการคิดเชิงกลยุทธ์ที่มนุษย์ทำได้ดีที่สุด แต่ในขอบเขตเชิงกลยุทธ์นี้ เช่น ในการคัดแยกการตอบสนองต่อเหตุการณ์ ระบบอัตโนมัติมีศักยภาพมากที่สุดในการเพิ่มศักยภาพให้กับทีมรักษาความปลอดภัยในฐานะเพื่อนร่วมงานที่ชาญฉลาดในการประมวลผลข้อมูลและการจับคู่รูปแบบ ตัวอย่างเช่น AI และระบบอัตโนมัติเชี่ยวชาญในการเชื่อมโยงความสัมพันธ์ของสัญญาณอันตรายด้านความปลอดภัยเพื่อสนับสนุนการตรวจจับและการตอบสนองต่อการละเมิดที่ครอบคลุม ผู้ปฏิบัติงานด้านการรักษาความปลอดภัยประมาณครึ่งหนึ่งที่เราสำรวจความคิดเห็นเมื่อไม่นานนี้กล่าวว่าพวกเขาต้องเชื่อมโยงความสัมพันธ์ของสัญญาณอันตรายด้วยตนเอง1   ซึ่งใช้เวลานานอย่างไม่น่าเชื่อและแทบเป็นไปไม่ได้เลยที่จะตอบสนองได้อย่างรวดเร็วเพื่อยับยั้งการโจมตี ด้วยการประยุกต์ใช้ระบบอัตโนมัติที่เหมาะสม เช่น การเชื่อมโยงความสัมพันธ์ของสัญญาณอันตรายด้านความปลอดภัย จึงมักจะตรวจพบการโจมตีได้ในระดับใกล้เคียงเรียลไทม์

เราพบว่าทีมรักษาความปลอดภัยจำนวนมากใช้งานระบบอัตโนมัติที่มีอยู่ภายในโซลูชันที่ใช้งานอยู่แล้วน้อยเกินไป ในหลายกรณี การใช้ระบบอัตโนมัติเป็นเรื่องง่าย (และมีผลกระทบอย่างสูง!) เช่นเดียวกับการกำหนดค่าฟีเจอร์ที่มีอยู่ เช่น การแทนที่นโยบายการเข้าถึงแบบกฎตายตัวด้วยนโยบายการเข้าถึงแบบมีเงื่อนไขตามความเสี่ยง การสร้างคู่มือการวางแผนกลยุทธ์ในการตอบสนอง ฯลฯ

CISO ที่เลือกปฏิเสธโอกาสในการใช้งานระบบอัตโนมัติมักจะทำเช่นนั้นเนื่องจากความไม่ไว้วางใจ โดยอ้างถึงความกังวลเกี่ยวกับระบบที่อาจก่อให้เกิดข้อผิดพลาดที่ไม่สามารถแก้ไขได้ในขณะที่ทำงานโดยปราศจากการควบคุมดูแลของมนุษย์ สถานการณ์ที่เป็นไปได้บางส่วน ได้แก่ การที่ระบบลบข้อมูลผู้ใช้อย่างไม่เหมาะสม ทำให้ผู้บริหารที่ต้องการเข้าถึงระบบประสบความไม่สะดวก หรือนำไปสู่การไม่สามารถควบคุมหรือมองเห็นข้อมูลเกี่ยวกับช่องโหว่ที่ถูกโจมตีในกรณีที่เลวร้ายที่สุด

แต่การรักษาความปลอดภัยมีแนวโน้มที่จะสร้างสมดุลระหว่างความไม่สะดวกเล็กๆ น้อยๆ ที่ได้รับในแต่ละวัน เทียบกับภัยคุกคามจากการโจมตีที่รุนแรงอย่างต่อเนื่อง ระบบอัตโนมัติมีศักยภาพที่จะทำหน้าที่เป็นระบบเตือนภัยล่วงหน้าสำหรับการโจมตีดังกล่าว และสามารถบรรเทาผลกระทบหรือขจัดความไม่สะดวกดังกล่าวได้ นอกจากนี้ ระบบอัตโนมัติที่ดีที่สุดไม่ได้ทำงานด้วยตัวเอง แต่ทำงานร่วมกับผู้ปฏิบัติงานที่เป็นมนุษย์ ซึ่งปัญญาประดิษฐ์สามารถแจ้งข้อมูลและได้รับการตรวจสอบด้วยสติปัญญาของมนุษย์

เพื่อช่วยรับรองว่าการปรับใช้งานจะเป็นไปอย่างราบรื่น เราได้เพิ่มโหมดรายงานเท่านั้นให้กับโซลูชันของเราเพื่อเสนอการทดลองใช้ก่อนการเปิดตัว ซึ่งช่วยให้ทีมรักษาความปลอดภัยสามารถนำระบบอัตโนมัติไปใช้ได้ตามต้องการ โดยปรับแต่งกฎของระบบอัตโนมัติอย่างละเอียดและติดตามประสิทธิภาพของเครื่องมืออัตโนมัติ

ผู้นำด้านการรักษาความปลอดภัยที่ใช้ระบบอัตโนมัติอย่างมีประสิทธิผลสูงสุดจะปรับใช้ระบบนี้ร่วมกับทีมของตนเพื่อเติมเต็มช่องว่างและทำหน้าที่เป็นแนวป้องกันด่านแรก ดังที่ CISO รายหนึ่งได้บอกกับผมไว้เมื่อไม่นานนี้ว่าการมีทีมรักษาความปลอดภัยที่ดูแลทุกจุดอยู่ตลอดเวลาแทบจะเป็นไปไม่ได้เลยและมีค่าใช้จ่ายสูงมาก และถึงแม้จะเกิดขึ้นครั้ง ทีมรักษาความปลอดภัยดังกล่าวก็มีแนวโน้มที่จะลาออกเป็นประจำ ระบบอัตโนมัติมอบความต่อเนื่องและความสม่ำเสมอที่ทำงานตลอดเวลาอีกหนึ่งชั้นเพื่อสนับสนุนทีมรักษาความปลอดภัยในจุดที่ต้องการความสม่ำเสมอนี้ เช่น การตรวจสอบการรับส่งข้อมูลและระบบเตือนภัยล่วงหน้า ระบบอัตโนมัติที่ปรับใช้ในความสามารถเชิงสนับสนุนนี้ช่วยให้ทีมเป็นอิสระจากการตรวจสอบบันทึกและระบบด้วยตนเอง และช่วยให้พวกเขาสามารถดำเนินการเชิงรุกได้มากขึ้น ระบบอัตโนมัติไม่ได้แทนที่มนุษย์ โดยเครื่องมือเหล่านี้ช่วยเพิ่มศักยภาพให้กับบุคลากรของคุณในการจัดลำดับความสำคัญของการแจ้งเตือนและทุ่มเทความพยายามของตนในส่วนที่สำคัญที่สุด