كشف الشبكة والاستجابة (NDR) لقد كان بمثابة رودني دانجرفيلد لأدوات الأمن خلال السنوات القليلة الماضية - "لا يحظى بأي احترام". من المحتمل أن تكون هذه السمعة السيئة ناتجة عن كل أموال التسويق التي أُنفقت عليه. اكتشاف نقطة النهاية والاستجابة لها (EDR) و الكشف والاستجابة الموسعة (XDR). قد يكون الأمر مرتبطًا أيضًا بنمو حركة المرور المشفرة والاعتقاد الخاطئ المرتبط بها بأن حركة المرور المشفرة قد حجبت تقنية NDR تمامًا (ملاحظة: لم يحدث ذلك).
بغض النظر عن سبب تراجع مكانة NDR في سلم أولويات أدوات الأمن، أؤكد لكم أن الادعاءات المغلوطة حول NDR ليست صحيحة فحسب، بل قد تُعرّض المؤسسات التي تتبنى هذه المغالطات لمخاطر غير ضرورية. في رأيي المتواضع، يُعدّ NDR ضرورةً أساسيةً لعمليات الأمن اليوم، وستزداد قيمته مستقبلاً.
اسمحوا لي أن أوضح. هناك مقولة قديمة في مجال الأمن السيبراني تقول: "الشبكة لا تكذب"، ما يعني أن بيانات الشبكة عن بُعد بالغة الأهمية لمراقبة جميع الأنشطة - أي حركة البيانات بالغة الأهمية، وما هي حركة البيانات والبروتوكولات التي تمر عبر الشبكة، وكيف تعمل الشبكة، وأي حركة بيانات تُستخدم لأغراض خبيثة. من منظور أمني، يُعدّ نظام الكشف والاستجابة للشبكة (NDR) ضروريًا كمكمل لتقنيات مثل الكشف والاستجابة لنقاط النهاية (EDR). XDR, SIEMوغير ذلك، على وجه التحديد من أجل:
- حماية الأصول "غير الخاضعة لسيطرة الوكلاء" والدفاع عنها. العديد من أصول تكنولوجيا المعلومات مثل أجهزة التوجيه وأجهزة الشبكة وأجهزة إنترنت الأشياء/التشغيل لا تعمل EDR تُعيق هذه العوامل عمل أنظمة الكشف والاستجابة لنقاط النهاية (EDR) عن رصد الهجمات ذات الصلة. وقد شهدنا العديد منها، مثل هجوم تريتون/تريسيس عام 2017 (الذي استهدف وحدات التحكم في أمان تكنولوجيا التشغيل)، واختراق كاميرات فيركادا عام 2021، وبالطبع، الهجوم الأبرز على الإطلاق، ستوكسنت (2010). تستطيع أنظمة EDR الفعّالة مراقبة هذه الأجهزة، وتحديد أنماط حركة البيانات غير الطبيعية، وتسهيل الاستجابة السريعة.
- كشف الحركة الجانبية. عندما ينجح المهاجمون في اختراق أحد الأصول (على سبيل المثال، بتعطيل وكيل EDR)، يصبح نظام NDR بالغ الأهمية لكشف حركة مرور الشبكة غير الطبيعية التي قد تشير إلى تحركات جانبية تُستخدم كجزء من تصعيد الامتيازات أو اكتشاف البيانات الحساسة. ويكتسب هذا أهمية خاصة للدفاع ضد هجمات "الاستغلال" التي تحاكي حركة مرور الشبكة "الطبيعية" بدقة.
- تسريب البيانات. NDR يتميز هذا النظام بقدرته الفائقة على رصد عمليات نقل البيانات الكبيرة أو غير المعتادة، والتي غالبًا ما تُنقل إلى خوادم خارجية عبر بروتوكول نظام أسماء النطاقات (DNS). على سبيل المثال، استخرجت مجموعة أدوات برمجية Decoy Dog الخبيثة لعام 2023 بيانات حساسة عن طريق تقسيمها إلى أجزاء صغيرة، وتشفيرها، ثم إضافتها كنطاقات فرعية إلى نطاقات يتحكم بها المهاجم. بعد ذلك، التقط خادم المهاجم هذه الطلبات الواردة، وأزال غلاف النطاق، وأعاد تجميع الحمولة دون أن ترصدها جدران الحماية التقليدية. مرة أخرى، كان بإمكان أدوات الكشف والاستجابة للشبكات (NDR) الرائدة رصد أنماط حركة البيانات الخفية والشاذة هذه، ومن ثم إصدار تنبيه.
- القياس عن بعد التكميلي والضروري. لا تتجاوز جودة نماذج الذكاء الاصطناعي جودة البيانات التي بُنيت عليها. تُكمّل بيانات قياس الشبكة سجلات النظام، وتنبيهات أنظمة الكشف والاستجابة لنقاط النهاية (EDR)، ومصادر البيانات الأخرى، بمعلوماتٍ حول البروتوكولات الخطرة، وأنماط حركة البيانات الشاذة، والحركة الجانبية التي تُشير إلى هجمات "بطيئة ومنخفضة"، وتحليل حركة البيانات المُشفّرة (ETA). على سبيل المثال، يُمكن لبيانات قياس الشبكة أن تُساعد وكلاء الأمان المستقلين على التحقق من صحة تنبيهات نقاط النهاية التي يُحتمل اختراقها أو دحضها، وذلك من خلال مُقارنة سجلات النظام الداخلية بأنماط حركة البيانات الخارجية الفعلية. في نهاية المطاف، تُزيل بيانات قياس الشبكة غطاء التخفي الذي يُخفي المهاجم، وذلك من خلال ربط الحركة الجانبية الخبيثة بمصادر البيانات الأخرى في الوقت الفعلي.
- نماذج أفضل لتغطية إنترنت الأشياء/التكنولوجيا التشغيلية. تستمر قطاعات مثل التصنيع والرعاية الصحية والخدمات اللوجستية في إضافة أنواع جديدة من إنترنت الأشياء و OT الأجهزة. على سبيل المثال، يتوقع دليل الإنفاق العالمي نصف السنوي على إنترنت الأشياء لعام 2026 الصادر عن مؤسسة IDC أن يتجاوز الإنفاق العالمي على إنترنت الأشياء/التكنولوجيا التشغيلية حاجز 1.1 تريليون دولار بحلول نهاية عام 2026. وعلى الرغم من هذا النمو، تشير أبحاث شركة ماكينزي وشركاه إلى وجود "فجوة في الرؤية"، حيث لا تزال المؤسسات الصناعية المتوسطة غير قادرة على تحديد 30% من الأجهزة المتصلة بشبكة الإنتاج الرئيسية لديها. يمكن لتقنية الكشف والاستجابة الشبكية (NDR) اكتشاف الأصول ومراقبة أنماط حركة البيانات والبروتوكولات الفريدة، والتي يمكن استخدامها بعد ذلك لتطوير نماذج الذكاء الاصطناعي ووظائف الوكلاء. قد يُحدث هذا فرقًا جوهريًا بين التنبيهات المزعجة والكشف الدقيق والموجز عن تهديدات إنترنت الأشياء/التكنولوجيا التشغيلية.
- استجابة خط الدفاع الأول. إلى جانب معلومات التهديدات، NDR يمكن أن تساعد بيانات القياس عن بُعد المؤسسات على التنبؤ بالهجمات، وتصور مساراتها، وتعزيز دفاعاتها. وبفضل بيانات الشبكة وغيرها من بيانات القياس عن بُعد، تستطيع أنظمة الذكاء الاصطناعي تشغيل إجراءات عمل لعزل شبكة VLAN المخترقة تلقائيًا أو تحديث قواعد جدار الحماية في الوقت الفعلي إذا رصدت سلوكًا يشير إلى أساليب وتقنيات هجمات برامج الفدية عالية الموثوقية.
حسنا، NDR يبدو الأمر منطقياً في حد ذاته وكجزء من فاعلية SOCإذن، كيف ينبغي للمؤسسات أن تتصرف؟ في حين أن أكبر الشركات قد تمتلك الميزانيات والمهارات اللازمة للحفاظ على أداة مستقلة لإدارة التقارير والحوادث، فإن الشركات الصغيرة والمتوسطة الحجم ذات الموارد المحدودة قد تستفيد من أداة فعّالة. SOC منصة تدمج بيانات القياس عن بُعد الخاصة بنظام الكشف والاستجابة الشبكي (NDR) مع مصادر بيانات أخرى مثل نظام الكشف والاستجابة لنقاط النهاية (EDR)، وسجلات السحابة، وسجلات الهوية، وما إلى ذلك. وبهذه الطريقة، تُنتج المنصة المتكاملة رسمًا بيانيًا موحدًا للبيانات، يُمكن استخدامه لإنشاء نماذج ووكلاء ذكاء اصطناعي أكثر دقة وتوحيدًا وتخصيصًا، بما يتناسب مع قطاع كل مؤسسة وموقعها ومستوى التهديدات التي تواجهها.
بذلك، يستطيع مديرو أمن المعلومات تقليل التكلفة الإجمالية للملكية، وترشيد أدوات عمليات الأمن، وتوحيد جهود فريق الأمن بأكمله. بعبارة أخرى، يمكنهم الاستغناء عن التكامل والبرمجة المخصصة، بينما يستطيع فريق الأمن بأكمله (وربما فريق تكنولوجيا المعلومات) مشاركة واجهة عمليات أمنية مشتركة، مع تعلم وتحسين أداء وكيل واحد. SOC .
مع كامل الاحترام لرودني دانجرفيلد، يجب أن تحظى تقنية NDR بالكثير من الاحترام – خاصة مع انتقال المؤسسات من أدوات عمليات أمنية متباينة إلى نظام ذكي قائم على الوكلاء SOCأوه، وهل ذكرت أن الشبكة لا تكذب؟
