ถึงเวลาแล้วที่เทคโนโลยีความปลอดภัยในโลกไซเบอร์จะต้องตามให้ทันศัตรู ตอนนี้เราได้เห็นการโจมตีแบบหลายขั้นตอนที่ประสบความสำเร็จมากมาย เราจำเป็นต้องประเมินวิธีที่เราเชื่อมโยงสัญญาณที่เราเห็นจากเครื่องมือรักษาความปลอดภัยทั้งหมดในสภาพแวดล้อมของเราอีกครั้ง สหสัมพันธ์มีประโยชน์แต่อาจไม่ได้วาดภาพที่สมบูรณ์เสมอไป ขั้นตอนต่อไปในการตรวจจับและตอบสนองคืออะไร?
เพื่อให้เข้าใจสิ่งนี้ เราต้องดูเฟรมเวิร์กปัจจุบันที่ช่วยทีมรักษาความปลอดภัยจัดระเบียบงานประจำวันของพวกเขา Lockheed Martin Kill Chain เป็นเฟรมเวิร์กที่ได้รับความนิยมอย่างมากเมื่อการแพร่กระจายของมัลแวร์เป็นกลยุทธ์หลัก เป็นการดีมากในการสรุปขั้นตอนต่างๆ ที่ผู้โจมตีดำเนินการเพื่อปรับใช้เพย์โหลด ต่อมาคือกรอบงาน MITER ATT&CK ผู้เชี่ยวชาญหลายคนใช้ประโยชน์จากสิ่งนี้ในปัจจุบัน เนื่องจากมีความครอบคลุมมากขึ้น โดยอธิบายกลยุทธ์และเทคนิคที่ได้รับความนิยมจากผู้โจมตีในช่วงไม่กี่ปีที่ผ่านมา
ปัญหาของเฟรมเวิร์กที่ใหญ่และซับซ้อนเหล่านี้คือการเขียนกฎด้วยตนเองเพื่อคาดการณ์และเชื่อมโยงสัญญาณทั้งหมดจากแหล่งที่มาของบันทึกเป็นเรื่องยากมาก ปริมาณบันทึกที่กำลังรวบรวมและเก็บรักษานั้นพุ่งสูงขึ้นอย่างรวดเร็ว นี่กลายเป็นความท้าทายด้านข้อมูลขนาดใหญ่สำหรับคู่ค้าที่เล็กที่สุด สิ่งที่สามารถทำได้เพื่อแก้ปัญหานี้?
การบูรณาการแพลตฟอร์มการรักษาความปลอดภัยและกรอบงานเป็นกุญแจสำคัญ ทุกวันนี้ หลายแพลตฟอร์มมีลิงก์ไปยัง MITER โดยเป็นส่วนหนึ่งของข่าวกรองภัยคุกคาม แต่โดยทั่วไปแล้วจะเกิดขึ้นหลังจากข้อเท็จจริง สิ่งที่เราต้องทำคือจัดระเบียบและนำเสนอการแจ้งเตือนในกรอบงานแบบเรียลไทม์ ผู้โจมตีจะต้องประสบความสำเร็จในหลายขั้นตอนของกรอบงานเพื่อให้บรรลุเป้าหมาย เราต้องประสบความสำเร็จในการหยุดพวกเขาในขั้นตอนใดขั้นตอนหนึ่งเท่านั้น ยิ่งเวทีเร็วเท่าไหร่ก็ยิ่งมีการทำความสะอาดน้อยลงเท่านั้น มีกระบวนการสำคัญบางอย่างที่คุณต้องทำเพื่อให้สำเร็จ
ขั้นแรก คุณต้องมีชุดข้อมูลที่ได้มาตรฐานและครบถ้วน เราไม่ต้องการให้นักวิเคราะห์พยายามประเมินความอันตรายของสัญญาณจนกว่าจะเกิดเหตุการณ์ขึ้นแล้ว – โซลูชันต้องเปรียบเทียบทุกอย่างกับแพลตฟอร์มข่าวกรองภัยคุกคาม (Threat Intelligence Platform) และเสริมข้อมูลในชุดข้อมูลให้ครบถ้วนก่อนที่จะสร้างบันทึก เมื่อข้อมูลอยู่ในรูปแบบมาตรฐานแล้ว ส่วนประกอบ AI/ML สามารถเชื่อมโยงสัญญาณจากเวกเตอร์ภัยคุกคามหลายตัวในสภาพแวดล้อมได้ การแจ้งเตือนจะถูกจัดระเบียบภายในห่วงโซ่การโจมตี (kill chain) ซึ่งเชื่อมโยงโดยตรงกับขั้นตอนของกรอบการโจมตีของ MITRE เมื่อนักวิเคราะห์เห็นการแจ้งเตือน ก็ไม่มีข้อสงสัยใด ๆ เกี่ยวกับการจัดลำดับความสำคัญ
สำหรับพาร์ทเนอร์ การจัดการและประมวลผลการแจ้งเตือนหลายร้อยรายการตลอดทั้งวันเป็นงานที่ใช้เวลาและทรัพยากรมาก โซลูชันจึงต้องมี Machine Learning (ML) ที่ให้การเชื่อมโยงข้อมูลเพิ่มเติม โดยแสดงการโจมตีหลายขั้นตอนเป็นเหตุการณ์ และให้คะแนนความเสี่ยงแก่แต่ละเหตุการณ์ นี่คือ Machine Learning อีกชั้นหนึ่งที่เหนือกว่าการเชื่อมโยงการแจ้งเตือนแบบธรรมดา ซึ่งจะช่วยลดเวลาลงได้อย่างมาก SOC นักวิเคราะห์ใช้เวลาในการจัดกลุ่มการแจ้งเตือนเพื่อทำการวิเคราะห์ ในอุดมคติแล้ว โซลูชันควรช่วยให้นักวิเคราะห์สามารถเพิ่มหรือลบการแจ้งเตือนจากเหตุการณ์ และปรับแต่งคะแนนภัยคุกคามได้
Stellar Cyber เป็นบริษัทแรกที่ให้บริการ XDR- ระบบตรวจจับและหยุดยั้งภัยคุกคามที่มุ่งเน้นเป้าหมาย พร้อมด้วยการจัดการการแจ้งเตือนตามเหตุการณ์ที่ได้รับการปรับปรุงด้วยแมชชีนเลิร์นนิง ถึงเวลาแล้วที่จะใช้ระบบอัตโนมัติของแมชชีนเลิร์นนิงในการตรวจจับและหยุดยั้งผู้โจมตี หากคุณต้องการเรียนรู้เพิ่มเติม โปรดติดต่อ brain@stellarcyber.ai
