ส่วนที่ II: การจัดการพฤติกรรมผู้ใช้และเอนทิตี
(สนทนาและสาธิต 10 นาที)
เจฟฟ์:ยินดีต้อนรับสู่ตอนที่ 2 ของซี รีส์การบรรยายเชิงลึกด้านความเป็นผู้นำทาง ความคิดในด้านความปลอดภัยทางไซเบอร์ GRC – การกำกับดูแล ความเสี่ยง และการปฏิบัติตามกฎระเบียบ ขอต้อนรับทุกท่านที่เข้าร่วมสัมมนาออนไลน์ในครั้งนี้ ก่อนอื่นขอแนะนำทีมงานก่อน ผมชื่อเจฟฟ์ เชาผู้อำนวยการฝ่ายการเปลี่ยนแปลงทางดิจิทัลจาก IUWorld ครับ
กับฉันที่นี่วันนี้คือ Snehal Contractor จาก Stellar Cyber Snehal เป็นรองประธานที่รับผิดชอบด้านวิศวกรรมระบบและบริการด้านเทคนิคทั่วโลก
ยินดีต้อนรับคุณสเนฮาลที่มาร่วมพูดคุย ในซีรีส์การเป็นผู้นำทางความคิด ของ IUWorldในครั้งนี้ ต่อไปนี้ ผมขอแนะนำIUWorldครับ
เราอยู่ในธุรกิจ ICT มา 20 ปี มีรากฐานมาจากฮ่องกงและมาเก๊าและปัจจุบันเราเรียกว่า Greater Bay Area ลูกค้าของเรามีตั้งแต่ธนาคารและสถาบันการเงินรัฐบาลและองค์กรพัฒนาเอกชนไปจนถึงองค์กรการค้าและรีสอร์ทสำหรับเล่นเกม วันนี้เราเชี่ยวชาญในบริการรักษาความปลอดภัยทางไซเบอร์โดยมุ่งเน้นที่นวัตกรรม GRC
วิธีการทำงานของเราคือ การใช้เทคโนโลยีใหม่ๆ เหล่านี้เพื่อสร้างแผนธุรกิจที่เสริมสร้างความยืดหยุ่นให้กับองค์กร ผมชอบเรียกมันว่า“โครงการเปลี่ยนแปลง ”
ไปที่หัวข้อของวันนี้กัน - การวิเคราะห์พฤติกรรมของเอนทิตีผู้ใช้ (UEBA).
ตระหนักถึงความสำคัญที่เพิ่มมากขึ้นของ Regulatory Technology (Regtech) หนึ่งในประเด็นสำคัญคือการพิจารณาพฤติกรรมของผู้ใช้และหน่วยงานในองค์กรเพื่อการจัดการความเสี่ยงอย่างรอบคอบและการปฏิบัติตามกฎระเบียบ
ลองมาดูคำจำกัดความของ UEBA. เป็นเรื่องเกี่ยวกับว่ามีการมองเห็นผู้ใช้ / ระบบภายในข้อมูลโฮสต์เครือข่ายหรือไม่
ความหมายคือวิธีที่เราสามารถตรวจสอบการสื่อสารระหว่างระบบกับระบบและจากการโต้ตอบของมนุษย์กับแอปพลิเคชันและความสามารถในการระบุบุคคลภายในที่เป็นอันตราย / ผู้โจมตีภายนอกที่แทรกซึมเข้าไปในองค์กรของตน
นี่คือตัวอย่างการใช้งานRegtechในการวิเคราะห์กิจกรรมต่างๆ – วิธีที่ AI สามารถช่วยดึงข้อมูลเชิงลึกจากพฤติกรรมเหล่านี้(สิ่งใดถือว่าปกติหรือผิดปกติ ซึ่งสามารถระบุได้ทันท่วงที)
เป็นไปเพื่อความโปร่งใสความสม่ำเสมอและการกำหนดมาตรฐานว่าองค์กรจะตีความกฎระเบียบได้อย่างไร
เจฟฟ์: สวัสดี สเนฮาล วันนี้ฉันอยากทราบความคิดเห็นของคุณเกี่ยวกับการวิเคราะห์พฤติกรรมผู้ใช้และเอนทิตี (User Entity Behavior Analysis) – UEBA — และคุณมองว่ามันจะเปลี่ยนแปลงการกำกับดูแล ความเสี่ยง และการปฏิบัติตามกฎระเบียบอย่างไร
สเนฮาล: เจฟ ขอบคุณที่จัดเซッションอีกครั้งกับพวกเรา และผมเห็นด้วยอย่างยิ่งครับ UEBA กำลังเปลี่ยนแปลงระบบรักษาความปลอดภัยทางไซเบอร์ และที่สำคัญคือเป็นหัวใจหลักของสถานการณ์ปกติใหม่ของเรา
- ลูกค้าและคู่ค้าของเราบอกว่าตอนนี้พวกเขามีผู้ใช้ระยะไกลใหม่ ๆ จำนวนมากซึ่งเปลี่ยนพื้นฐานทั้งหมดของคุณและสร้างเวกเตอร์การโจมตีใหม่
- และหลายองค์กรมีโครงสร้างพื้นฐานระบบคลาวด์และ SaaS มากขึ้นซึ่งอาจ จำกัด การมองเห็นและสูญเสียการควบคุม
- ด้วยความท้าทายเหล่านี้ UEBA ช่วยให้คุณมั่นใจได้ SOC ทีมสามารถค้นพบการโจมตีที่ซับซ้อนได้รวดเร็วยิ่งขึ้น—ผู้ใช้และหน่วยงานต่างๆ ในท้ายที่สุดแล้ว เป็นวิธีการเชิงกลยุทธ์ในการค้นหาผู้โจมตีที่ซับซ้อน
เจฟฟ์: คุณกำลังพูดแบบนั้น UEBA ค่อนข้างเป็นกลยุทธ์กับปกติใหม่ของเรา?
สเนฮาล: แก้ไข Jeff และ UEBA ต้องการมากกว่า SIEM นอกเหนือจากบันทึกข้อมูลแล้ว คุณยังต้องมีความเข้าใจเกี่ยวกับปริมาณการรับส่งข้อมูลเครือข่าย แอปพลิเคชัน คลาวด์ และ SaaS ด้วยการเชื่อมโยงข้อมูลจากเครื่องมือที่หลากหลายมากขึ้น คุณจะสามารถรวบรวมข้อมูลเพื่อวิเคราะห์การโจมตีที่ซับซ้อนในโครงสร้างพื้นฐานด้านไอทีทั้งหมดได้อย่างมีประสิทธิภาพ SIEMการใช้ฐานข้อมูลเพียงอย่างเดียวจะขาดข้อมูลเชิงลึกที่ครอบคลุม และบังคับให้คุณต้องใช้ผู้เชี่ยวชาญด้านความปลอดภัยที่มีความสามารถของคุณในการเขียนคำสั่งค้นหาข้อมูล
เราเห็น AI - ปัญญาประดิษฐ์— ในฐานะตัวขับเคลื่อนสำคัญที่จะช่วยให้กลุ่มบริษัทต่างๆ ในวงกว้างสามารถใช้ประโยชน์จากเทคโนโลยีขั้นสูงได้ SOC วิธีแก้ปัญหา คอมพิวเตอร์เก่งในการมองเห็นรูปแบบ ปัญญาประดิษฐ์เป็นวิธีหนึ่งที่จะช่วยได้ SOC ทีมสามารถปรับขนาดได้ เพื่อให้พวกเขาสามารถมุ่งเน้นไปที่งานเชิงกลยุทธ์ได้
เจฟฟ์: ฉันเห็นว่า AI เป็นประเด็นร้อนที่นี่ในฮ่องกง - ก่อนที่เราจะเจาะลึกลงไป UEBAคุณสามารถแบ่งปันความท้าทายทั่วไปที่ลูกค้าของคุณมีก่อนที่จะช่วยเหลือพวกเขาได้หรือไม่?
SNEHAL:แม้จะมีเครื่องมือที่เหมาะสมครบครันแล้วก็ตาม ลูกค้าของเราจำนวนมากกลับแชร์แต่ความล้มเหลวมากกว่าความสำเร็จ ปัญหาอยู่ที่การมองเห็นภาพรวม – องค์กรต่างๆ ต้องเผชิญกับผู้ใช้และหน่วยงานต่างๆ ที่กระจายอยู่แทบทุกหนทุกแห่ง
- ในคลาวด์
- บนสมมติฐาน
- ที่บ้าน
- ผ่านเครือข่ายทางกายภาพ
พื้นผิวการโจมตีของคุณใหญ่กว่าที่เคย - และ - ไดนามิก
เจฟฟ์:ผมเข้าใจแล้ว นี่แหละคือเหตุผลว่าทำไมเครื่องมือที่แยกส่วนกันถึงไม่ช่วยอะไร คุณต้องมองภาพรวมทั้งหมดและมองระหว่างส่วนต่างๆ ด้วย!
SNEHAL:ถูกต้องครับ เจฟฟ์ เราเรียกสิ่งนี้ว่าการมองเห็นอย่างครอบคลุม และเรามีเทคโนโลยีเซ็นเซอร์ที่ได้รับการจดสิทธิบัตรแล้ว ซึ่งรับประกันว่าคุณจะมองเห็นได้ทั่วทั้งระบบคลาวด์ อุปกรณ์ปลายทาง เครือข่าย และผู้ใช้—ทุกที่!!
เจฟฟ์:สำหรับสภาวะปกติใหม่นี้ ความสามารถในการปรับขนาดและความสามารถในการทำงานร่วมกันในสภาพแวดล้อมที่แตกต่างกันจึงเป็นสิ่งสำคัญอย่างยิ่ง
เจฟฟ์:คุณช่วยแสดงให้ผู้ชมเห็นถึงแนวคิดเรื่องการมองเห็นภาพรวมอย่างครอบคลุมได้ไหมครับ ว่าเราติดตามพฤติกรรมของผู้ใช้หรือองค์กรได้อย่างไร?
SNEHAL:เจฟฟ์ แน่นอนครับ เดี๋ยวผมจะเปิด GUI แล้วชี้ให้คุณดูปุ่ม COLLECT นี้ อย่างที่คุณเห็นทางด้านซ้าย เราได้นำเข้าแหล่งข้อมูลมากมายมหาศาล ทางด้านขวา คุณจะเห็นตัวเชื่อมต่อที่ช่วยให้เราเก็บรวบรวมข้อมูลผู้ใช้และเอนทิตีจาก AWS, Microsoft365, Google Cloud รวมถึงอีเมล, Syslog และเครือข่าย จากข้อมูลเหล่านี้ เรากำลังดึงข้อมูลผู้ใช้และเอนทิตีออกมา ตอนนี้ ผมจะเจาะลึกเข้าไปในเหตุการณ์หนึ่ง ตรงนี้ ผมจะแสดงให้คุณเห็นถึงพลังของบันทึก Interflow ของเรา ซึ่งบันทึกทุกอย่างเกี่ยวกับแต่ละเหตุการณ์ของพฤติกรรมผู้ใช้และเอนทิตี
เราดำเนินการตรวจสอบแพ็กเก็ตแบบลึก - DPI - กับข้อมูลทั้งหมดที่นำเข้าและช่วยให้เรามองเห็นพื้นผิวการโจมตีของคุณได้มากขึ้น
เราสามารถเห็นการโจมตีอุโมงค์ DNS เราสามารถบอกคุณได้ว่ามีการลักลอบใช้แอปพลิเคชันใดบ้าง เรารวมข้อมูลทั้งหมดนี้เข้ากับข้อมูลภัยคุกคามของบุคคลที่สามเช่นตำแหน่งทางภูมิศาสตร์เพื่อให้แน่ใจว่าคุณมีภาพที่สมบูรณ์สำหรับการวิเคราะห์ความปลอดภัย
เจฟฟ์:สเนฮาล เยี่ยมมาก ผมเห็นว่าอ่านง่ายด้วย ดังนั้นผมมั่นใจว่าคุณสามารถค้นหาข้อมูลนี้ได้
SNEHAL:ถูกต้องครับ เจฟฟ์ เรามีดาต้าเลคเดียวที่เก็บข้อมูลเมตาทั้งหมดนี้ไว้ และเราทำการวิเคราะห์บิ๊กดาต้าเพื่อช่วยให้คุณเห็นแนวโน้มต่างๆ – เมื่อพฤติกรรมของผู้ใช้หรือเอนทิตีเปลี่ยนแปลง AI ของเราจะเน้นย้ำสิ่งนี้เป็นการตรวจจับความผิดปกติที่สำคัญ
เจฟฟ์:สเนฮาล ตอนนี้เรามาเจาะลึกเรื่องพฤติกรรมผู้ใช้กันหน่อยได้ไหม ผมคิดว่าคุณมีมุมมองที่น่าสนใจในเรื่องนี้
สเนฮาล:ขอบคุณเจฟฟ์ เราทำได้ แฮกเกอร์ในปัจจุบันไม่ได้โจมตีคุณด้วยวิธีการแบบเดิมๆ—นี่คือประเด็นสำคัญ—การโจมตีแบบรอบด้าน หรือการดักจับบันทึกข้อมูล ไม่ได้ให้ความปลอดภัยคุณอีกต่อไปแล้ว ตอนนี้พวกเขาเข้าถึงสินทรัพย์ที่มีความสำคัญต่ำ และเริ่มรวบรวมข้อมูลเกี่ยวกับระบบที่สำคัญกว่าผ่านการเคลื่อนที่ในแนวนอน จากนั้นพวกเขาก็จะไปหาข้อมูลที่มีค่ามากกว่า
เจฟฟ์:คุณช่วยอธิบายตัวอย่างในสไลด์ได้ไหมครับ?
SNHEAL:แน่นอน สมมติว่าคุณระบุว่า CEO ของคุณเป็นบุคคลสำคัญ และคุณเพิ่งเห็นว่าเขาเข้าสู่ระบบจากโตเกียว แล้วอีกสองชั่วโมงต่อมาก็เข้าสู่ระบบจากซิดนีย์ ประเทศออสเตรเลีย ซึ่งเห็นได้ชัดว่าเป็นเหตุการณ์การเดินทางที่เป็นไปไม่ได้ แต่การเข้าสู่ระบบของเขากลับถูกต้อง จากนั้นคุณก็เห็นว่าเขาใช้คำสั่งเพื่อเข้าถึงแอปพลิเคชัน เช่น SSL เพื่อเข้าถึงข้อมูลบนเซิร์ฟเวอร์ SQL
เจฟฟ์:ทำไมซีอีโอถึงใช้ SSL และทำไมเขาถึงค้นหาข้อมูล SQL? มีบางอย่างที่น่าสงสัยและแตกต่างจากพฤติกรรมปกติของเขา แต่การกระทำทั้งสามอย่างนั้นก็ยังถือว่าสมเหตุสมผลตามทุกสิ่งที่เราสามารถตรวจสอบได้จากเครื่องมือและข้อมูลที่มีอยู่—ใช่ไหม?
หอยเชลล์: ถูกต้องเลยเจฟฟ์ สรุปได้ว่า... UEBA สิ่งที่เราต้องการจริงๆ คือวิธีการนำเครื่องมือและแหล่งข้อมูลทั้งหมดมารวมกัน และประมวลผลด้วย AI เพื่อช่วยค้นหารูปแบบ และสร้างขึ้นมาโดยเฉพาะเพื่อค้นหาข้อมูลที่ถูกต้อง เราเรียกสิ่งนี้ว่า... เปิด--XDR – การตรวจจับและการตอบสนองที่ขยายวงกว้างขึ้น ด้วยความสามารถในการผสานรวมกับระบบ เครื่องมือ หรือแหล่งข้อมูลใดๆ ก็ได้ เช่นเดียวกับที่เราได้เสริมประสิทธิภาพไฟร์วอลล์ด้วย SIEMดังนั้น ถึงเวลาแล้วที่เราจะต้องทบทวนวิธีการสร้าง... SOC. ชุดเครื่องมือหรือแพลตฟอร์มอัจฉริยะคือกุญแจสำคัญ
เจฟฟ์:เท่าที่ผมเข้าใจคือ มันเกี่ยวกับการวิเคราะห์พฤติกรรมผู้ใช้ในวงกว้าง ซึ่งดูเหมือนจะเป็นวิธีที่ดีในการค้นหาการแฮ็กใช่ไหมครับ?
สเนฮาล:ถูกต้องเลยเจฟฟ์
เจฟฟ์: ขอบคุณสเนฮาล เรามาดูรายละเอียดเพิ่มเติมเกี่ยวกับ Stellar Cyber กันได้ไหม Open XDR แพลตฟอร์มไหน? ช่วยแสดงให้เราดูหน่อยได้ไหมว่าคุณจะระบุสินทรัพย์ที่สำคัญและตรวจสอบว่าสินทรัพย์นั้นติดไวรัสหรือไม่?
สเนฮาล: แน่นอน เจฟฟ์ ก่อนอื่นเลย ผมเพิ่งตรวจพบเซิร์ฟเวอร์ที่ติดไวรัส มันถูกแฮ็กแล้วครับ UEBA ความสามารถนี้ช่วยระบุการติดเชื้อได้ ฉันจะบล็อกไม่ให้อุปกรณ์ส่งข้อมูล ฉันใช้ไลบรารีการล่าภัยคุกคามของเราเพื่อกระตุ้นการตอบสนอง โดยการปิดพอร์ต ตอนนี้ เรามาจบกรณีการใช้งานนี้ด้วยขั้นตอนสุดท้าย โดยตรวจสอบว่าเซิร์ฟเวอร์กำลังแพร่เชื้อไปยังอุปกรณ์อื่นหรือไม่ อย่างที่เราได้พูดคุยกันในตอนแรก นี่เป็นวิธีทั่วไปที่แฮกเกอร์แพร่เชื้อไปยังอุปกรณ์อื่นในสภาพแวดล้อมของคุณโดยการเคลื่อนย้ายแบบแนวนอน เห็นไหม ตอนนี้มีอุปกรณ์อื่นๆ อีกมากมายที่ต้องการการตรวจสอบ
เจฟฟ์:ขอบคุณสเนฮาล ฉันเชื่อมั่นว่าคุณทุ่มเทอย่างมาก และมันก็ง่ายมาก ใช้เวลาเพียงไม่กี่นาทีเท่านั้น
เจฟฟ์:หัวข้อสุดท้ายที่ผมอยากพูดถึงคือเรื่องการปฏิบัติตามกฎระเบียบ ลูกค้าของเราหลายรายจำเป็นต้องผ่านการตรวจสอบตามกฎระเบียบและการกำกับดูแลเป็นประจำทุกปี หรือบ่อยกว่านั้น แพลตฟอร์มของคุณรองรับการรายงานอย่างไรบ้างครับ?
SNEHAL:เยี่ยมเลยเจฟฟ์ เราได้เพิ่มฟังก์ชันการทำงานมากมายลงในระบบรายงานของเราอย่างที่คุณเห็นตรงนี้ เรามีเทมเพลตสำเร็จรูปมากมาย เช่น การปฏิบัติตามมาตรฐาน PCI, CIS และ HIPAA
เจฟฟ์:คุณสามารถสร้างรายงานลูกค้าได้ง่ายๆ ไหม?
SNEHAL:แน่นอน เจฟฟ์ เราสามารถสร้างรายงานลูกค้าจากแดชบอร์ดใดก็ได้ที่เรามีในแพลตฟอร์ม อย่างที่คุณเห็น ผมมีข้อมูลการเข้าสู่ระบบล้มเหลวของผู้ใช้ทั้งหมดจากคลังข้อมูลการล่าภัยคุกคาม ผมสามารถแก้ไขแดชบอร์ดและสร้างรายงานลูกค้าจากมันได้อย่างง่ายดาย
เจฟฟ์:สเนฮาล ผมคิดว่าเราควรจบการสนทนาได้แล้ว คุณช่วยสรุปการสนทนาของเราวันนี้ได้ไหม?
สเนฮาล: แน่นอน เจฟฟ์ ผมคิดว่าสิ่งสำคัญที่สุดที่ผมอยากจะบอกคือ การมองเห็นเป็นกุญแจสำคัญสู่ความสำเร็จในด้านความปลอดภัย คุณไม่สามารถจัดการสิ่งที่คุณมองไม่เห็นได้ และนั่นหมายถึงทั่วทั้งพื้นผิวการโจมตีของคุณ ไม่ว่าจะเป็นคลาวด์ อุปกรณ์ปลายทาง เครือข่าย และผู้ใช้ และอย่างที่เราทั้งคู่ได้เน้นย้ำในวันนี้ พฤติกรรมของผู้ใช้และเอนทิตีมีความสำคัญเชิงกลยุทธ์ในการรับประกันว่าคุณจะสามารถมองเห็นการโจมตีที่ซับซ้อนได้ ข้อได้เปรียบของ Stellar Cyber คือเราสามารถนำข้อมูลเชิงลึกใหม่ๆ มาสู่เครื่องมือและข้อมูลการวัดที่คุณไว้วางใจอยู่แล้ว มันเป็นระบบคลาวด์เนทีฟและขับเคลื่อนด้วย API แบบเปิด สำหรับการกำกับดูแลด้านความปลอดภัยทางไซเบอร์ ความเสี่ยง และการปฏิบัติตามข้อกำหนด — UEBA ช่วยให้คุณปิดจุดบอดที่ท่อนไม้ธรรมดาอาจเล็ดลอดเข้ามาได้
เจฟฟ์:ขอบคุณสเนฮาล ผมคิดว่าเซッションนี้ช่วยให้ลูกค้าเห็นว่าพวกเขาสามารถติดตามสินทรัพย์และผู้ใช้ที่สำคัญได้อย่างง่ายดายในระบบคลาวด์ อุปกรณ์ปลายทาง และเครือข่าย ซึ่งจะช่วยให้การกำกับดูแล ความเสี่ยง และการรายงานการปฏิบัติตามกฎระเบียบง่ายขึ้น...พบกันใหม่ครั้งหน้า
สรุปได้ว่าสำหรับการเปลี่ยน Cybersecurity ให้เป็นแพลตฟอร์มส่วนกลางและอัจฉริยะที่สามารถภายใต้พื้นฐานปิดจุดบอดชมเชยและผสานรวมเครื่องมือทั้งหมดที่มีและกรองทำให้เป็นมาตรฐานและเชื่อมโยงเหตุการณ์และเหตุการณ์ต่างๆเป็นการแจ้งเตือนที่สำคัญสำหรับการตรวจจับและการตอบสนอง
เป็นการเดินทางต่อเนื่อง!
ขอบคุณมาก
