การตรวจจับและตอบสนองเครือข่าย (NDR) ในช่วงไม่กี่ปีที่ผ่านมา เครื่องมือรักษาความปลอดภัยชนิดนี้เปรียบเสมือนร็อดนีย์ แดนเจอร์ฟิลด์ – “มันไม่ได้รับความเคารพเลย” เป็นไปได้ว่า สถานะที่เสื่อมเสียนี้เกิดจากเงินการตลาดจำนวนมหาศาลที่ทุ่มลงไป การตรวจจับและตอบสนองปลายทาง (EDR) และ การตรวจจับและการตอบสนองแบบขยาย (XDR)นอกจากนี้ อาจเกี่ยวข้องกับการเติบโตของปริมาณการรับส่งข้อมูลที่เข้ารหัส และความเชื่อที่ผิดพลาดที่ว่าการรับส่งข้อมูลที่เข้ารหัสแทบจะทำให้เทคโนโลยี NDR ไร้ประสิทธิภาพ (หมายเหตุ: ความจริงแล้วไม่ใช่เช่นนั้น)
ไม่ว่าเหตุผลใดก็ตามที่ทำให้ NDR ถูกลดบทบาทลงในลำดับความสำคัญของเครื่องมือรักษาความปลอดภัย ผมขอยืนยันว่าเรื่องราวที่กล่าวอ้างเกินจริงเกี่ยวกับ NDR นั้นไม่เพียงแต่ไม่เป็นความจริงเท่านั้น แต่ยังอาจก่อให้เกิดความเสี่ยงที่ไม่จำเป็นต่อองค์กรที่ยึดติดกับข้อมูลเท็จเหล่านั้นอีกด้วย ในความเห็นของผม NDR เป็นสิ่งจำเป็นสำหรับการปฏิบัติการรักษาความปลอดภัยในปัจจุบัน และคุณค่าของมันจะเพิ่มขึ้นเรื่อย ๆ ในอนาคต
ขออนุญาตอธิบายเพิ่มเติม มีคำกล่าวในวงการความปลอดภัยทางไซเบอร์ที่ว่า “เครือข่ายไม่โกหก” ซึ่งหมายความว่า การตรวจสอบข้อมูลเครือข่าย (network telemetry) มีความสำคัญอย่างยิ่งในการตรวจสอบกิจกรรมทั้งหมด ไม่ว่าจะเป็นการรับส่งข้อมูลที่สำคัญ การรับส่งข้อมูลและโปรโตคอลที่ไหลผ่านเครือข่าย ประสิทธิภาพการทำงานของเครือข่าย และการรับส่งข้อมูลที่ถูกนำไปใช้ในทางที่ผิด จากมุมมองด้านความปลอดภัย NDR จึงมีความสำคัญอย่างยิ่งในการเสริมเทคโนโลยีต่างๆ เช่น EDR XDR, SIEMและอื่นๆ โดยเฉพาะอย่างยิ่งสำหรับ:
- การปกป้องและพิทักษ์ทรัพย์สินที่ “ไม่มีตัวแทน” อุปกรณ์ไอทีจำนวนมาก เช่น เราเตอร์ อุปกรณ์เครือข่าย และอุปกรณ์ IoT/OT ไม่ได้ทำงาน EDR เอเจนต์ต่างๆ ทำให้ EDR มองไม่เห็นการโจมตีที่เกี่ยวข้อง และก็มีการโจมตีมากมาย เช่น การโจมตี Triton/Trisis ในปี 2017 (OT Safety Controllers), การแฮ็กกล้อง Verkada ในปี 2021 และแน่นอน การโจมตีครั้งใหญ่ที่สุดคือ Stuxnet (2010) EDR ที่มีประสิทธิภาพสามารถตรวจสอบอุปกรณ์เหล่านี้ ตรวจจับรูปแบบการรับส่งข้อมูลที่ผิดปกติ และช่วยให้สามารถตอบสนองได้อย่างรวดเร็ว
- การตรวจจับการเคลื่อนไหวในแนวด้านข้าง เมื่อผู้โจมตีสามารถบุกรุกสินทรัพย์ได้ (เช่น โดยการปิดใช้งานเอเจนต์ EDR) ระบบ NDR จะมีความสำคัญอย่างยิ่งในการตรวจสอบการรับส่งข้อมูลเครือข่ายที่ผิดปกติ ซึ่งอาจบ่งชี้ถึงการเคลื่อนย้ายภายในเครือข่ายที่ใช้เป็นส่วนหนึ่งของการยกระดับสิทธิ์หรือการค้นหาข้อมูลสำคัญ โดยเฉพาะอย่างยิ่งมีความสำคัญในการป้องกันการโจมตีแบบ "living off the land" ที่เลียนแบบกิจกรรมการรับส่งข้อมูลเครือข่าย "ปกติ" ได้อย่างใกล้เคียง
- การขโมยข้อมูล NDR เครื่องมือนี้มีความสามารถพิเศษในการตรวจจับการถ่ายโอนข้อมูลขนาดใหญ่หรือผิดปกติ ซึ่งมักถูกส่งผ่านโปรโตคอล DNS ไปยังเซิร์ฟเวอร์ภายนอก ตัวอย่างเช่น ชุดเครื่องมือมัลแวร์ Decoy Dog ในปี 2023 ขโมยข้อมูลสำคัญโดยการแบ่งข้อมูลออกเป็นชิ้นเล็กๆ เข้ารหัสหรือแปลงรหัสชิ้นส่วนเหล่านั้น แล้วนำไปต่อท้ายเป็นโดเมนย่อยในโดเมนที่ผู้โจมตีควบคุม จากนั้นเซิร์ฟเวอร์ของผู้โจมตีจะดักจับคำขอขาเข้าเหล่านี้ แกะแพ็กเกจโดเมนออก และประกอบเพย์โหลดขึ้นใหม่โดยที่ไฟร์วอลล์แบบดั้งเดิมไม่สามารถตรวจจับได้ เครื่องมือ NDR ชั้นนำจะตรวจจับรูปแบบการรับส่งข้อมูลที่ผิดปกติและซ่อนเร้นเหล่านี้ได้ และสร้างการแจ้งเตือน
- ระบบโทรมาตรเสริมและระบบโทรมาตรสำคัญ ประสิทธิภาพของโมเดล AI นั้นขึ้นอยู่กับข้อมูลที่ใช้สร้าง ข้อมูลการวัดระยะทางเครือข่ายช่วยเสริมข้อมูลจากบันทึกเหตุการณ์ การแจ้งเตือน EDR และแหล่งข้อมูลอื่นๆ ด้วยข้อมูลเกี่ยวกับโปรโตคอลที่มีความเสี่ยง รูปแบบการรับส่งข้อมูลที่ผิดปกติ การเคลื่อนไหวในแนวนอนที่บ่งชี้ถึงการโจมตีแบบ "ช้าและค่อยเป็นค่อยไป" และการวิเคราะห์การรับส่งข้อมูลที่เข้ารหัส (ETA) ตัวอย่างเช่น ข้อมูลการวัดระยะทางเครือข่ายสามารถช่วยให้ตัวแทนรักษาความปลอดภัยอัตโนมัติตรวจสอบหรือโต้แย้งการแจ้งเตือนปลายทางที่อาจถูกบุกรุกได้โดยการเปรียบเทียบบันทึกระบบภายในกับรูปแบบการรับส่งข้อมูลภายนอกที่เกิดขึ้นจริง ท้ายที่สุดแล้ว ข้อมูลการวัดระยะทางเครือข่ายจะเปิดเผยตัวตนของผู้โจมตีโดยการเชื่อมโยงการเคลื่อนไหวในแนวนอนที่เป็นอันตรายกับแหล่งข้อมูลอื่นๆ แบบเรียลไทม์
- โมเดลที่ดีกว่าสำหรับการครอบคลุม IoT/OT อุตสาหกรรมต่างๆ เช่น การผลิต การดูแลสุขภาพ และโลจิสติกส์ ยังคงเพิ่มเทคโนโลยี IoT ประเภทใหม่ๆ อย่างต่อเนื่อง OT ตัวอย่างเช่น รายงาน IDC Worldwide Semiannual IoT Spending Guide ปี 2026 คาดการณ์ว่าการใช้จ่ายทั่วโลกด้าน IoT/OT จะทะลุ 1.1 ล้านล้านดอลลาร์ภายในสิ้นปี 2026 แม้จะมีการเติบโตนี้ งานวิจัยของ McKinsey & Company ชี้ให้เห็นถึง “ช่องว่างด้านการมองเห็น” ซึ่งองค์กรอุตสาหกรรมโดยเฉลี่ยยังไม่สามารถระบุอุปกรณ์ที่เชื่อมต่อกับเครือข่ายการผลิตหลักได้ถึง 30% NDR สามารถค้นหาทรัพย์สินและตรวจสอบรูปแบบการรับส่งข้อมูลและโปรโตคอลเฉพาะ ซึ่งสามารถนำไปใช้ในการพัฒนาโมเดล AI และฟังก์ชันการทำงานแบบเอเจนต์ได้ นี่อาจหมายถึงความแตกต่างระหว่างการแจ้งเตือนที่ดังและไม่ชัดเจนกับการตรวจจับภัยคุกคาม IoT/OT ที่แม่นยำและกระชับ
- การตอบสนองในแนวป้องกันด่านแรก นอกเหนือจากข้อมูลข่าวกรองด้านภัยคุกคามแล้ว NDR ระบบเทเลเมทรีสามารถช่วยให้องค์กรคาดการณ์การโจมตี มองเห็นเส้นทางการโจมตี และเสริมสร้างการป้องกันได้ ด้วยข้อมูลเทเลเมทรีเครือข่ายและข้อมูลอื่นๆ เอเจนต์ AI สามารถเรียกใช้เวิร์กโฟลว์เพื่อแยก VLAN ที่ถูกบุกรุกโดยอัตโนมัติ หรืออัปเดตกฎไฟร์วอลล์แบบเรียลไทม์ หากตรวจพบพฤติกรรมที่บ่งชี้ถึงกลยุทธ์และเทคนิคการโจมตีของแรนซัมแวร์ที่มีความน่าเชื่อถือสูง
เอาล่ะ NDR สมเหตุสมผลในตัวมันเอง และในฐานะส่วนหนึ่งของบริบทเชิงตัวแทน SOCดังนั้น องค์กรต่างๆ ควรดำเนินการอย่างไร? ในขณะที่องค์กรขนาดใหญ่อาจมีงบประมาณและทักษะในการดูแลรักษาเครื่องมือ NDR ที่เป็นอิสระ แต่ธุรกิจขนาดเล็กและขนาดกลางที่มีทรัพยากรจำกัดอาจได้รับประโยชน์จากตัวแทน SOC 'แพลตฟอร์ม' ที่ผสานรวมข้อมูลโทรมาตร NDR กับแหล่งข้อมูลอื่นๆ เช่น EDR, บันทึกข้อมูลบนคลาวด์, บันทึกข้อมูลประจำตัว และอื่นๆ ด้วยวิธีนี้ แพลตฟอร์มแบบบูรณาการจะสร้างกราฟข้อมูลที่เป็นแหล่งข้อมูลที่เชื่อถือได้เพียงแหล่งเดียว ซึ่งสามารถนำไปใช้สร้างแบบจำลองและเอเจนต์ AI ที่แม่นยำ ครอบคลุม และปรับแต่งได้มากขึ้น โดยปรับให้เหมาะสมกับอุตสาหกรรม สถานที่ตั้ง และโปรไฟล์ภัยคุกคามของแต่ละองค์กร
ด้วยวิธีนี้ CISO สามารถลดต้นทุนรวมในการเป็นเจ้าของ (TCO) ปรับปรุงเครื่องมือปฏิบัติการด้านความปลอดภัย และทำให้ทีมรักษาความปลอดภัยทั้งหมดทำงานไปในทิศทางเดียวกัน กล่าวคือ พวกเขาสามารถกำจัดขั้นตอนการบูรณาการและการเขียนโค้ดแบบกำหนดเอง ในขณะที่ทีมรักษาความปลอดภัยทั้งหมด (และอาจรวมถึงทีมไอที) สามารถใช้ส่วนต่อประสานการปฏิบัติการด้านความปลอดภัยร่วมกันได้ พร้อมทั้งเรียนรู้และเพิ่มประสิทธิภาพเอเจนต์ตัวเดียว SOC เวที
ด้วยความเคารพต่อ Rodney Dangerfield อย่างยิ่ง NDR สมควรได้รับความเคารพอย่างมาก โดยเฉพาะอย่างยิ่งเมื่อองค์กรต่างๆ เปลี่ยนจากเครื่องมือปฏิบัติการรักษาความปลอดภัยที่กระจัดกระจายไปสู่ระบบตัวแทนอัจฉริยะ SOCอ้อ แล้วผมได้บอกไปหรือยังว่าเครือข่ายนี้ไม่โกหก?
