زمانی که مشکلی پیش میآید، واکنش تقریباً غریزی تیمهای امنیتی دسترسی به دادههای بیشتر است. این باور وجود دارد که اگر همهچیز را لاگ کنند، افراد خرابکار در نهایت خود را در میان این هیاهو نشان خواهند داد. چس کلاوسون، معاون استراتژی امنیت در سامو لاجیک (Sumo Logic)، در وبینار اخیر TNS به این رویکرد خرده گرفت و یادآور شد که در یک دنیای ایدهآل، تنها با جمعآوری تمام دادهها میتوانستیم خرابکاران را پیدا کنیم، اما در واقعیت این روش از نظر تاریخی هرگز جواب نداده است.
کلاوسون که کهنهکار عملیات امنیتی فدرال ایالات متحده و تیم قرمز آژانس امنیت ملی (NSA) است، در این جلسه توضیح داد که چرا این مدل دائماً در مراکز عملیات امنیتی (SOC) شکست میخورد و با ورود فناوریهای جدید چه تغییری رخ میدهد.
یک لیوان درد به جای پنجره شفاف
جوکی وجود دارد که کلاوسون دوست دارد تعریف کند: شما یک سیستم مدیریت اطلاعات و رویدادهای امنیتی (SIEM) میخرید با این انتظار که یک «پنجره واحد» داشته باشید، اما آنچه در واقع به دست میآورید یک «لیوان درد» است. جمعآوری دادههای بیشتر به خودی خود هیچ چیزی را حل نمیکند؛ بلکه فقط به معنای انباشته شدن سریعتر هشدارها نسبت به ظرفیت بررسی یک تحلیلگر است.
پاسخ او به این مشکل چیزی است که «قیف دقت» (Funnel of Fidelity) مینامد. جمعآوری دادهها در بالای قیف گسترده باقی میماند و سپس نویزها حذف میشوند تا زمانی که آنچه در مقابل یک تحلیلگر قرار میگیرد، فهرست کوتاهی از هشدارهایی باشد که ارزش اقدام دارند. این هشدارها ترجیحاً به گونهای به هم متصل میشوند که شبیه به یک جدول زمانی حمله باشند، نه مجموعهای از رویدادهای نامرتبط. او میگوید: «هیچ دکمه آسانی وجود ندارد.» رسیدن به این مرحله نیازمند کار واقعی است.
تغییر گردشکار با هوش مصنوعی
آیا این یک مشکل ابزاری است یا مشکل انضباطی؟ پاسخ کلاوسون هر دو است. با این حال، او به تغییر بزرگتری که در جریان است اشاره کرد: مراکز عملیات امنیتی در حال دور شدن از گردشکارهایی هستند که در آن یک انسان باید به هر هشدار دست میزد. در عوض، هوش مصنوعی عاملی اولین قدم را برمیدارد و انسانها تنها در مواردی دخالت میکنند که واقعاً ارزش صرف زمان داشته باشند.
تمرکز بر موجودیتها، نه رویدادها
یک موضوع تکرارشونده در این جلسه، تشخیص مبتنی بر موجودیت (Entity-centric detection) بود: گروهبندی هشدارها حول یک کاربر، میزبان، حساب سرویس، آدرس IP یا هش، به جای اینکه هر کدام را به صورت مجزا اولویتبندی کرد. کلاوسون میگوید: «تلاش برای اولویتبندی تکتک هشدارهایی که از ابزارهای شما عبور میکنند، یک کار بیهوده است، زیرا تعداد آنها بیش از حد است.» خوشهبندی بر اساس موجودیت، سیگنالهای نامرتبط از امنیت ایمیل، EDR و ابزارهای هویتی را به یک تصویر واحد و قابل خواندن تبدیل میکند.
او همچنین هویتهای غیرانسانی را به عنوان یک نگرانی رو به رشد علامتگذاری کرد و پیشبینی کرد که تیمهای قرمز به طور فزایندهای عاملهای خودمختار را از طریق مهندسی اجتماعی هدف قرار دهند. او گفت: «یک عامل چیزی جز یک کودک نوپا نیست که هیچ هوش کوچه و خیابانی ندارد، اما تمام کلیدهای پادشاهی را در اختیار دارد». بسیاری از مراکز عملیات امنیتی ممکن است فاقد لاگهای ممیزی باشند که وقتی یکی از این عاملها دستکاری میشود، آن را شناسایی کنند.
اعتماد، میدان نبرد جدید
کلاوسون بخش عمدهای از جلسه را به بحث درباره اینکه هوش مصنوعی واقعاً در کجا مفید واقع میشود، پرداخت. مقایسه همیشگی او این بود که با یک عامل مانند یک کارمند جدید رفتار شود. با آموزش مناسب، زمینه درست و دادههای تمیز، این کار را به خوبی انجام میدهد. اما اگر لاگهای خام و نامرتب را به آن بدهید و از او بخواهید افراد خرابکار را پیدا کند، در نهایت زیادی تلاش را فقط صرف میکند تا بفهمد کدام فیلد، IP منبع است.
به همین دلیل است که سامو لاجیک همچنان برای هشداردهی بلادرنگ به تشخیص قطعی و مبتنی بر قوانین تکیه میکند. هوش مصنوعی پس از آن وارد عمل میشود و روی مجموعه کوچکتر و تمیزتر سیگنالهایی که آن قوانین آشکار میکنند، استدلال میکند، به جای اینکه سعی کند جایگزین آنها شود.
اعتماد، عاملی بود که بیشترین تأثیر را در نحوه ساخت Dojo.ai توسط سامو لاجیک داشت؛ پلتفرمی که میزبان عاملهای اختصاصی آن، از جمله یک عامل تحلیلگر SOC، است. کاربران اولیه خیلی سریع اعتراض خود را روشن کردند: هیچکس یک جعبه سیاه دیگر که نتواند آن را تأیید کند، نمیخواست. بنابراین، اکنون هر قدمی که یک عامل برمیدارد، به کوئری واقعی پشت آن ردیابی میشود. همانطور که کلاوسون گفت: «شاید روزی به دنیایی برسیم که بتوانم کورکورانه به یک عامل اعتماد کنم. اما هنوز آنجا نیستیم.»
در مورد مرزبندی بین تصمیمات خودکار و تصمیمات مورد بررسی انسانی، کلاوسون طیفی را از انسان در حلقه (human-in-the-loop) تا انسان روی حلقه و انسان خارج از حلقه توصیف کرد و هشدار داد که با توجه به سرعت حملات مدرن، محتاطانهترین گزینه همیشه امنترین گزینه نیست. سازمانها باید آماده شوند تا تعادل ظریفی بین اتوماسیون و نظارت انسانی ایجاد کنند و به سمت پلتفرمی حرکت کنند که در آن شفافیت و قابلیت ردیابی هوش مصنوعی به اندازه سرعت تشخیص آن اهمیت دارد.
