چرخه بی‌پایان تقابل مهاجمان و مدافعان در فضای سایبری به نقطه پایانی رسیده است. برای سال‌ها، روند امنیت سایبری الگویی تکراری داشت: دفاع‌ها بهبود می‌یافتند، مهاجمان با آن‌ها سازگار می‌شد و این رفت‌وبرگشت ادامه داشت. اما امروز مهاجمان مجهز به هوش مصنوعی با سرعتی باورنکردی از سیستم‌های دفاعی پیشی می‌گیرند. بخش عمده‌ای از نفوذهای امروزی به طور کامل تشخیص‌های مبتنی بر نقطه پایانی (Endpoint) و بدافزارها را دور می‌زنند.

گزارش تهدیدات جهانی CrowdStrike تخمین می‌زند حدود 79 درصد از حملات فاقد بدافزار هستند. عاملان تهدید برای دور زدن نظارت در سطح میزبان، به سرقت اعتبارنامه و تکنیک‌های بارگذاری جانبی DLL متکی‌اند. آسیب‌پذیری‌های شبکه‌محور این ریسک را بیش از پیش تشدید می‌کنند؛ طبق جدیدترین گزارش Verizon در زمینه بررسی نقض داده‌ها، نفوذ در فایروال‌ها و دروازه‌های VPN با 19 درصد رشد مواجه شده است.

گسترش نفوذ در عرض چند ثانیه

به محض دسترسی مهاجم به سیستم، گسترش نفوذ اغلب در عرض چند ثانیه رخ می‌دهد. ظهور مدل‌های هوش مصنوعی جدید، فشار عملیاتی روی تیم‌های امنیتی را به شدت افزایش داده است. این مدل‌ها می‌توانند به سرعت آسیب‌پذیری‌های ناشناخته را کشف و بهره‌برداری کنند و عملاً فاصله زمانی میان کشف اولیه تا به خطر افتادن کامل سیستم را به صفر برسانند.

رویه‌های امنیتی باید تغییر کنند تا مهار سریع و تحلیل رفتار پس از نفوذ در صدر اولویت‌ها قرار گیرد. قابلیت‌های دفاعی اکنون نیازمند تشخیص بلادرنگی هستند که فراتر از پوشش سطح میزبان عمل می‌کنند. در اینجا ایده تشخیص‌های شبکه‌ای چندلایه مطرح می‌شود که دفاع را فراتر از نقطه پایانی گسترش می‌دهد، هرچند اثربخشی این روش به شدت به کیفیت داده‌های پشتیبان آن وابسته است.

شواهد شبکه‌ای؛ پایه تشخیص قوی

پلتفرم‌های نقطه پایانی، مدیریت هویت و زیرساخت‌های ابری، هر کدام دیدگاه ارزشمندی از امنیت سازمان ارائه می‌دهند. ابزارهای میزبان پردازش‌ها را در حافظه ردیابی می‌کنند، راهکارهای هویتی اعتبارنامه‌ها را زیر نظر دارند و محیط‌های ابری تغییرات پیکربندی را ثبت می‌کنند. با وجود این سطح از مشاهده‌پذیری، این سیستم‌ها به صورت ایزوله کار می‌کنند و شکاف‌هایی ایجاد می‌کنند که مهاجمان به راحتی از آن‌ها سوءاستفاده می‌کنند.

هر ابزار تنها بخشی از زنجیره حمله را می‌بیند. عاملان تهدید می‌توانند یک ایستگاه کاری را به خطر بیندازند، از نقاط کور بین سیستم‌های نقطه پایانی و هویت برای پنهان کردن سرقت اعتبارنامه استفاده کنند، به صورت جانبی به زیرساخت ابری حرکت کنند و پیش از آنکه مراکز عملیات امنیت (SOC) متوجه شوند، داده‌ها را سرقت کنند. تله‌متری یکپارچه و مرتبط در سراسر این دامنه‌ها برای دیدن تصویر کامل، یک ضرورت غیرقابل انکار است.

فناوری تشخیص و پاسخ شبکه (NDR) این سیگنال‌های مجزا را با استفاده از داده‌های شبکه‌ای اعتبارسنجی، غنی‌سازی و به هم متصل می‌کند. از آنجا که این داده‌ها به صورت خارج از باند جمع‌آوری می‌شوند، حتی زمانی که عوامل محلی از کار بیفتند یا مهاجمان ابزارهای نقطه پایانی را غیرفعال کنند، داده‌ها تغییرناپذیر باقی می‌مانند. NDR با ثبت ترافیک در سراسر سازمان، زمینه حیاتی فراهم می‌آورد، هر مکالمه و انتقال داده را ثبت کرده و مدرک غیرقابل انکاری برای واکنش مدافعان ارائه می‌دهد.

به عنوان مثال، زمانی که یک ابزار هویت ورود غیرعادی را علامت‌گذاری می‌کند، داده‌های شبکه‌ای تأیید می‌کنند که آیا آن حساب کاربری پرس‌وجوهای غیرمجاز در پایگاه داده انجام داده است یا خیر. هنگامی که هشدار نقطه پایانی به سرقت اعتبارنامه اشاره دارد، داده‌های شبکه به اعتبارسنجی تلاش مهاجم برای حرکت جانبی در شبکه کمک می‌کنند.

اتکا به تشخیص چندلایه و افزایش اطمینان

بیشتر سازمان‌ها از پیش نوعی قابلیت مشاهده شبکه را دارند، مانند سیستم‌های قدیمی تشخیص نفوذ (IDS)، دستگاه‌های ضبط بسته (PCAP) یا گزارش‌های پایه NetFlow. با این حال، این ابزارهای قدیمی به صورت ایزوله کار می‌کنند و سرعت آن‌ها با نیاز تحلیل‌گران برای پاسخ به حملات مدرن همخوانی ندارد. فناوری NDR جایگزین این ابزارهای پراکنده می‌شود.

با یکپارچه‌سازی امضاها، تحلیل بسته‌ها و گزارش‌های جریان در یک گردش کار واحد، NDR مجموعه‌ای جامع از قابلیت‌های تشخیصی ارائه می‌دهد که بار شناختی تحلیل‌گران را به طور چشمگیری کاهش می‌دهد. به جای جستجو در میان حجم عظیمی از هشدارهای مجزا، مدافعان از لایه‌های تشخیص شبکه‌ای یکپارچه برای رسیدن به اثبات قطعی استفاده می‌کنند:

  • تشخیص مبتنی بر امضا و هوش تهدید: این لایه اعتبارسنجی سریع برای بهره‌برداری‌های مستندشده فراهم می‌کند، تهدیدات شناخته‌شده و فایل‌های مخرب تاریخی را با دقت بالا شناسایی کرده و ارتباط با زیرساخت‌های مخرب مهاجمان را به سرعت آشکارسازی می‌کند. اما برای شناسایی فعالیت‌های پس از بهره‌برداری، نیاز به لایه‌های رفتاری و ناهنجاری پیشرفته وجود دارد.
  • تشخیص رفتاری: مدل‌های رفتاری الگوهای غیرعادی در شبکه را شناسایی می‌کنند. این لایه می‌تواند حرکت‌های جانبی، سرقت داده‌ها و ارتباطات مخربی که از دید امضاهای استاتیک پنهان می‌مانند را کشف کند.

مراکز عملیات امنیت مدرن باید از وابستگی به ابزارهای تک‌بعدی دست بردارند. تنها با ترکیب داده‌های هویتی، میزبانی و ابری در یک ساختار شبکه‌ای یکپارچه می‌توان در برابر مهاجمان هوشمند و سریع امروزی تاب آورد. آینده امنیت سایبری در دستان تیم‌هایی است که می‌توانند تصویری کامل و بلادرنگ از شبکه خود داشته باشند.