CISO Insider: 2. problēma

Izspiedējprogrammatūras uzbrucēju mērķis ir jūsu vērtīgākie resursi, no kuriem, viņuprāt, var izspiest visvairāk naudas, neatkarīgi no tā, vai tie sagādā vislielākos traucējumus vai ir visvērtīgākie, ja tiek turēti ķīlā, vai ir sensitīvākie, ja tiek publiskoti.

Nozare ir svarīgs faktors, kas nosaka organizācijas riska profilu. Kamēr ražošanas vadītāji kā galveno problēmu min uzņēmējdarbības traucējumus, mazumtirdzniecības un finanšu pakalpojumu informācijas drošības speciālisti par prioritāti izvirza sensitīvas personu identificējošas informācijas aizsardzību. Savukārt veselības aprūpes organizācijas ir vienlīdz neaizsargātas abos virzienos. Reaģējot uz to, drošības vadītāji agresīvi maina savu riska profilu, lai izvairītos no datu zaudēšanas un pakļaušanas riskam, nostiprinot perimetru, veidojot kritisko datu dublējumus, dublējot sistēmas un uzlabojot šifrēšanu.

Uzņēmējdarbības traucējumi tagad ir daudzu vadītāju uzmanības centrā. Uzņēmumam rodas izmaksas pat tad, ja pārtraukums ir neilgs. Nesen kāds veselības aprūpes informācijas drošības speciālists man teica, ka izspiedējprogrammatūra neatšķiras no ilga strāvas padeves pārtraukuma. Lai gan atbilstoša dublējuma sistēma var palīdzēt ātri atjaunot strāvas padevi, joprojām ir dīkstāve, kas pārtrauc uzņēmējdarbību. Cits informācijas drošības speciālists minēja, ka viņi domā par to, kā traucējumi var izplatīties ārpus uzņēmuma galvenā tīkla, lai risinātu darbības problēmas, piemēram, konveijera problēmas vai sekundāro ietekmi, ja galvenie piegādātāji tiek izslēgti ar izspiedējprogrammatūru.

Traucējumu pārvaldības taktika ietver gan liekas sistēmas, gan segmentāciju, kas palīdz samazināt dīkstāves laiku, ļaujot organizācijai mainīt trafiku uz citu tīkla daļu, vienlaikus ierobežojot un atjaunojot ietekmēto segmentu. Tomēr pat noturīgākie dublēšanas vai ārkārtas atkopšanas procesi nevar pilnībā novērst uzņēmējdarbības pārtraukšanas vai datu izpaušanas apdraudējumu. Mazināšanas otra puse ir profilakse.

Daudzi informācijas drošības speciālisti, ar kuriem runāju, uzbrukumu novēršanai un atklāšanai izmanto paletes pieeju, izmantojot dažādus piegādātāju risinājumus — ievainojamību testēšanu, perimetra testēšanu, automatizētu pārraudzību, galapunktu drošību, identitātes aizsardzību u.c. Dažiem tā ir apzināta dublēšana, cerot, ka daudzslāņaina pieeja paslēps visus trūkumus — kā izkārtojot Šveices sieru, cerot, ka tā tiks aizklāti siera caurumi.

Mūsu pieredze liecina, ka šāda daudzveidība var sarežģīt koriģēšanas centienus, potenciāli radot lielāku risku. Kā norāda kāds informācijas drošības speciālists, vairāku risinājumu apvienošanas problēma ir redzamības trūkums sadrumstalotības dēļ: “Man ir vislabākā pieeja, kas pati par sevi rada zināmas problēmas, jo tad trūkst risku apkopojuma. Jums ir šīs neatkarīgās konsoles, ar kurām pārvaldāt apdraudējumus, un jums nav šāda kopskata par to, kas notiek jūsu vietā.” (Veselības aprūpe, 1100 darbinieku) Tā kā uzbrucēji veido sarežģītu tīmekli, kas aptver vairākus atšķirīgus risinājumus, var būt grūti iegūt pilnīgu priekšstatu par pakāpenisku kiberuzbrukumu, noteikt apdraudējuma apmēru un pilnībā iznīdēt jebkādu ļaunprogrammatūras vērtumu. Lai apturētu notiekošu uzbrukumu, ir nepieciešama spēja izpētīt vairākus uzbrukuma vektorus, lai reāllaikā atklātu, novērstu un ierobežotu/koriģētu uzbrukumus.

Lielākā daļa joprojām nav īstenojusi paplašinātās atklāšanas un reaģēšanas solījumu. Daudzi informācijas drošības speciālisti, ar kuriem runājam, ir ieviesuši spēcīgu galapunktu atklāšanas un reaģēšanas sākumpunktu. Galapunktu atklāšana un reaģēšana ir pārbaudīts līdzeklis: esam pārliecinājušies, ka pašreizējie galapunktu atklāšanas un reaģēšanas lietotāji spēj ātrāk atklāt un apturēt izspiedējprogrammatūru.

Lai arī paplašinātā atklāšana un reaģēšana (XDR) ir galapunktu atklāšanas un reaģēšanas (EDR) evolūcija, daži informācijas drošības speciālisti joprojām skeptiski vērtē XDR lietderību. Vai XDR ir tikai EDR ar dažiem punkta risinājumiem? Vai man patiešām ir jāizmanto pilnībā atsevišķs risinājums? Vai arī mans EDR galu galā piedāvās tādas pašas iespējas? Pašreizējais XDR risinājumu tirgus rada vēl lielāku neskaidrību, jo pārdevēji sacenšas, lai produktu portfeļus papildinātu ar XDR piedāvājumiem. Daži pārdevēji paplašina savu galapunktu atklāšanas un reaģēšanas rīku, lai iekļautu papildu apdraudējumu datus, bet citi vairāk koncentrējas uz īpašu paplašinātās atklāšanas un reaģēšanas platformu izveidi. Pēdējie ir veidoti no pašiem pamatiem, lai nodrošinātu integrāciju un iespējas, kas ir vērstas uz drošības analītiķa vajadzībām, atstājot pēc iespējas mazāk trūkumu, kas jūsu komandai būtu jānovērš manuāli.

Saskaroties ar talantīgu darbinieku trūkumu drošības jomā un nepieciešamību ātri reaģēt, lai ierobežotu apdraudējumus, esam mudinājuši vadītājus izmantot automatizāciju, lai darbiniekus, kuri varētu pievērsties aizsardzībai pret visnopietnākajiem draudiem, atbrīvotu no tādu ikdienišķu uzdevumu veikšanas kā paroļu atiestatīšana. Interesanti, ka daudzi no uzrunātajiem drošības jomas vadītājiem minēja, ka viņi vēl pilnībā neizmanto automatizācijas iespējas. Dažos gadījumos drošības vadītāji pilnībā neapzinās šīs iespējas; citi vilcinās izmantot automatizāciju, baidoties zaudēt kontroli, pieļaut neprecizitāti vai upurēt redzamību apdraudējumiem. Pēdējās ir ļoti pamatotas bažas. Tomēr mēs redzam, ka efektīvas automatizācijas ieviesēji panāk tieši pretējo — lielāku kontroli, mazāk viltus signālu, mazāk trokšņa un vairāk veicamo darbību ieskatu —, izvietojot automatizāciju kopā ar drošības komandu, lai vadītu un koncentrētu komandas centienus.

Automatizācija aptver dažādas iespējas, sākot ar vienkāršiem automatizētiem administratīvajiem uzdevumiem un beidzot ar gudru riska novērtējumu, izmantojot mašīnmācīšanos. Lielākā daļa informācijas drošības speciālistu izmanto uz pasākumiem vai noteikumiem balstītu automatizāciju, bet mazāka daļa — izmantojuši iebūvētā mākslīgā intelekta un mašīnmācīšanās iespējas, kas ļauj pieņemt lēmumus par piekļuvi reāllaikā atkarībā no riskiem. Protams, rutīnas uzdevumu automatizēšana ļauj drošības komandai pievērsties stratēģiskākai domāšanai, kas vislabāk padodas cilvēkiem. Taču tieši šajā stratēģiskajā jomā (kritisku incidentu atbildē, minot vienu piemēru) automatizācijai ir vislielākais potenciāls, lai drošības komandu varētu paaugstināt par intelektisku partneri, kas apstrādā datus un salīdzina modeļus. Piemēram, mākslīgais intelekts un automatizācija prasmīgi salīdzina drošības signālus, lai atbalstītu visaptverošu atklāšanu un reaģēšanu uz pārkāpumu. Aptuveni puse no mūsu nesen aptaujātajiem drošības speciālistiem apgalvo, ka viņiem ir manuāli jāsalīdzina signāli.1   Tas aizņem ļoti daudz laika un padara gandrīz neiespējamu ātru reaģēšanu, lai apturētu uzbrukumu. Pareizi izmantojot automatizāciju, piemēram, drošības signālu salīdzināšanu, uzbrukumus bieži vien var atklāt gandrīz reāllaikā.

Esam konstatējuši, ka daudzas drošības komandas nepietiekami izmanto automatizāciju, kas iebūvēta esošajos risinājumos, kurus tās jau izmanto. Daudzos gadījumos automatizācijas pieteikšana ir tikpat vienkārša (un iedarbīga!) kā pieejamo līdzekļu konfigurēšana, piemēram, fiksētu noteikumu piekļuves politiku aizstāšana ar uz risku balstītām nosacītas piekļuves politikām, atbildes darbību rokasgrāmatu izveide utt.

Informācijas drošības speciālisti, kuri izvēlas atteikties no automatizācijas iespējām, bieži vien to dara neuzticības dēļ, atsaucoties uz bažām, ka sistēma, darbojoties bez cilvēka uzraudzības, varētu pieļaut neatgriezeniskas kļūdas. Daži no iespējamajiem scenārijiem — sistēma neatbilstoši dzēš lietotāja datus, neērtības vadītājam, kuram nepieciešama piekļuve sistēmai, vai, sliktākajā gadījumā, kontroles vai redzamības zaudēšana par izmantotu ievainojamību.

Taču drošība parasti ir līdzsvars starp nelielām neērtībām ikdienā un pastāvīgu katastrofāla uzbrukuma apdraudējumu. Automatizācija var kalpot kā agrīna brīdinājuma sistēma šāda uzbrukuma gadījumā, un tās radītās neērtības var mazināt vai novērst. Turklāt vislabākajā gadījumā automatizācija darbojas nevis pati par sevi, bet gan kopā ar operatoriem-cilvēkiem, tādējādi mākslīgais intelekts var gan informēt, gan pārbaudīt cilvēka intelektu.

Lai nodrošinātu netraucētu izvietošanu, mēs esam pievienojuši saviem risinājumiem tikai atskaites režīmus, lai pirms ieviešanas piedāvātu izmēģinājuma darbību. Tas ļauj drošības komandai ieviest automatizāciju savā tempā, precizējot automatizācijas noteikumus un uzraugot automatizēto rīku veiktspēju.

Drošības vadītāji, kuri visefektīvāk izmanto automatizāciju, ievieš to kopā ar savu komandu, lai novērstu nepilnības un kalpotu kā pirmā aizsardzības līnija. Kā man nesen teica kāds informācijas drošības speciālists, ir gandrīz neiespējami un pārāk dārgi nodrošināt, ka drošības komanda koncentrēti strādātu vienmēr un visur, un, pat ja tas būtu iespējams, drošības komandām ir tendence bieži mainīties. Automatizācija nodrošina nepārtrauktību un konsekvenci, lai atbalstītu drošības komandu jomās, kurās nepieciešama šāda konsekvence, piemēram, trafika pārraudzībā un agrīnās brīdināšanas sistēmās. Automatizācija, kas izvietota šajā atbalstošajā noslodzē, palīdz komandai, atbrīvojot to no manuālas žurnālu un sistēmu pārskatīšanas, un ļauj tām būt vairāk proaktīvām. Automatizācija neaizstāj cilvēkus — tie ir rīki, kas ļauj jūsu darbiniekiem par prioritāti uzskatīt brīdinājumus un koncentrēt savus centienus tur, kur tas ir vissvarīgāk.