การตรวจหาและการตอบสนองต่อภัยคุกคาม (TDR) คืออะไร

การระบุภัยคุกคามทางไซเบอร์ได้ยากขึ้นเรื่อยๆ เนื่องจากองค์กรได้ขยายขอบเขตระบบคลาวด์ เชื่อมต่ออุปกรณ์กับอินเทอร์เน็ตมากขึ้น และเปลี่ยนไปใช้ที่ทํางานแบบไฮบริด ผู้ไม่หวังดีใช้ประโยชน์จากพื้นที่พื้นผิวที่ขยายตัวนี้และการกระจัดกระจายของเครื่องมือรักษาความปลอดภัยด้วยกลวิธีประเภทต่อไปนี้:

• แคมเปญฟิชชิ่งแคมเปญฟิชชิ่ง หนึ่งในวิธีที่พบบ่อยที่สุดที่ผู้ไม่หวังดีแทรกซึมเข้าไปในบริษัทคือการส่งอีเมลที่หลอกให้พนักงานดาวน์โหลดโค้ดที่เป็นอันตรายหรือให้ข้อมูลประจําตัวของตน
• มัลแวร์ ผู้โจมตีทางไซเบอร์จํานวนมากปรับใช้ซอฟต์แวร์ที่ออกแบบมาเพื่อทําให้คอมพิวเตอร์และระบบเสียหาย หรือรวบรวมข้อมูลที่ละเอียดอ่อน
• แรนซัมแวร์ หนึ่งในชนิดของมัลแวร์ ผู้โจมตีแรนซัมแวร์มีระบบที่สําคัญและตัวจับข้อมูล ข่มขู่ว่าจะปล่อยข้อมูลส่วนตัวหรือขโมยทรัพยากรระบบคลาวด์ไปยังเหมือง Bitcoin จนกว่าจะมีการชําระเงินค่าไถ่ เมื่อไม่นานมานี้ แรนซัมแวร์ที่มนุษย์ดําเนินการซึ่งกลุ่มผู้จับต้องทางไซเบอร์สามารถเข้าถึงเครือข่ายทั้งหมดขององค์กรได้กลายเป็นปัญหาที่เพิ่มขึ้นสําหรับทีมรักษาความปลอดภัย
• การโจมตีโดยปฏิเสธการให้บริการแบบกระจาย (DDoS) เมื่อใช้ชุดบอท ผู้ไม่หวังดีจะรบกวนเว็บไซต์หรือบริการโดยทําให้มีปริมาณการรับส่งข้อมูลจำนวนมาก
• ภัยคุกคามจากภายใน ภัยคุกคามทางไซเบอร์บางอย่างไม่ได้มาจากภายนอกองค์กร ยังมีความเสี่ยงที่บุคคลที่เชื่อถือได้ที่สามารถเข้าถึงข้อมูลที่ละเอียดอ่อนอาจเป็นอันตรายต่อองค์กรโดยไม่ได้ตั้งใจหรือเป็นอันตรายเช่นกัน
• การโจมตีตามข้อมูลประจําตัว การละเมิดส่วนใหญ่เกี่ยวข้องกับข้อมูลประจําตัวที่ถูกโจมตี ซึ่งก็คือเมื่อผู้ขโมยข้อมูลทางไซเบอร์หรือคาดเดาข้อมูลประจําตัวของผู้ใช้ และใช้ข้อมูลดังกล่าวเพื่อเข้าถึงระบบและข้อมูลขององค์กร
• การโจมตีอินเตอร์เน็ตในทุกสิ่ง (IoT) อุปกรณ์ IoT ยังมีความเสี่ยงต่อการโจมตีทางไซเบอร์ โดยเฉพาะอย่างยิ่งอุปกรณ์แบบดั้งเดิมที่ไม่มีตัวควบคุมความปลอดภัยในตัวที่อุปกรณ์สมัยใหม่มี
• การโจมตีห่วงโซ่อุปทาน บางครั้งผู้ไม่หวังดีกําหนดเป้าหมายองค์กรโดยการแก้ไขข้อมูลซอฟต์แวร์หรือฮาร์ดแวร์ที่จัดหาโดยผู้จัดจําหน่ายของบริษัทภายนอก
• การใส่รหัส โดยการใช้ประโยชน์จากช่องโหว่ในวิธีที่โค้ดต้นฉบับจัดการกับข้อมูลภายนอก อาชญากรไซเบอร์จะใส่โค้ดที่เป็นอันตรายลงในแอปพลิเคชัน

การตรวจหาภัยคุกคาม
เพื่อนําหน้าการโจมตีด้านความปลอดภัยทางไซเบอร์ที่เพิ่มขึ้น องค์กรต่างๆ จะใช้การสร้างแบบจําลองภัยคุกคามเพื่อกําหนดข้อกําหนดด้านความปลอดภัย ระบุช่องโหว่และความเสี่ยง และจัดลําดับความสําคัญของการแก้ไข เมื่อใช้สถานการณ์สมมติ SOC จะพยายามเข้าสู่ความคิดของอาชญากรรมไซเบอร์เพื่อให้สามารถปรับปรุงความสามารถขององค์กรในการป้องกันหรือลดเหตุการณ์ด้านความปลอดภัย เฟรมเวิร์ก MITRE ATT&CK® เป็นแบบจําลองที่มีประโยชน์สําหรับการทําความเข้าใจเทคนิคและกลวิธีทางไซเบอร์ทั่วไป

การป้องกันหลายชั้นจําเป็นต้องใช้เครื่องมือที่ให้การตรวจสอบสภาพแวดล้อมแบบเรียลไทม์อย่างต่อเนื่องและปัญหาด้านความปลอดภัยที่อาจเกิดขึ้น โซลูชันยังต้องทับซ้อนกัน เพื่อให้ถ้าวิธีการตรวจหาหนึ่งมีช่องโหว่ ซึ่งเป็นวิธีที่สองจะตรวจหาปัญหาและแจ้งให้ทีมรักษาความปลอดภัยทราบ โซลูชันการตรวจหาภัยคุกคามทางไซเบอร์ใช้วิธีการต่างๆ เพื่อระบุภัยคุกคาม รวมถึง:

• การตรวจหาตามลายเซ็น โซลูชันความปลอดภัยจํานวนมากจะสแกนซอฟต์แวร์และการรับส่งข้อมูลเพื่อระบุลายเซ็นเฉพาะที่เกี่ยวข้องกับมัลแวร์บางชนิด
• การตรวจหาตามลักษณะการทํางาน เพื่อช่วยตรวจจับภัยคุกคามทางไซเบอร์ใหม่และที่เกิดขึ้นใหม่ โซลูชันการรักษาความปลอดภัยยังค้นหาการดําเนินการและลักษณะการทํางานที่พบได้ทั่วไปในภัยคุกคาม
• การตรวจหาความผิดปกติ AI และการวิเคราะห์ช่วยให้ทีมเข้าใจลักษณะการทํางานทั่วไปของผู้ใช้ อุปกรณ์ และซอฟต์แวร์ เพื่อให้สามารถระบุสิ่งผิดปกติที่อาจบ่งบอกถึงภัยคุกคามทางไซเบอร์

แม้ว่าซอฟต์แวร์จะมีความสําคัญ แต่ผู้คนมีบทบาทสําคัญเท่าๆ กันในการตรวจหาภัยคุกคามทางไซเบอร์ นอกจากการคัดแยกและตรวจสอบการแจ้งเตือนที่ระบบสร้างขึ้นแล้ว นักวิเคราะห์ยังใช้เทคนิคการตรวจหาภัยคุกคามทางไซเบอร์เพื่อค้นหาเชิงรุกบ่งชี้ถึงการล่วงละเมิดหรือค้นหากลวิธี เทคนิค และกระบวนการที่แนะนําภัยคุกคามที่อาจเกิดขึ้น วิธีการเหล่านี้ช่วยให้ SOC เปิดเผยและหยุดการโจมตีที่ซับซ้อนและยากต่อการตรวจหาได้อย่างรวดเร็ว