Trace Id is missing

CISO Insider: Số 2

 Một phụ nữ đang xem máy tính bảng trong kho hàng công nghiệp

Nền kinh tế tội phạm mạng đang thúc đẩy sự gia tăng nhanh chóng của các cuộc tấn công tinh vi. Trong số này, chúng ta cùng lắng nghe các Giám đốc Bảo mật thông tin (CISO) chia sẻ về những gì họ đang thấy ở tuyến đầu.

Thư của Rob

Chào mừng bạn đến với số thứ hai của CISO Insider. Tôi là Rob Lefferts, tôi là người đứng đầu Microsoft 365 Defender và nhóm kỹ sư Sentinel. Tại Microsoft Security, chúng tôi liên tục lắng nghe và học hỏi từ khách hàng khi họ xoay xở trong bối cảnh bảo mật ngày càng phức tạp. Chúng tôi đã thiết kế để CISO Insider trở thành một phương tiện chia sẻ các đề xuất mà chúng tôi đã thu thập được từ các đồng nghiệp của bạn và từ nghiên cứu trong ngành của chính chúng tôi. Trong số thứ hai này, chúng ta cùng theo dõi những lỗ hổng đã phát hiện trong Số 1, xem xét kỹ hơn hành vi tống tiền trên mạng và các biện pháp mà các nhà lãnh đạo bảo mật đang sử dụng để ngăn chặn các cuộc tấn công ngang hàng như vậy mà ít gây gián đoạn nhất có thể cho doanh nghiệp và nhóm bảo mật.

Trong Số 1, chúng ta đã thảo luận về ba vấn đề hàng đầu của các CISO: thích ứng với các xu hướng mới nổi của mối đe dọa trong môi trường kết hợp, đa đám mây; quản lý các mối đe dọa chuỗi cung ứng; và giải quyết tình trạng thiếu nhân lực có năng lực về bảo mật. Trong số báo này, chúng ta sẽ đi sâu tìm hiểu về tốc độ phát triển như vũ bão của các yếu tố rủi ro trên mạng và xác định cách các tổ chức thay đổi chiến thuật để giảm thiểu các mối đe dọa ngày càng leo thang. Đầu tiên, chúng ta nghiên cứu đặc trưng rủi ro đang thay đổi của mã độc tống tiền và các phương pháp tốt nhất có thể giúp ngăn chặn những hành vi này và những vi phạm khác lan rộng qua mạng. Tiếp theo, chúng ta cùng xem xét hai tài nguyên chính đóng vai trò quan trọng, không chỉ giúp ngăn chặn vi phạm mà còn phản hồi nhanh chóng trong những giây phút quyết định đầu tiên. Thứ nhất là phát hiện và phản hồi mở rộng (XDR) và thứ hai là tự động hóa. Cả hai tài nguyên đều giúp giải quyết các lỗ hổng mà chúng tôi đã đề cập trong Số 1: ranh giới nhận dạng và bảo mật mở rộng của các mạng hiện nay, trải dài trên các hệ sinh thái nhà cung cấp và môi trường làm việc kết hợp cũng như sự khan hiếm nguồn nhân lực để giám sát và ứng phó với các mối đe dọa đó.

Nền kinh tế tội phạm mạng đang tạo điều kiện cho những kẻ phạm tội trên mạng thông thường tiếp cận các công cụ và hệ thống tự động hóa tốt hơn để có thể mở rộng quy mô và giảm chi phí. Kết hợp với lợi nhuận thu được từ các cuộc tấn công thành công, mã độc tống tiền đang trên đà phát triển nhanh chóng (Báo cáo Phòng vệ số Microsoft năm 2021). Tình hình ngày càng nghiêm trọng khi kẻ tấn công áp dụng mô hình tống tiền kép. Đầu tiên, nạn nhân bị tống tiền để chuộc lại dữ liệu bị đánh cắp, sau đó, họ bị tống tiền lần thứ hai khi kẻ tấn công dọa phát tán dữ liệu. Chúng ta cũng đã thấy sự gia tăng các cuộc tấn công nhắm vào tài sản công nghệ vận hành (OT) để gây rối loạn hạ tầng quan trọng. Các CISO có quan điểm khác nhau về việc đâu là tình trạng gây thiệt hại thảm khốc hơn cho doanh nghiệp – gián đoạn kinh doanh hay rò rỉ dữ liệu. Điều này phụ thuộc vào lĩnh vực hoạt động của doanh nghiệp và mức độ sẵn sàng của họ. Dù thế nào đi nữa, chuẩn bị sẵn sàng là yếu tố then chốt để quản lý rủi ro trên cả hai mặt trận. Ngoài các chiến thuật giảm thiểu hậu quả, các nỗ lực phòng ngừa hiệu quả như tăng cường bảo mật điểm cuối, bảo vệ danh tính và mã hóa là điều cần thiết do tính thường xuyên và mức độ nghiêm trọng của các cuộc tấn công này.

Các CISO đang suy nghĩ một cách chiến lược hơn về cách giải quyết các rủi ro liên quan đến mã độc tống tiền.

Kẻ tấn công mã độc tống tiền nhắm vào những tài sản có giá trị nhất, những thứ mà chúng cảm thấy có thể moi được nhiều tiền nhất từ bạn. Đó có thể là hệ thống gây gián đoạn nhiều nhất, thông tin có giá trị nhất nếu bị giữ làm con tin hoặc dữ liệu nhạy cảm nhất nếu bị tiết lộ.

Ngành nghề là một yếu tố quan trọng quyết định mức độ rủi ro của tổ chức. Trong khi các nhà lãnh đạo ngành sản xuất coi gián đoạn kinh doanh là mối lo ngại hàng đầu, thì các CISO trong lĩnh vực bán lẻ và dịch vụ tài chính lại ưu tiên bảo vệ thông tin cá nhân nhạy cảm. Mặt khác, các tổ chức chăm sóc sức khỏe lại dễ bị tổn thương trên cả hai mặt trận. Để đối phó, các nhà lãnh đạo bảo mật đang tích cực chuyển đổi đặc trưng rủi ro của mình, giảm thiểu khả năng mất mát và rò rỉ dữ liệu bằng cách tăng cường bảo mật hệ thống phòng thủ, sao lưu dữ liệu quan trọng, xây dựng hệ thống dự phòng và cải thiện mã hóa.

Gián đoạn kinh doanh hiện đang là tâm điểm của nhiều nhà lãnh đạo. Doanh nghiệp vẫn phải chịu tổn thất về chi phí dù chỉ gián đoạn trong phút chốc. Mới đây, một CISO trong ngành chăm sóc sức khỏe đã cho tôi biết rằng trên thực tế, mã độc tống tiền không khác gì một vụ mất điện lớn. Mặc dù một hệ thống sao lưu đầy đủ có thể giúp khôi phục hoạt động nhanh chóng nhưng doanh nghiệp vẫn bị thời gian chết làm gián đoạn hoạt động kinh doanh. Một CISO khác đề cập đến việc họ đang suy nghĩ rằng không chỉ dừng lại ở mạng công ty chính, tình trạng gián đoạn còn có thể lan rộng sang các vấn đề vận hành, chẳng hạn như sự cố đường ống hoặc các tác động thứ cấp do các nhà cung cấp chính phải ngừng hoạt động vì mã độc tống tiền.

Các chiến thuật để kiểm soát tình trạng gián đoạn bao gồm cả hệ thống dự phòng và phân đoạn để giúp giảm thiểu thời gian chết, cho phép tổ chức chuyển lưu lượng truy nhập sang một phần khác của mạng trong khi ngăn chặn và khôi phục phân đoạn bị ảnh hưởng. Tuy nhiên, ngay cả các quy trình sao lưu hay khắc phục thảm họa mạnh mẽ nhất cũng không thể giải quyết hoàn toàn nguy cơ gián đoạn việc kinh doanh hoặc lộ dữ liệu. Đối lập với việc giảm nhẹ hậu quả là phòng ngừa.

Để giúp bảo vệ tổ chức của bạn khỏi mã độc tống tiền, chúng tôi khuyên bạn nên:

  • Chuẩn bị phòng thủ và phục hồi. Áp dụng văn hóa nội bộ Zero Trust có giả định vi phạm, đồng thời triển khai hệ thống phục hồi dữ liệu, sao lưu và truy nhập an toàn. Nhiều nhà lãnh đạo bảo mật đã thực hiện bước quan trọng trong công tác giảm thiểu tác động của một cuộc tấn công, đó là sao lưu và mã hóa, hành động này có thể giúp doanh nghiệp tránh bị mất và lộ dữ liệu. Điều quan trọng là phải chỉ định các thư mục được bảo vệ để bảo đảm an toàn cho các bản sao lưu này trong trường hợp kẻ tấn công cố ý xóa hoặc mã hóa. Khi đã chuẩn bị sẵn kế hoạch liên tục kinh doanh/khôi phục sau thảm họa (BC/DR), nhóm có thể nhanh chóng chuyển các hệ thống bị ảnh hưởng sang trạng thái ngoại tuyến và làm gián đoạn quá trình tấn công, khôi phục hoạt động với thời gian chết tối thiểu. Zero Trust và truy nhập an toàn giúp tổ chức phòng thủ và phục hồi bằng cách cô lập cuộc tấn công và khiến kẻ tấn công khó xâm nhập qua mạng hơn rất nhiều.
  •  Bảo vệ danh tính khỏi sự xâm phạm. Để giảm thiểu khả năng đánh cắp thông tin đăng nhập và xâm nhập, cần triển khai một chiến lược truy nhập đặc quyền. Kiểm tra toàn diện thông tin đăng nhập mạng của tổ chức là một bước quan trọng trong việc phòng thủ chống lại mã độc tống tiền. Thông tin đăng nhập đặc quyền là nền tảng cho tất cả các phương thức đảm bảo bảo mật khác – khi kẻ tấn công kiểm soát các tài khoản đặc quyền của bạn, kẻ đó có thể phá hoại tất cả các phương thức đảm bảo bảo mật khác. Microsoft đề xuất chiến lược từng bước xây dựng một hệ thống "vòng kín" cho quyền truy nhập đặc quyền, đảm bảo chỉ sử dụng các thiết bị, tài khoản và hệ thống trung gian "sạch" đáng tin cậy để truy nhập đặc quyền vào các hệ thống nhạy cảm của doanh nghiệp. Microsoft đề xuất chiến lược từng bước xây dựng một hệ thống "vòng kín" cho quyền truy nhập đặc quyền, đảm bảo chỉ sử dụng các thiết bị, tài khoản và hệ thống trung gian "sạch" đáng tin cậy để truy nhập đặc quyền vào các hệ thống nhạy cảm của doanh nghiệp.
  •  Ngăn chặn, phát hiện và ứng phó trước mối đe dọa. Bảo vệ chống lại các mối đe dọa trên tất cả khối lượng công việc bằng cách tận dụng khả năng phát hiện và ứng phó toàn diện được tích hợp. Các giải pháp riêng lẻ thường có lỗ hổng phòng ngừa, làm chậm quá trình phát hiện và ứng phó với các hoạt động trước khi xảy ra sự cố mã hóa tống tiền. Microsoft cung cấp SIEM và XDR tích hợp để đem đến giải pháp bảo vệ toàn diện trước mối đe dọa, mang lại khả năng phòng ngừa, phát hiện và ứng phó tốt nhất trên toàn bộ tài sản kỹ thuật số đa đám mây, đa nền tảng của bạn.
Ba biện pháp tốt nhất này lồng ghép với nhau để tạo thành một chiến lược bảo mật toàn diện, trong đó, tính năng quản lý dữ liệu, danh tính và mạng tích hợp trong phương pháp tiếp cận Zero Trust. Đối với nhiều tổ chức, việc triển khai Zero Trust đòi hỏi một quá trình chuyển đổi bảo mật rộng hơn. Trong khi hầu hết các nhà lãnh đạo bảo mật đang hướng tới Zero Trust, một số người lại bày tỏ lo ngại rằng môi trường bị phân đoạn có thể gây cản trở quá nhiều đến năng suất của nhân viên hoặc nhóm bảo mật, vì thế, việc chuyển sang phân đoạn mạnh quá nhanh là không đáng.

Mặc dù mỗi tổ chức đều có những yêu cầu riêng cần giải quyết nhưng tôi muốn nhấn mạnh rằng hoàn toàn có thể đạt được cả hai mục tiêu: quyền truy nhập và bảo mật. Việc phân đoạn không nhất thiết phải gây cản trở. Chúng ta thấy lợi ích này rõ ràng nhất khi các tổ chức kết hợp quản lý danh tính với các nỗ lực chuyển đổi bảo mật, chẳng hạn như triển khai việc xác thực không cần mật khẩu, để người dùng không phải quản lý nhiều thông tin đăng nhập rắc rối. Bret Arsenault, CISO của Microsoft, giải thích việc xác thực không cần mật khẩu tạo điều kiện thuận lợi cho công tác bảo mật ra sao: “Việc bảo mật thiết bị là quan trọng nhưng chưa đủ. Chúng ta cũng nên tập trung vào việc bảo mật cá nhân. Chúng tôi có thể nâng cao trải nghiệm và tính bảo mật cho bạn bằng cách biến bạn thành mật khẩu.” Vì thông tin xác thực bị lấy cắp là điểm tiếp cận của hầu hết các cuộc tấn công – ví dụ: theo Báo cáo điều tra vi phạm dữ liệu năm 2022 của Verizon (DBIR), hơn 80% vi phạm ứng dụng web là do thông tin xác thực bị lấy cắp – việc bạn không dùng mật khẩu cũng giúp xử lý lỗ hổng bảo mật quan trọng này.

“Việc bảo mật thiết bị là quan trọng nhưng chưa đủ. Chúng ta cũng nên tập trung vào việc bảo mật cá nhân. Chúng tôi có thể nâng cao trải nghiệm và tính bảo mật cho bạn bằng cách biến bạn thành mật khẩu.”
– Bret Arsenault, CISO của Microsoft

Cần các công cụ hữu hiệu mới có được cách tiếp cận toàn diện để chống lại mã độc tống tiền

Nhiều CISO trò chuyện với tôi đang áp dụng cách tiếp cận mang màu sắc riêng để ngăn chặn và phát hiện cuộc tấn công, sử dụng nhiều lớp giải pháp của các nhà cung cấp khác nhau bao gồm kiểm tra lỗ hổng, kiểm tra hệ thống phòng thủ, giám sát tự động, bảo mật điểm cuối, bảo vệ danh tính, v.v. Đối với một số tổ chức, đây là sự dư thừa có chủ ý, hy vọng cách tiếp cận nhiều lớp sẽ vá mọi lỗ hổng, giống như các lớp phô mai Thụy Sĩ xếp chồng lên nhau để che phủ các lỗ hổng.

Tuy nhiên, theo kinh nghiệm của chúng tôi, giải pháp nhiều lớp này có thể làm phức tạp các nỗ lực khắc phục, tiềm ẩn khả năng gia tăng rủi ro. Một CISO nhận thấy nhược điểm của việc tập hợp nhiều giải pháp là làm mất đi khả năng quan sát do tình trạng phân mảnh: “Tôi có một cách tiếp cận vô cùng tuyệt vời, nhưng bản thân nó lại đặt ra những thách thức nhất định vì sau đó sẽ thiếu thông tin tổng hợp về các rủi ro. Bạn phải kiểm soát các mối đe dọa trên các bảng điều khiển độc lập, thế nên bạn không có thông tin tổng hợp về những gì đang diễn ra trong tổ chức của mình.” (Y tế, 1.100 nhân viên) Khi kẻ tấn công dệt nên một mạng lưới phức tạp trải rộng trên nhiều giải pháp rời rạc khác nhau, rất khó để chúng ta thấy được bức tranh toàn cảnh về chuỗi tấn công, xác định mức độ bị xâm phạm và loại bỏ hoàn toàn tải trọng của phần mềm xấu. Để ngăn chặn một cuộc tấn công đang diễn ra, chúng ta cần phải có khả năng quan sát trên nhiều hướng để phát hiện, ngăn chặn và kiềm chế/khắc phục các cuộc tấn công theo thời gian thực.

Kết luận

Một giải pháp tích hợp toàn diện giúp bạn kiểm soát lỗ hổng để giảm thiểu bề mặt tấn công và phân biệt các tín hiệu quan trọng giữa hàng loạt thông tin nhiễu loạn. Sự đơn giản này rất cần thiết đối với những tổ chức đang vật lộn để phân biệt mối đe dọa thực sự với vô vàn cảnh báo và cảnh báo nhầm.

XDR giúp bảo vệ trước mã độc tống tiền và các cuộc tấn công tinh vi khác

Nhiều nhà lãnh đạo bảo mật đang chuyển sang giải pháp phát hiện và phản hồi mở rộng (XDR) vì điểm lợi thế đa nền tảng này. XDR giúp điều phối tín hiệu trên toàn bộ hệ sinh thái – không chỉ các điểm cuối – để tạo điều kiện phát hiện và ứng phó nhanh hơn trước các mối đe dọa tinh vi.

XDR hoạt động giống như giải pháp phát hiện và phản hồi điểm cuối (EDR) nhưng bao quát nhiều nền tảng hơn, mở rộng khả năng phát hiện mối đe dọa bảo mật và ứng phó sự cố trên toàn bộ môi trường kỹ thuật số – bao gồm danh tính, hạ tầng, ứng dụng, dữ liệu, mạng, đám mây, v.v. Phạm vi mở rộng này rất quan trọng do độ tinh vi của các cuộc tấn công hiện đại, lợi dụng môi trường phân tán, phức tạp hiện nay để di chuyển ngang qua các miền. Các cuộc tấn công ngày càng diễn ra theo cách phi tuyến tính, di chuyển ngang qua các đám mây, email, ứng dụng SaaS khác nhau, v.v.

XDR có thể giúp bạn tập hợp dữ liệu từ tất cả các hệ thống khác nhau để bạn xem toàn bộ sự cố từ đầu đến cuối. Các giải pháp điểm khó có thể hiển thị toàn diện như vậy vì chúng chỉ thể hiển một phần của cuộc tấn công và trông chờ nhóm bảo mật tương quan thủ công nhiều tín hiệu về mối đe dọa từ các cổng khác nhau trong khi nhóm này vốn thường bị quá tải. Suy cho cùng, giải pháp này tốn nhiều thời gian để khắc phục hoàn toàn mối đe dọa, và trong một số trường hợp, thậm chí còn không thể khắc phục được

Bước nhảy vọt từ EDR sang XDR

Triển vọng về XDR hầu như chưa được hiện thực hóa. Nhiều CISO trò chuyện cùng chúng tôi đã triển khai điểm xuất phát mạnh mẽ ở EDR. EDR là một tài nguyên đã được chứng minh: chúng tôi ghi nhận rằng những người dùng giải pháp phát hiện và phản hồi điểm cuối hiện tại đã phát hiện và ngăn chặn mã độc tống tiền nhanh hơn.

Tuy nhiên, vì XDR là phiên bản phát triển của EDR nên một số CISO vẫn nghi ngờ về tính hữu dụng của XDR. Có phải XDR chỉ là EDR được tích hợp một số giải pháp điểm không? Tôi có thực sự cần sử dụng một giải pháp hoàn toàn riêng biệt không? Hay EDR của tôi cuối cùng sẽ có những chức năng tương tự? Thị trường giải pháp XDR hiện tại càng thêm phức tạp khi các nhà cung cấp đua nhau bổ sung các gói dịch vụ XDR vào danh mục sản phẩm của họ. Một số nhà cung cấp đang mở rộng công cụ EDR để kết hợp thêm dữ liệu về mối đe dọa, còn những nhà cung cấp khác thì tập trung hơn vào việc xây dựng các nền tảng XDR chuyên dụng. Các nền tảng chuyên dụng này được xây dựng từ đầu để cung cấp khả năng tích hợp sẵn và các tính năng tập trung vào nhu cầu của nhà phân tích bảo mật, giảm thiểu các lỗ hổng mà nhóm của bạn phải vá bằng cách thủ công.

Kết luận

XDR trở nên hấp dẫn trong môi trường bảo mật hiện nay do khả năng bao phủ và tốc độ phát hiện cũng như ngăn chặn các mối đe dọa. Khi mã độc tống tiền và các cuộc tấn công độc hại khác trở nên ngày càng phổ biến (một người được phỏng vấn đã cho biết trung bình, tổ chức của anh ấy bị tấn công *hàng ngày*), các nhà lãnh đạo bảo mật coi tự động hóa là một công cụ quan trọng, cung cấp khả năng giám sát 24/7 và phản ứng gần như tức thì.

Sử dụng tự động hóa để nâng cao năng suất cho nhóm của bạn

Đối mặt với tình trạng thiếu nhân lực có năng lực về bảo mật và nhu cầu phản ứng nhanh chóng để ngăn chặn các mối đe dọa, chúng tôi đã khuyến khích các nhà lãnh đạo sử dụng tự động hóa để giúp nhân viên của họ tập trung vào việc phòng thủ trước các mối đe dọa nghiêm trọng nhất thay vì xử lý những công việc nhàm chán như đặt lại mật khẩu. Thú vị ở chỗ, nhiều nhà lãnh đạo bảo mật từng trò chuyện với tôi đều nói rằng họ chưa tận dụng tối đa chức năng tự động hóa. Trong một số trường hợp, các nhà lãnh đạo bảo mật chưa hoàn toàn nhận thức được những cơ hội mà tự động hóa mang lại, những người khác thì ngại sử dụng tự động hóa vì sợ mất quyền kiểm soát, tiềm ẩn sai sót hoặc giảm khả năng quan sát các mối đe dọa. Mối lo ngại phía sau là hoàn toàn chính đáng. Tuy nhiên, chúng tôi nhận thấy những người áp dụng tự động hóa hiệu quả lại đạt được kết quả ngược lại – nắm quyền kiểm soát nhiều hơn, ít cảnh báo nhầm hơn, ít nhiễu loạn hơn và có nhiều hiểu biết có khả năng thúc đẩy hành động hơn – bằng cách triển khai tự động hóa song song với nhóm bảo mật để dẫn dắt và tập trung nỗ lực của nhóm vào đúng chỗ.

Tự động hóa bao gồm loạt các chức năng, từ các tác vụ quản trị tự động cơ bản đến chức năng đánh giá rủi ro thông minh hỗ trợ máy học. Hầu hết các CISO cho biết họ đang áp dụng tự động hóa được kích hoạt theo sự kiện hoặc hoạt động dựa trên quy tắc, nhưng ít người tận dụng các chức năng trí tuệ nhân tạo và máy học tích hợp sẵn cho phép ra quyết định truy nhập dựa trên rủi ro theo thời gian thực. Chắc chắn, việc tự động hóa các tác vụ thông thường giúp nhóm bảo mật có thời gian để tập trung vào tư duy chiến lược – điều mà con người làm tốt nhất. Thế nhưng chính trong phương diện chiến lược này, chẳng hạn như sàng lọc ứng phó sự cố, tự động hóa lại rất có tiềm năng trở thành cánh tay đắc lực cho nhóm bảo mật khi đóng vai trò là đối tác thông minh, phân tích dữ liệu, khớp mẫu hình. Ví dụ: AI và tự động hóa có khả năng tương quan các tín hiệu bảo mật để hỗ trợ phát hiện và ứng phó toàn diện với vi phạm. Khoảng một nửa số chuyên gia bảo mật mà chúng tôi khảo sát gần đây cho biết họ phải tương quan các tín hiệu bằng cách thủ công.1   Việc này tốn rất nhiều thời gian và khiến họ không kịp ứng phó để ngăn chặn một cuộc tấn công. Khi áp dụng tự động hóa đúng cách, như tương quan các tín hiệu bảo mật, họ có thể phát hiện các cuộc tấn công gần như tức thì.

“Chúng tôi cần AI vì lợi nhuận eo hẹp và không thể thuê quá nhiều người.” 
– Nhà hàng/khách sạn, 6.000 nhân viên

Chúng tôi nhận thấy nhiều nhóm bảo mật đang chưa tận dụng hết các tính năng tự động hóa được tích hợp sẵn trong các giải pháp mà họ đang sử dụng. Trong nhiều trường hợp, việc áp dụng tự động hóa dễ dàng (và mang lại hiệu quả cao!) như việc cấu hình các tính năng sẵn có, chẳng hạn như thay thế chính sách truy nhập theo quy tắc cố định bằng chính sách truy nhập có điều kiện dựa trên rủi ro, tạo cẩm nang phản hồi, v.v.

Các CISO lựa chọn bỏ qua các cơ hội tự động hóa thường là do e ngại rằng hệ thống có thể mắc những lỗi không thể khắc phục trong lúc hoạt động mà không có sự giám sát của con người. Một số viễn cảnh có thể xảy ra bao gồm hệ thống xóa nhầm dữ liệu của người dùng, gây bất tiện cho nhân viên cần quyền truy nhập vào hệ thống hoặc tệ hơn là dẫn đến mất kiểm soát hoặc không thấy lỗ hổng đã bị khai thác.

“Bất cứ khi nào chúng tôi cố gắng áp dụng quy trình tự động, đôi khi tôi lại thấy lo lắng vì không biết mình đang ghi đè lên quy trình gì? Tôi đang khôi phục từ sự cố gì? Mà cái gì đã kích hoạt hành động này vậy?” 
– Dịch vụ tài chính, 1.125 nhân viên

Tuy nhiên, để bảo mật trước mối đe dọa không ngừng về một cuộc tấn công thảm khốc, chúng ta phải đánh đổi bằng những bất tiện nhỏ hàng ngày. Tự động hóa có tiềm năng đóng vai trò như một hệ thống cảnh báo sớm cho một cuộc tấn công như vậy và những điểm bất tiện của tính năng này có thể được giảm thiểu hoặc loại bỏ. Và bên cạnh đó, về mặt tích cực, tự động hóa không tự hoạt động mà hoạt động cùng với người vận hành, như vậy, trí tuệ nhân tạo có thể vừa thông báo lại vừa được trí tuệ con người kiểm tra.

Để giúp đảm bảo triển khai suôn sẻ, chúng tôi đã thêm các chế độ chỉ báo cáo vào các giải pháp để cung cấp bản chạy thử trước khi triển khai. Nhờ vậy, nhóm bảo mật có thể triển khai tự động hóa theo nhịp độ của riêng họ, tinh chỉnh các quy tắc tự động hóa và giám sát hiệu năng của các công cụ tự động.

Những nhà lãnh đạo bảo mật sử dụng tự động hóa hiệu quả nhất là những người triển khai tự động hóa song song với nhóm của họ để vá lỗ hổng và hoạt động như tuyến phòng thủ đầu tiên. Như một CISO gần đây đã nói với tôi, việc nắm giữ một đội bảo mật luôn tập trung mọi lúc mọi nơi là gần như không thể và cực kỳ tốn kém, dù có đi chăng nữa thì các đội bảo mật cũng có xu hướng biến động nhân sự thường xuyên. Tự động hóa cung cấp một lớp hoạt động liên tục và nhất quán để hỗ trợ nhóm bảo mật trong các mảng yêu cầu tính nhất quán này, như hệ thống cảnh báo sớm và giám sát lưu lượng truy nhập. Được triển khai với khả năng hỗ trợ này, tính năng tự động hóa giúp nhóm không phải xem xét nhật ký và hệ thống theo cách thủ công, đồng thời cho phép họ chủ động hơn. Tự động hóa không thay thế con người, đây là những công cụ giúp nhân viên của bạn ưu tiên cảnh báo và tập trung nỗ lực vào chỗ trọng yếu nhất.

Kết luận
Chiến lược phòng thủ mạnh mẽ nhất là sự kết hợp giữa AI và các công cụ tự động với sự nhạy bén và phản ứng khôn khéo của một nhóm bảo mật. Ngoài những lợi ích trước mắt là hoàn thành tác vụ và hành động ngay lập tức để ngăn chặn một cuộc tấn công, tự động hóa còn giúp nhóm quản lý thời gian và điều phối các nguồn lực hiệu quả hơn để họ có thể tập trung vào các hoạt động điều tra và khắc phục ở cấp độ cao hơn.

Trong tất cả các nghiên cứu được trích dẫn, Microsoft đều thông qua các công ty nghiên cứu độc lập để liên hệ với các chuyên gia bảo mật cho cả nghiên cứu định lượng và định tính, bảo đảm tính riêng tư và sự nghiêm ngặt trong phân tích. Các trích dẫn và nghiên cứu được đưa vào tài liệu này, trừ khi có ghi chú rõ ràng khác, đều là kết quả các nghiên cứu của Microsoft.

  1. [1]

    Nghiên cứu của Microsoft về CISO và chuyên gia an ninh năm 2021

Bài viết liên quan

CISO Insider Số 1

Vượt qua bối cảnh đe dọa hiện nay với những phân tích và khuyến nghị độc quyền từ các nhà lãnh đạo bảo mật.

Cyber Signals: Số 1

Danh tính chính là chiến trường mới. Thu thập thông tin chuyên sâu về các mối đe dọa trên mạng đang phát triển và các bước cần thực hiện để bảo vệ tổ chức tốt hơn.

Cyber Signals Số 2: Tống tiền kinh tế

Lắng nghe ý kiến từ các chuyên gia tuyến đầu về việc phát triển mã độc tống tiền dưới dạng dịch vụ. Từ các chương trình và tải trọng để tiếp cận với các nhà môi giới và chi nhánh, hãy tìm hiểu về các công cụ, chiến thuật và mục tiêu mà kẻ phạm tội trên mạng ưa thích cũng như nhận hướng dẫn để giúp bảo vệ tổ chức của bạn.