بودكاست CISO Insider: المشكلة 2

يستهدف مهاجمو برامج الفدية الأصول الأكثر قيمة لديك حيث يشعرون أن بإمكانهم انتزاع أكبر قدر من الأموال منك، سواء كانت الأكثر إزعاجاً أو قيمة إذا تم احتجازها كرهينة أو الأكثر حساسية إذا تم إطلاق سراحها.

تعد الصناعة أحد المحددات المهمة لملف تعريف المخاطر الخاص بالمؤسسة - في حين يشير قادة التصنيع إلى تعطل الأعمال باعتباره مصدر القلق الأكبر، فإن مسؤولي أمن المعلومات في قطاع التجزئة والخدمات المالية يعطون الأولوية لحماية معلومات التعريف الشخصية الحساسة؛ وفي الوقت نفسه، فإن منظمات الرعاية الصحية معرضة للخطر بنفس القدر على كلا الجبهتين. واستجابة لذلك، يقوم قادة الأمن بتحويل ملف تعريف المخاطر الخاص بهم بقوة بعيداً عن فقدان البيانات والتعرض لها من خلال تقوية محيطهم، والنسخ الاحتياطي للبيانات المهمة، والأنظمة الزائدة عن الحاجة، وتحسين التشفير.

أصبح تعطيل الأعمال الآن محور اهتمام العديد من القادة. تتكبد الشركة تكاليف حتى لو كان الانقطاع قصيراً. أخبرني أحد مسؤولي تكنولوجيا المعلومات في مجال الرعاية الصحية مؤخراً أن برامج الفدية الضارة، من الناحية التشغيلية، لا تختلف عن انقطاع التيار الكهربائي بشكل كبير. في حين أن نظام النسخ الاحتياطي المناسب يمكن أن يساعد في استعادة الطاقة بسرعة، إلا أنه لا يزال لديك وقت توقف يقطع العمل. وذكر كبير مسؤولي تكنولوجيا المعلومات آخر أنهم يفكرون في كيفية امتداد الاضطراب إلى ما هو أبعد من شبكة الشركة الرئيسية الخاصة بهم إلى المخاوف التشغيلية مثل مشكلات خطوط الأنابيب أو التأثير الثانوي لإغلاق الموردين الرئيسيين بسبب برامج الفدية.

وتتضمن تكتيكات إدارة التعطيل كلا من الأنظمة المتكررة والتجزئة للمساعدة في تقليل وقت التوقف عن العمل، مما يسمح للمؤسسة بتحويل حركة المرور إلى جزء مختلف من الشبكة مع احتواء واستعادة الجزء المتأثر. ومع ذلك، حتى أقوى عمليات النسخ الاحتياطي أو التعافي من الكوارث لا يمكنها حل التهديد المتمثل في تعطل الأعمال أو تعرض البيانات بشكل كامل. الجانب الآخر من التقليل هو الوقاية.

يتبع العديد من مدراء أمن المعلومات (CISOs) الذين تحدثت معهم منهجاً لوحياً لمنع الهجمات واكتشافها، وذلك باستخدام طبقات من حلول البائعين التي تغطي اختبار الثغرات الأمنية، واختبار المحيط، والمراقبة الآلية، وأمن نقطة النهاية، وحماية الهوية، وما إلى ذلك. بالنسبة للبعض، يعد هذا تكراراً متعمداً، على أمل أن يغطي النهج متعدد الطبقات أي فجوات - مثل أكوام الجبن السويسري، على أمل ألا تصطف الفجوات.

وقد أظهرت تجربتنا أن هذا التنوع يمكن أن يؤدي إلى تعقيد جهود العلاج، مما قد يؤدي إلى مزيد من التعرض للمخاطر. وكما في أحد ملاحظات CISO، فإن الجانب السلبي لتجميع حلول متعددة هو الافتقار إلى الرؤية بسبب التجزئة: "لدي أفضل نهج في السلالة، والذي يمثل في حد ذاته بعض التحديات لأنه يوجد نقص في الرؤية حول المخاطر الإجمالية لأن لديك وحدات التحكم المستقلة التي تدير التهديدات، وليس لديك هذه الرؤية الإجمالية لما يجري في مكانك." (الرعاية الصحية، 1100 موظف) مع قيام المهاجمين بنسج شبكة ويب معقدة تمتد عبر حلول متباينة متعددة، قد يكون من الصعب الحصول على صورة كاملة لسلسلة القتل، وتحديد مدى الاختراق، واجتثاث أي حمولات من البرامج الضارة بشكل كامل. يتطلب إيقاف الهجوم الجاري القدرة على البحث عبر نواقل متعددة لاكتشاف الهجمات وردعها واحتوائها/معالجتها في الوقت الفعلي.

لا يزال الوعد بـ XDR غير محقق من قبل معظم الناس. قام العديد من الرؤساء التنفيذيين لأمان المعلومات (CISO) الذين تحدثنا إليهم بتطبيق نقطة انطلاق قوية في EDR. يعد EDR أحد الأصول المؤكدة: لقد رأينا أن المستخدمين الحاليين للكشف عن نقطة النهاية والاستجابة لها لديهم سجل حافل في اكتشاف برامج الفدية وإيقافها بشكل أسرع.

ومع ذلك، نظراً لأن XDR عبارة عن تطور لـ EDR، يظل بعض مسؤولي أمن المعلومات متشككين بشأن فائدة XDR. هل XDR مجرد EDR مع معالجة بعض الحلول المتعلقة ببعض النقاط؟ هل أحتاج حقاً إلى استخدام حل منفصل تماماً؟ أم أن EDR الخاص بي سيوفر في النهاية نفس الإمكانات؟ يضيف السوق الحالي لحلول XDR مزيداً من الارتباك حيث يتسابق البائعون لإضافة عروض XDR إلى مجموعات المنتجات. يقوم بعض البائعين بتوسيع أداة EDR الخاصة بهم لدمج بيانات التهديدات الإضافية بينما يركز البعض الآخر بشكل أكبر على إنشاء منصات XDR مخصصة. وقد تم تصميم هذه الأخيرة من الألف إلى الياء لتقديم تكامل وقدرات خارج الصندوق تتمحور حول احتياجات محلل الأمان، مما يترك أقل عدد من الفجوات ليتعين على فريقك ملؤها يدوياً.

في مواجهة النقص في المواهب الأمنية والحاجة إلى الاستجابة بسرعة لاحتواء التهديدات، شجعنا القادة على استخدام الأتمتة للمساعدة في تحرير موظفيهم للتركيز على الدفاع ضد أسوأ التهديدات بدلاً من التعامل مع المهام الدنيوية مثل إعادة تعيين كلمات المرور. ومن المثير للاهتمام أن العديد من قادة الأمن الذين تحدثت إليهم ذكروا أنهم لم يستفيدوا بشكل كامل من القدرات الآلية حتى الآن. في بعض الحالات، لا يكون قادة الأمان على دراية كاملة بهذه الفرصة؛ ويتردد آخرون في تبني الأتمتة خوفاً من فقدان السيطرة، أو التسبب في عدم الدقة، أو التضحية برؤية التهديدات. هذا الأخير هو مصدر قلق مشروع للغاية. ومع ذلك، فإننا نرى أن مستخدمي الأتمتة الفعالة يحققون العكس تمامًا - مزيد من التحكم، وعدد أقل من النتائج الإيجابية الكاذبة، وضوضاء أقل، ورؤية أكثر قابلية للتنفيذ - من خلال نشر الأتمتة جنبًا إلى جنب مع فريق الأمان لتوجيه جهود الفريق وتركيزها.

تغطي الأتمتة مجموعة من الإمكانات، بدءًا من المهام الإدارية الآلية الأساسية وحتى تقييم المخاطر الممكّن من التعلم الآلي الذكي. يفيد معظم رؤساء CISO باعتماد الأتمتة السابقة القائمة على الأحداث أو القائمة على القواعد، لكن عدداً أقل منهم استفاد من قدرات الذكاء الاصطناعي والتعلم الآلي المضمنة التي تتيح اتخاذ قرارات الوصول القائمة على المخاطر في الوقت الفعلي. من المؤكد أن أتمتة المهام الروتينية تساعد على تحرير فريق الأمن للتركيز على التفكير الأكثر إستراتيجية الذي يقوم به البشر بشكل أفضل. ولكن في هذا المجال الاستراتيجي - في فرز الاستجابة للحوادث، على سبيل المثال لا الحصر - تتمتع الأتمتة بأكبر قدر من الإمكانية لتمكين فريق الأمان باعتباره شريكاً ذكياً في تحليل البيانات ومطابقة الأنماط. على سبيل المثال، يتمتع الذكاء الاصطناعي والأتمتة بمهارة كبيرة في ربط الإشارات الأمنية لدعم الكشف الشامل عن الاختراق والاستجابة له. يقول حوالي نصف ممارسي الأمن الذين قمنا باستطلاع آراءهم مؤخراً إنه يتعين عليهم ربط الإشارات يدويًا.1   ويستغرق هذا وقتاً طويلاً للغاية ويجعل من المستحيل تقريبًا الاستجابة بسرعة لاحتواء الهجوم. ومن خلال التطبيق الصحيح للأتمتة - مثل ربط الإشارات الأمنية - يمكن غالباً اكتشاف الهجمات في الوقت الفعلي تقريباً.

لقد وجدنا أن العديد من فرق الأمان لا تستخدم بشكل كافٍ الأتمتة المضمنة في الحلول الحالية التي يستخدمونها بالفعل. في كثير من الحالات، يكون تطبيق الأتمتة سهلاً (وعالي التأثير!) مثل تكوين الميزات المتاحة مثل استبدال سياسات الوصول ذات القاعدة الثابتة بسياسات الوصول المشروط القائمة على المخاطر، وإنشاء قواعد تشغيل الاستجابة، وما إلى ذلك.

إن كبار مسؤولي تكنولوجيا المعلومات الذين يختارون التخلي عن فرص الأتمتة غالبًا ما يفعلون ذلك بسبب عدم الثقة، مشيرين إلى مخاوف بشأن ارتكاب النظام لأخطاء لا يمكن إصلاحها أثناء العمل دون إشراف بشري. تتضمن بعض السيناريوهات المحتملة قيام النظام بحذف بيانات المستخدم بشكل غير مناسب، أو إزعاج المسؤول التنفيذي الذي يحتاج إلى الوصول إلى النظام، أو الأسوأ من ذلك، يؤدي إلى فقدان السيطرة أو الرؤية حول الثغرة الأمنية التي تم استغلالها.

لكن الأمن يميل إلى الموازنة بين الإزعاجات اليومية الصغيرة والتهديد المستمر بحدوث هجوم كارثي. تتمتع الأتمتة بالقدرة على أن تكون بمثابة نظام إنذار مبكر لمثل هذا الهجوم ويمكن تخفيف مضايقاتها أو القضاء عليها. علاوة على ذلك، فإن الأتمتة في أفضل حالاتها لا تعمل من تلقاء نفسها، بل جنبًا إلى جنب مع المشغلين البشريين، حيث يمكن للذكاء الاصطناعي أن يقوم بإبلاغ الذكاء البشري والتحقق منه.

للمساعدة في ضمان النشر السلس، قمنا بإضافة أوضاع التقارير فقط إلى حلولنا من أجل توفير التشغيل التجريبي قبل الطرح. يتيح ذلك لفريق الأمان تنفيذ الأتمتة بالسرعة التي تناسبهم، وضبط قواعد الأتمتة ومراقبة أداء الأدوات الآلية.

يقوم قادة الأمن الذين يستخدمون الأتمتة بنشرها بشكل أكثر فعالية جنبًا إلى جنب مع فرقهم لسد الفجوات والعمل كخط دفاع أول. وكما أخبرني أحد كبار مسؤولي أمن المعلومات مؤخراً، فإنه يكاد يكون من المستحيل والمكلف للغاية أن يكون هناك فريق أمني يركز في كل مكان وفي جميع الأوقات - وحتى لو كان الأمر كذلك، فإن فرق الأمن تكون عرضة لتقلبات متكررة. توفر الأتمتة طبقة من الاستمرارية والاتساق الدائم لدعم فريق الأمان في المجالات التي تتطلب هذا الاتساق، مثل مراقبة حركة المرور وأنظمة الإنذار المبكر. تساعد الأتمتة، التي يتم نشرها بهذه القدرة الداعمة، على تحرير الفريق من مراجعة السجلات والأنظمة يدويًا وتسمح لهم بأن يكونوا أكثر استباقية. لا تحل الأتمتة محل البشر، فهذه هي الأدوات التي تمكّن موظفيك من تحديد أولويات التنبيهات وتركيز جهودهم في المجالات الأكثر أهمية.