Цикълът приключи. В продължение на години киберсигурността следваше познат модел: защитите се подобряваха, атакуващите се адаптираха и това противоборство продължаваше. Днес атакуващите, оборудвани с изкуствен интелект, просто изпреварват защитните сили. Повечето прониквания вече заобикалят изцяло откриването на нива крайна точка и зловреден код.

Докладът за глобалните заплахи на CrowdStrike оценява, че около 79% от атаките не използват зловреден софтуер, тъй като злонамерените субекти разчитат на кражба на идентификационни данни и техники за странично зареждане на DLL (DLL side-loading), за да заобиколят мониторинга на ниво хост. Уязвимостите в периметъра засилват тази уязвимост; пробивите в защитни стени и VPN шлюзове са се увеличили с 19% според последния доклад за разследване на нарушения на сигурността на данните на Verizon.

След като атакуващият получи достъп, пробивът често се случва за секунди. Модели като Claude Mythos и подобни допълнително ескалираха оперативния натиск. Те могат бързо да откриват и експлоатират непознати досега уязвимости, като на практика затварят прозореца от първоначалното откриване до пълното компрометиране.

Практиките за сигурност трябва да се адаптират, за да дадат приоритет на бързото ограничаване и анализа на поведението след компрометиране, а защитните възможности сега изискват откриване в реално време, което надхвърля покритието на ниво хост. Тук се намесва многослойното мрежово откриване, разширявайки защитата извън крайната точка – но неговата ефективност силно зависи от данните зад него.

Мрежовите доказателства засилват откриването

Платформите за крайни точки, идентификация и облачни услуги предлагат ценна перспектива за корпоративната сигурност. Инструментите за хостове проследяват процесите в паметта, решенията за идентичност наблюдават идентификационните данни, а облачните среди регистрират промените в конфигурацията. Въпреки че всеки източник осигурява видимост, тези системи работят изолирано, оставяйки пропуски във видимостта, които атакуващите могат лесно да експлоатират.

Всеки инструмент вижда само своя фрагмент от веригата на атаката. Киберпрестъпниците могат да компрометират работна станция, да използват слепи петна между системите за крайни точки и управление на идентичността, за да скрият кражбата на идентификационни данни, да се придвижат странично в облачната инфраструктура и да извлекат данни, преди SOC изобщо да разбере. Ето защо унифицираната, корелирана телеметрия в тези домейни е от съществено значение за разкриването на пълната картина.

Решенията за откриване и реагиране на мрежово ниво (NDR) валидират, обогатяват и свързват тези отделни сигнали, използвайки мрежови данни. Тъй като се събират външно (out-of-band), данните остават непроменими дори когато локалните агенти спрат да работят или когато атакуващите деактивират инструментите на крайните точки. И тъй като улавя трафика в цялото предприятие, NDR предоставя жизненоважен контекст, записвайки всеки разговор, трансакция и трансфер на данни, осигурявайки неоспоримите доказателства, от които защитниците се нуждаят, за да реагират.

Например, когато инструмент за идентичност сигнализира за необичайно влизане, мрежовите данни проверяват дали този акаунт е инициирал неоторизирани заявки към базата данни. Когато предупреждение от крайна точка сигнализира за достъп до идентификационни данни, това помага да се потвърди дали атакуващият е направил опит за странично движение.

Многослойното откриване изгражда доверие в решенията

Повечето организации вече притежават някаква форма на мрежова видимост, като например традиционни системи за откриване на прониквания (IDS), устройства за улавяне на пакети (PCAP) или основни NetFlow регистрационни файлове. Тези остарели инструменти обаче работят изолирано и повечето не успяват да съответстват на скоростта, от която анализаторите се нуждаят, за да реагират на съвременните атаки. NDR заменя тези фрагментирани, традиционни инструменти.

Чрез консолидирането на сигнатури, пакетен анализ и регистрационни файлове на потоци в един работен процес, NDR предоставя изчерпателен набор от възможности за откриване, които драматично намаляват когнитивното натоварване на анализаторите. Вместо да търсят в огромен обем от отделни, некоординирани аларми, защитниците използват множество интегрирани нива на мрежово откриване, за да установят сигурни доказателства.

  • Сигнатурно откриване и разузнаване на заплахите: Те осигуряват бързо валидиране на документирани експлоати, улавяйки известни заплахи и исторически зловредни файлове с висока точност, и откриват комуникация с установена инфраструктура на противника. Въпреки че за идентифициране на дейности след компрометиране, съвременните автоматизирани набори от инструменти изискват усъвършенствани поведенчески слоеве и слоеве за откриване на аномалии.
  • Поведенческо откриване: Поведенческите модели идентифицират тактиките, техниките и процедурите (TTPs) на атакуващите, независимо от специфичните файлове или експлоатиращия код. Например, те могат да открият подозирани тактики за командване и управление, без да разчитат на конкретни индикатори.
  • Откриване на аномалии: То сигнализира за структурни вариации от базовия мрежов трафик, като например работна станция, която внезапно започва да се държи като вътрешен скенер за портове, идентифицира връзки с голям брой непознати досега хостове или показва модели на свързване, които показват събиране на данни.
  • Модели с контролирано машинно обучение (Supervised ML): Тези модели се справят отлично с идентифицирането на модели, които са трудни за улавяне с помощта на сигнатури или логика, базирана на правила, като по този начин разширяват покритието до заплахи, които избягват традиционните методи за откриване. Те могат да виждат индикатори за компрометиране в шифрован трафик, да идентифицират злонамерени домейни и да помагат за разкриването на тунелиране в мрежата.
  • Изкуствен интелект (AI): Вместо да доставя независими сигнали, които принуждават анализаторите да гадаят за сериозността, напредналият изкуствен интелект...