שיפור ספרי תגובת אירועים עם למידה חישובית

לכל חברה צריכה להיות תוכנית תגובה כללית לאירועים שמקימה צוות תגובה לאירועים, מייעדת את החברים ומתווה את האסטרטגיה שלהם לתגובה לכל אירוע אבטחת סייבר.

עם זאת, כדי לפעול באופן עקבי על אסטרטגיה זו, חברות זקוקות ל-Playbooks - מדריכים טקטיים המדריכים את המגיבים בחקירה, ניתוח, בלימה, מיגור והתאוששות עבור התקפות כגון תוכנות כופר, התפרצות של תוכנות זדוניות או התפשרות באימייל עסקי. ארגונים שלא עוקבים אחר ספר הפעלה לאבטחה יסבלו לעתים קרובות מתקריות חמורות יותר, אומר ג'ון הולנברגר, יועץ אבטחה בכיר בקבוצת שירותי הפרואקטיב של Fortinet. בכמעט 40% מהתקריות העולמיות שבהן פורטינט מטפלת, היעדר ספרי משחק נאותים היה גורם תורם שהוביל לפריצה מלכתחילה.

"לעיתים קרובות גילינו שלמרות שלחברה יש את הכלים הנכונים לזהות ולהגיב, לא היו תהליכים, או לא מספקים, סביב הכלים הללו", אומר הולנברגר. אפילו עם ספרי משחק, הוא אומר, עדיין יש לאנליסטים החלטות מורכבות לקבל על סמך פרטי הפשרה. הוא מוסיף, "ללא ידע ומחשבה מראש של אנליסט, גישה שגויה עלולה להינקט או בסופו של דבר להפריע למאמצי התגובה."

באופן לא מפתיע, חברות וחוקרים מנסות יותר ויותר ליישם למידת מכונה ובינה מלאכותית על ספרי משחק - כגון קבלת המלצות לגבי הצעדים שיש לנקוט בזמן חקירה ותגובה לאירוע. ניתן לאמן רשת נוירונים עמוקה לביצועים טובים יותר מהסכמות הנוכחיות המבוססות על היוריסטיות, תוך המלצה אוטומטית על הצעדים הבאים בהתבסס על התכונות של תקרית וספרי משחק המיוצגים כסדרה של שלבים בגרף, לפי מאמר שפורסם בתחילת נובמבר על ידי קבוצת חוקרים מאוניברסיטת בן-גוריון בנגב וענקית הטכנולוגיה NEC.

החוקרים של BGU ו-NEC טוענים שניהול ידני של ספרי משחק יכול להיות בלתי נסבל בטווח הארוך.

"לאחר שהוגדרו, ספרי משחק מקודדים בצורה קשיחה עבור קבוצה קבועה של התראות והם סטטיים ונוקשים למדי", ציינו החוקרים במאמרם. "זה עשוי להיות מקובל במקרה של ספרי חקירה, שאולי לא צריך להחליף לעתים קרובות, אבל זה פחות רצוי במקרה של ספרי תגובה, שאולי צריך לשנות אותם כדי להסתגל לאיומים המתעוררים ולרומן, בעבר התראות בלתי נראות."

תגובות נכונות מחייבות Playbooks

אוטומציה של זיהוי, חקירה ותגובה לאירועים הם התחומים של מערכות אבטחה, אוטומציה ותגובה (SOAR), שבין תפקידים אחרים הפכו למאגרים של ספרי משחק לשימוש במגוון הנסיבות שעומדות בפני חברות במהלך אבטחת סייבר מִקרֶה.

"עולם האבטחה מתמודד עם הסתברויות ואי ודאויות - ספרי משחק הם דרך לצמצם אי ודאות נוספת על ידי יישום תהליך קפדני להשגת תוצאות סופיות צפויות", אומר ג'וש בלקוולדר, סגן קצין אבטחת מידע ראשי ב-SentinelOne, ומוסיף כי תוצאות חוזרות מחייבות את יישום אוטומטי של ספרי משחק באמצעות SOAR. "אין דרך קסומה לעבור מהתראות אבטחה לא ודאות לתוצאות צפויות ללא זרימת תהליך עקבית והגיונית."

מערכות SOAR הופכות לאוטומטיות יותר ויותר, כפי שהשם שלהן מרמז, ואימוץ מודלים של AI/ML כדי להוסיף אינטליגנציה למערכות הוא השלב הבא הטבעי, לפי מומחים.

חברת האיתור והתגובה המנוהלת Red Canary, למשל, משתמשת כיום בבינה מלאכותית כדי לזהות דפוסים ומגמות שימושיים בזיהוי ותגובה לאיומים ובהפחתת העומס הקוגניטיבי על האנליסטים כדי להפוך אותם ליעילים ויעילים יותר. בנוסף, מערכות AI גנרטיביות יכולות להקל על העברת תקציר ופרטים טכניים של תקריות ללקוחות, אומר קית' מק'קמון, קצין אבטחה ראשי ומייסד שותף של Red Canary.

"אנחנו לא משתמשים בבינה מלאכותית כדי לעשות דברים כמו ליצור יותר ספרי משחק, אבל אנחנו משתמשים בו באופן נרחב כדי להפוך את הביצוע של ספרי משחק ותהליכי פעולות אבטחה אחרים למהיר ויעיל יותר", הוא אומר.

בסופו של דבר, ספרי משחק עשויים להיות אוטומטיים לחלוטין באמצעות רשתות עצביות של למידה עמוקה (DL), כתבו חוקרי BGU ו-NEC. "[אנו שואפים להרחיב את השיטה שלנו כדי לתמוך בצנרת מלאה מקצה לקצה שבו, ברגע שמתקבלת התראה על ידי מערכת SOAR, מודל מבוסס DL מטפל בהתראה ופורס תגובות מתאימות באופן אוטומטי - בצורה דינמית ואוטונומית ספרי משחק - ובכך להפחית את הנטל על מנתחי אבטחה", הם כתבו.

עם זאת, לתת למודלים של AI/ML את היכולת לנהל ולעדכן ספרי משחק צריך להיעשות בזהירות, במיוחד בתעשיות רגישות או מוסדרות, אומרת אנדריאה פומגלי, מנהלת בכירה לתזמור ואוטומציה של Sumo Logic. חברת ניהול האבטחה מבוססת הענן משתמשת במודלים מונעי AI/ML בפלטפורמה שלה ולאיתור והדגשת אותות איומים בנתונים.

"בהתבסס על סקרים מרובים שערכנו עם הלקוחות שלנו במהלך השנים, הם לא מרגישים בנוח עם AI שמתאים, מתקן ויוצר ספרי משחק באופן אוטונומי, בין אם מטעמי אבטחה או תאימות", הוא אומר. "לקוחות ארגוניים רוצים לקבל שליטה מלאה על מה מיושם כנוהלי ניהול אירועים ותגובה."

האוטומציה צריכה להיות שקופה לחלוטין, ואחת הדרכים לעשות זאת היא על ידי הצגת כל השאילתות והנתונים למנתחי האבטחה. "זה מאפשר למשתמש לבדוק את ההיגיון והנתונים המוחזרים ולאמת את התוצאות לפני שהוא עובר לשלב הבא", אומר Blackwelder של SentinelOne. "אנו מרגישים שגישה זו בסיוע בינה מלאכותית היא האיזון המתאים בין הסיכונים של בינה מלאכותית לבין הצורך להאיץ את היעילות כדי להתאים לנוף האיומים המשתנה במהירות."

• הפצת תוכן ויחסי ציבור מופעל על ידי SEO. קבל הגברה היום.
• PlatoData.Network Vertical Generative Ai. העצים את עצמך. גישה כאן.
• PlatoAiStream. Web3 Intelligence. הידע מוגבר. גישה כאן.
• PlatoESG. פחמן, קלינטק, אנרגיה, סביבה, שמש, ניהול פסולת. גישה כאן.
• PlatoHealth. מודיעין ביוטכנולוגיה וניסויים קליניים. גישה כאן.
• מקור: https://www.darkreading.com/cybersecurity-operations/automation-via-machine-learning-makes-cybersecurity-playbooks-better