Этот цикл подошёл к концу. На протяжении многих лет в сфере кибербезопасности наблюдалась привычная картина: системы защиты совершенствовались, злоумышленники адаптировались, и эта гонка продолжалась. Сегодня злоумышленники, использующие искусственный интеллект, просто опережают системы защиты. Большинство вторжений теперь полностью обходят средства обнаружения на конечных устройствах и на основе вредоносного ПО.
Согласно отчету CrowdStrike Global Threat Report, около 79 % атак осуществляются без использования вредоносного ПО, поскольку злоумышленники полагаются на кражу учетных данных и методы боковой загрузки DLL-файлов, чтобы обойти мониторинг на уровне хоста. Уязвимости периметра усугубляют эту уязвимость; согласно последнему отчету Verizon Data Breach Investigations Report, количество взломов брандмауэров и VPN-шлюзов выросло на 19 %.
Как только злоумышленник получает доступ, прорыв часто происходит за считанные секунды. Модели Claude Mythos и аналогичные еще больше усилили операционное давление. Они способны быстро обнаруживать и использовать ранее неизвестные уязвимости, практически сводя к нулю время от первоначального обнаружения до полного компрометации системы.
Меры безопасности должны адаптироваться, чтобы уделять приоритетное внимание быстрому сдерживанию угроз и анализу поведения после взлома, а защитные возможности теперь требуют обнаружения в режиме реального времени, выходящего за рамки охвата на уровне хоста. Именно здесь на помощь приходят многоуровневые средства сетевого обнаружения, расширяющие защиту за пределы конечных точек, но их эффективность в значительной степени зависит от данных, лежащих в их основе.
Сетевые данные усиливают эффективность обнаружения
Конечные устройства, системы управления идентификацией и облачные платформы — каждый из этих компонентов предоставляет ценную информацию о корпоративной безопасности. Инструменты на уровне хоста отслеживают процессы в памяти, решения для управления идентификацией контролируют учетные данные, а облачные среды регистрируют изменения конфигурации. Хотя каждый из этих источников обеспечивает видимость, эти системы работают изолированно, оставляя пробелы в видимости, которыми злоумышленники могут легко воспользоваться.
Каждый инструмент видит лишь свой фрагмент цепочки атаки. Злоумышленники могут скомпрометировать рабочую станцию, использовать «слепые зоны» между системами конечных точек и идентификации, чтобы скрыть кражу учетных данных, проникнуть в облачную инфраструктуру и вывести данные, прежде чем об этом узнает центр мониторинга безопасности (SOC). Именно поэтому для получения полной картины необходима унифицированная и коррелированная телеметрия, охватывающая все эти области.
Система сетевого обнаружения и реагирования (NDR) проверяет, обогащает и связывает эти разрозненные сигналы с помощью сетевых данных. Поскольку сбор данных осуществляется внеполосно, они остаются неизменяемыми даже в случае выхода из строя локальных агентов или отключения злоумышленниками инструментов на конечных устройствах. А поскольку NDR фиксирует трафик по всему предприятию, она предоставляет жизненно важный контекст, регистрируя каждый обмен данными, транзакцию и передачу данных, что дает неопровержимые доказательства, необходимые специалистам по безопасности для реагирования.
Например, когда инструмент управления идентификацией сигнализирует о необычном входе в систему, сетевые данные позволяют проверить, инициировала ли эта учетная запись несанкционированные запросы к базе данных. Когда оповещение с конечного устройства сигнализирует о доступе с использованием учетных данных, это помогает подтвердить, пытался ли злоумышленник осуществить латеральное перемещение.
Многоуровневое обнаружение укрепляет уверенность в принятии решений
Большинство организаций уже обладают той или иной формой видимости сети, такой как устаревшие системы обнаружения вторжений (IDS), устройства захвата пакетов (PCAP) или базовые журналы NetFlow. Однако эти устаревшие инструменты работают изолированно, и большинство из них не способны обеспечить скорость, необходимую аналитикам для реагирования на современные атаки. NDR заменяет эти фрагментированные, устаревшие инструменты.
Благодаря объединению сигнатур, анализа пакетов и журналов потоков в единый рабочий процесс NDR предоставляет комплексный набор средств обнаружения и возможностей, которые значительно снижают когнитивную нагрузку на аналитиков. Вместо того чтобы просматривать огромное количество отдельных, нескоординированных сигналов тревоги, специалисты по безопасности используют несколько интегрированных уровней сетевого обнаружения для установления достоверных доказательств.
Обнаружение на основе сигнатур и аналитика угроз: эти механизмы обеспечивают быстрое подтверждение задокументированных уязвимостей, с высокой точностью выявляя известные угрозы и вредоносные файлы из прошлого, а также обнаруживая связь с установленной инфраструктурой злоумышленников. Однако для выявления деятельности после эксплуатации уязвимостей современные автоматизированные инструментарии требуют использования усовершенствованных уровней поведенческого анализа и обнаружения аномалий.
Поведенческое обнаружение: поведенческие модели выявляют тактики, техники и процедуры (TTP) злоумышленников независимо от конкретных файлов или кода эксплойтов. Например, они могут обнаруживать подозрительные тактики управления и контроля, не полагаясь на конкретные индикаторы.
Обнаружение аномалий: Обнаружение аномалий выявляет структурные отклонения от базового сетевого трафика, например, когда рабочая станция внезапно начинает вести себя как внутренний сканер портов, устанавливает соединения с большим количеством ранее неизвестных хостов или демонстрирует схемы подключений, указывающие на сбор данных.
Модели машинного обучения с учителем: эти модели машинного обучения превосходно справляются с выявлением паттернов, которые трудно уловить с помощью сигнатур или логики, основанной на правилах, тем самым расширяя охват угроз, ускользающих от традиционных методов обнаружения. Они могут обнаруживать признаки компрометации в зашифрованном трафике, выявлять вредоносные домены и помогать выявлять туннелирование внутри сети.
ИИ: Вместо того чтобы выдавать отдельные оповещения, заставляющие аналитиков самостоятельно оценивать степень серьезности угрозы, передовые механизмы искусственного интеллекта сопоставляют оповещения из различных источников телеметрии и на разных уровнях и строят карту поведения злоумышленников. Такая интеграция снижает путаницу, позволяет отслеживать полную цепочку атак и укрепляет уверенность в оперативных решениях. Благодаря проверенной и сопоставленной аналитической информации аналитики переходят от проверки оповещений к быстрой классификации и локализации угроз.
Чтобы достичь такой степени оперативной ясности, руководители служб безопасности должны инвестировать в защиту на протяжении всего жизненного цикла. Такая стратегия основана на передовой сетевой телеметрии, способной выявлять активность злоумышленников достаточно быстро, чтобы соответствовать оперативному темпу угроз класса Mythos.
ИИ эффективен ровно настолько, насколько достоверны лежащие в его основе данные
В качестве защитного уровня ИИ в настоящее время превосходно справляется с классификацией угроз, автоматизацией рабочих процессов и обобщением инцидентов. Однако основное правило остается неизменным: что вложишь — то и получишь.
Эффективность автоматизации безопасности на основе ИИ ограничена «потолком знаний», определяемым исходными данными, а не выбором модели. Даже самые передовые модели не могут преодолеть ограничения, налагаемые низким качеством данных или их отсутствием. Инвестируйте в данные — все остальное придет само собой.
Обширная сетевая телеметрия предоставляет ИИ достоверную информацию, необходимую для вывода правильных заключений, точного отображения уязвимостей предприятия, реконструкции путей атак и проверки успешности эксплойтов. Без нее инструменты ИИ могут генерировать ложные срабатывания, упускать критически важные действия и замедлять реагирование на инциденты.
Сетевой трафик представляет собой неопровержимое свидетельство состояния корпоративной среды. Когда ИИ опирается на эти поддающиеся проверке данные, он приносит реальную пользу в области безопасности, а не просто создает шум.
Этот сетевой контекст не является автономным решением; для достижения максимальной эффективности он требует интеграции и обогащения данных из нескольких инструментов SOC. Истинная сила этого подхода заключается в открытой архитектуре данных и глубокой настраиваемости.
Когда платформа поддерживает открытые стандарты данных, аналитики могут быстро сопоставлять сетевую телеметрию с оповещениями о хостах и идентификационных данных. Такая бесшовная интеграция позволяет группам безопасности немедленно использовать богатый сетевой контекст, что позволяет разрешать неоднозначные события и прослеживать пути атак от первоначального проникновения до выполнения. Структурированные и доступные данные гарантируют, что группы реагирования на инциденты смогут осуществить точную локализацию угрозы до того, как вторжение примет более серьезные масштабы.
Появление мощных автономных механизмов эксплуатации уязвимостей, таких как Mythos, требует эволюции корпоративной защиты. В этих условиях команды безопасности должны перейти к оборонительной архитектуре, в центре которой находятся сетевые данные, чтобы объединить разрозненные инструменты и данные безопасности. Такая интеграция предоставляет доказательства и контекст, которые позволяют сократить «слепые зоны» и снизить неопределенность. По мере того как ИИ становится ключевым компонентом современного центра оперативного реагирования (SOC), стратегическая ценность сетевых доказательств растет в геометрической прогрессии.