انتهت الدورة. لسنوات، اتبع الأمن السيبراني نمطًا مألوفًا: تحسنت الدفاعات، وتكيف المهاجمون، واستمرت الهجمات ذهابًا وإيابًا. واليوم، أصبح المهاجمون المجهزون بالذكاء الاصطناعي يتفوقون ببساطة على الدفاعات. تتجاوز معظم عمليات التطفل الآن نقطة النهاية والكشف القائم على البرامج الضارة بالكامل.
يقدر تقرير CrowdStrike Global Threat Report أن حوالي 79% من الهجمات خالية من البرامج الضارة، حيث تعتمد الجهات الفاعلة في التهديد على سرقة بيانات الاعتماد وتقنيات التحميل الجانبي لملفات DLL لتجاوز المراقبة على مستوى المضيف. وتؤدي نقاط الضعف المحيطة إلى تفاقم هذا التعرض؛ ارتفعت نسبة اختراقات جدران الحماية وبوابات VPN بنسبة 19% وفقًا لأحدث تقرير للتحقيقات في خرق بيانات Verizon.
بمجرد أن يتمكن الخصم من الوصول، غالبًا ما يحدث الاختراق في ثوانٍ. وقد أدى كلود ميثوس والنماذج المماثلة إلى تصعيد الضغط التشغيلي. ويمكن لهذه الأجهزة اكتشاف الثغرات الأمنية غير المعروفة سابقًا واستغلالها بسرعة، مما يؤدي فعليًا إلى إغلاق النافذة بدءًا من الاكتشاف الأولي وحتى التسوية الكاملة.
يجب أن تتكيف الممارسات الأمنية لإعطاء الأولوية للاحتواء السريع وتحليل السلوك بعد الاختراق، وتتطلب القدرات الدفاعية الآن اكتشافًا في الوقت الفعلي يتجاوز التغطية على مستوى المضيف. وهنا يأتي دور اكتشافات الشبكة متعددة الطبقات، مما يؤدي إلى توسيع نطاق الدفاع إلى ما هو أبعد من نقطة النهاية، ولكن فعاليتها تعتمد بشكل كبير على البيانات الموجودة خلفها.
أدلة الشبكة تعزز الكشف
توفر كل من منصات نقطة النهاية والهوية والسحابة منظورًا قيمًا حول أمن الشركات. تقوم أدوات المضيف بتتبع العمليات في الذاكرة، وتراقب حلول الهوية بيانات الاعتماد، وتسجل البيئات السحابية تغييرات التكوين. وبينما يوفر كل مصدر إمكانية الرؤية، تعمل هذه الأنظمة بشكل منفصل، مما يترك فجوات في الرؤية يمكن للمهاجمين استغلالها بسهولة.
ترى كل أداة فقط الجزء الخاص بها من سلسلة الهجوم. يمكن للجهات الفاعلة في مجال التهديد اختراق محطة عمل، والاستفادة من النقاط العمياء بين أنظمة نقطة النهاية والهوية لإخفاء سرقة بيانات الاعتماد، والانتقال أفقيًا إلى البنية التحتية السحابية، وتصفية البيانات قبل أن يعلم مركز عمليات الأمن (SOC). ولهذا السبب يعد القياس عن بعد الموحد والمترابط عبر هذه المجالات أمرًا ضروريًا للكشف عن الصورة الكاملة.
يقوم اكتشاف الشبكة والاستجابة لها (NDR) بالتحقق من صحة هذه الإشارات المنفصلة وإثرائها وربطها باستخدام بيانات الشبكة. ونظرًا لأنه يتم جمعها خارج النطاق، تظل البيانات غير قابلة للتغيير حتى عندما يختفي العملاء المحليون أو عندما تقوم جهات التهديد بتعطيل أدوات نقطة النهاية. ولأنه يلتقط حركة المرور عبر المؤسسة بأكملها، يوفر NDR سياقًا حيويًا، حيث يسجل كل محادثة ومعاملة ونقل بيانات، ويقدم الدليل الذي لا يمكن إنكاره والذي يحتاجه المدافعون للرد.
على سبيل المثال، عندما تقوم أداة الهوية بوضع علامة على تسجيل دخول غير عادي، تتحقق بيانات الشبكة مما إذا كان هذا الحساب قد بدأ استعلامات قاعدة بيانات غير مصرح بها. عندما يشير تنبيه نقطة النهاية إلى الوصول إلى بيانات الاعتماد، فإنه يساعد في التحقق مما إذا كان الخصم قد حاول التحرك الجانبي.
تعمل الاكتشافات متعددة الطبقات على بناء الثقة في القرارات
تمتلك معظم المؤسسات بالفعل شكلاً من أشكال رؤية الشبكة، مثل أنظمة كشف التسلل القديمة (IDS)، أو أجهزة التقاط الحزم (PCAP)، أو سجلات NetFlow الأساسية. ومع ذلك، تعمل هذه الأدوات القديمة بمعزل عن غيرها، ويفشل معظمها في مجاراة السرعة التي يحتاجها المحللون للرد على الهجمات الحديثة. يستبدل NDR هذه الأدوات القديمة المجزأة.
من خلال دمج التوقيعات وتحليل الحزم وسجلات التدفق في سير عمل واحد، يوفر NDR مجموعة شاملة من الاكتشافات والقدرات التي تخفف الحمل المعرفي للمحلل بشكل كبير. وبدلاً من البحث في عدد هائل من الإنذارات المنفصلة وغير المنسقة، يستخدم المدافعون عدة طبقات متكاملة للكشف عن الشبكة لإنشاء دليل معين.
- الكشف القائم على التوقيع واستخبارات التهديدات: وهي توفر التحقق السريع من عمليات الاستغلال الموثقة، وتلتقط التهديدات المعروفة والملفات الضارة التاريخية بدقة عالية، وتكشف الاتصال بالبنية التحتية الراسخة للخصم. ومع ذلك، لتحديد نشاط ما بعد الاستغلال، تتطلب مجموعات الأدوات الآلية الحديثة طبقات سلوكية وشاذة متقدمة.
- الكشف السلوكي: تحدد النماذج السلوكية تكتيكات وتقنيات وإجراءات الخصم (TTPs) بغض النظر عن ملفات محددة أو أكواد الاستغلال. على سبيل المثال، يمكنهم اكتشاف تكتيكات القيادة والسيطرة المشتبه بها دون الاعتماد على مؤشرات محددة.
- كشف الشذوذ: يشير اكتشاف الحالات الشاذة إلى الاختلافات الهيكلية من حركة مرور الشبكة الأساسية، مثل محطة العمل التي تتصرف فجأة مثل ماسح ضوئي للمنافذ الداخلية، أو تحدد الاتصالات بعدد كبير من المضيفين غير المرئيين سابقًا، أو تعرض أنماط اتصال تشير إلى جمع البيانات.
- نماذج ML الخاضعة للإشراف: تتفوق نماذج التعلم الآلي هذه في تحديد الأنماط التي يصعب التقاطها باستخدام التوقيعات أو المنطق القائم على القواعد، وبالتالي توسيع التغطية لتشمل التهديدات التي تتهرب من طرق الكشف التقليدية. يمكنهم رؤية مؤشرات الاختراق في حركة المرور المشفرة، وتحديد المجالات الضارة، والمساعدة في الكشف عن الأنفاق داخل الشبكة.
- الذكاء الاصطناعي: وبدلاً من تقديم تنبيهات مستقلة تجبر المحللين على تخمين مدى خطورتها، تعمل محركات الذكاء الاصطناعي المتقدمة على ربط التنبيهات عبر مصادر وطبقات متنوعة للقياس عن بعد وترسم خريطة لسلوك المهاجم. يقلل هذا التكامل من الارتباك، ويتتبع سلسلة القتل الكاملة، ويبني الثقة في القرارات التشغيلية. ومن خلال المعلومات الاستخبارية المترابطة التي تم التحقق منها، يتحول المحللون من التحقق من صحة التنبيهات إلى الفرز والاحتواء السريع.
لتحقيق هذه الدرجة من الوضوح التشغيلي، يجب على قادة الأمن الاستثمار في الحماية الكاملة لدورة الحياة. يعتمد هذا الوضع على قياس الشبكة عن بعد المتقدم الذي يمكنه كشف نشاط الخصم بسرعة كافية لتتناسب مع الإيقاع التشغيلي للتهديدات من فئة Mythos.
الذكاء الاصطناعي فعال بقدر فعالية الأدلة التي تدعمه
كطبقة دفاعية، يتفوق الذكاء الاصطناعي حاليًا في فرز التهديدات، وأتمتة سير العمل، وتلخيص الحوادث. ومع ذلك، تظل القاعدة الأساسية مطلقة: القمامة تدخل، القمامة تخرج.
فعالية الأتمتة الأمنية المعتمدة على الذكاء الاصطناعي محدودة بـ “سقف المعرفة” يتم تحديده من خلال بيانات المصدر، وليس اختيار النموذج. وحتى النماذج الأكثر تقدمًا لا يمكنها التغلب على القيود التي تفرضها البيانات المنخفضة الجودة أو المفقودة. استثمر في البيانات؛ كل شيء آخر يتبع.
يمنح القياس عن بعد للشبكة الغنية الذكاء الاصطناعي الحقيقة التي يتطلبها للوصول إلى الاستنتاجات الصحيحة، ورسم خرائط دقيقة لتعرض المؤسسة، وإعادة بناء مسارات الهجوم، والتحقق من نجاح عمليات الاستغلال. وبدون ذلك، يمكن لأدوات الذكاء الاصطناعي أن تولد نتائج إيجابية كاذبة، وتفويت الأنشطة المهمة، وتبطئ الاستجابة للحوادث.
تمثل حركة مرور الشبكة دليلاً لا يمكن إنكاره على بيئة المؤسسة. عندما يرتكز الذكاء الاصطناعي على هذه البيانات التي يمكن إثباتها، فإنه يوفر قيمة أمنية بدلاً من الضوضاء.
من صوامع البيانات إلى الدفاع الموحد
سياق الشبكة هذا ليس حلاً مستقلاً؛ فهو يتطلب التكامل وإثراء البيانات من أدوات SOC المتعددة لتحقيق أقصى قدر من التأثير. تكمن القوة الحقيقية لهذا النهج في بنية البيانات المفتوحة وقابلية التكوين العميق.
عندما يدعم النظام الأساسي معايير البيانات المفتوحة، يمكن للمحللين ربط القياس عن بعد للشبكة بسرعة مع تنبيهات المضيف والهوية. يتيح هذا التكامل السلس لفرق الأمان استخدام سياق الشبكة الغني على الفور، مما يحل الأحداث الغامضة ويرسم مسارات الهجوم من الإدخال الأولي إلى التنفيذ. تضمن البيانات المنظمة والتي يمكن الوصول إليها أن تتمكن فرق الاستجابة للحوادث من تنفيذ الاحتواء الدقيق قبل تصاعد التطفل.
الوجبات السريعة الرئيسية
إن ظهور محركات الاستغلال المستقلة القوية مثل Mythos يستلزم حدوث تطور في الدفاع المؤسسي. في هذا المشهد، يجب أن تتطور فرق الأمان نحو بنية دفاعية مع وجود بيانات الشبكة في المركز لربط أدوات وبيانات الأمان المختلفة معًا. يوفر هذا التكامل الأدلة والسياق الذي يقلل من النقاط العمياء وعدم اليقين. نظرًا لأن الذكاء الاصطناعي أصبح مكونًا أساسيًا في مركز عمليات الأمن (SOC) الحديث، فإن القيمة الإستراتيجية لأدلة الشبكة تنمو بشكل كبير.
تضمن أدلة الشبكة الموحدة والرؤية الشاملة أن المحللين البشريين ونماذج الذكاء الاصطناعي يعملون من نفس وجهة النظر للبيئة. يستبدل هذا المنظور المشترك التخمين بحقائق واضحة ومنظمة. تحقق هذه الإستراتيجية باستمرار ثلاث نتائج تشغيلية مهمة:
- تحسين جودة الكشف: تحديد الهجمات المعقدة ومتعددة المراحل التي تتهرب من أدوات الطبقة الواحدة
- تحقيقات أسرع: استخدم سجلات الشبكة الغنية لإعادة بناء الحوادث الأمنية بسرعة
- ثقة أعلى في النتائج: القضاء على الشك التشغيلي وتنفيذ احتواء التهديد السريع
بفضل الأساس المتين لأدلة الشبكة، يمكن للمؤسسات تحويل شبكتها إلى أقوى أصولها الدفاعية.
حول كور لايت
توفر Corelight حلول الكشف عن الشبكة والاستجابة لها (NDR) التي تعمل على تسريع التحقيقات في التهديدات من خلال الدفاع المدعوم بالذكاء الاصطناعي. ومن خلال الجمع بين الرؤية الشاملة للشبكة والتحليلات السلوكية العميقة، توفر منصة Corelight Open NDR لفرق الأمان سياقًا قابلاً للتنفيذ واكتشافًا مدعومًا بالأدلة. يمكن لمحترفي الأمن استكشاف Corelight Network Defense أو زيارة موقع Corelight الإلكتروني لمعرفة كيفية الدفاع عن المؤسسة المختلطة.
