از شناسایی تهدید تا اثبات خطر؛ شکاف مهم در امنیت سایبری

جایی که ریسک واقعی شکل می‌گیرد

در بسیاری از سازمان‌ها، حتی مهم‌ترین هشدارهای امنیتی هم بلافاصله بررسی نمی‌شوند. این هشدارها وارد صفی از کارهای امنیتی می‌شوند که باید در زمان مناسب بررسی شوند.

در نهایت، باید فردی با دانش و تجربه کافی در حوزه امنیت تهاجمی بررسی کند که آیا این تهدید واقعاً در محیط سازمان قابل بهره‌برداری است یا نه.

برای مثال، وقتی یک حساب کاربری افشاشده شناسایی می‌شود، صرفاً داشتن نام کاربری و رمز عبور به این معنا نیست که مهاجم هنوز می‌تواند با استفاده از آن وارد سازمان شود. ممکن است رمز عبور تغییر کرده باشد، حساب غیرفعال شده باشد یا اصلاً آن حساب دسترسی مهمی نداشته باشد. اما برای فهمیدن این موضوع، باید آن را در محیط واقعی سازمان بررسی کرد.

همین فاصله میان «شناسایی تهدید» و «بررسی واقعی آن» یکی از مهم‌ترین نقاطی است که ریسک در آن انباشته می‌شود.

تیم‌های امنیتی معمولاً این وضعیت را به شکل یک backlog یا فهرست کارهای عقب‌افتاده تجربه می‌کنند. از طرف دیگر، ارائه‌دهندگان اطلاعات تهدید نیز با مسئله مشابهی روبه‌رو هستند.

در گفت‌وگو با تیم‌های محصول Recorded Future، یکی از بزرگ‌ترین شرکت‌های فعال در حوزه Threat Intelligence، بارها همین الگو را مشاهده کرده‌ام: حجم اطلاعات مرتبط با تهدیدها از ظرفیت بسیاری از تیم‌های امنیتی برای بررسی تک‌تک آن‌ها بیشتر است. بنابراین مشکل لزوماً کمبود اطلاعات نیست.

مشکل این است که برای بررسی همه این اطلاعات، زمان و نیروی متخصص کافی وجود ندارد.

از «احتمال خطر» به «اثبات خطر»

اینجاست که رویکردی مانند تست نفوذ مبتنی بر تهدید (Threat-Led Penetration Testing) یا TLPT اهمیت پیدا می‌کند. در برخی صنایع و سازمان‌های تحت نظارت، TLPT ابتدا به‌عنوان بخشی از الزامات امنیتی و انطباقی مطرح شد، اما کاربرد آن می‌تواند فراتر از یک الزام قانونی باشد. در یک رویکرد سنتی، تیم امنیتی ممکن است طبق یک برنامه مشخص، مثلاً هر چند ماه یک‌بار، تست نفوذ انجام دهد و فهرستی از آسیب‌پذیری‌ها را بررسی کند. اما TLPT از جای دیگری شروع می‌شود: تهدیدهایی که همین حالا در دنیای واقعی وجود دارند. اگر امروز یک حساب کاربری سازمان در یک منبع مجرمانه منتشر شده باشد، همان مورد می‌تواند مبنای یک تست امنیتی قرار بگیرد.

اگر یک آسیب‌پذیری مشخص در یکی از سیستم‌های سازمان شناسایی شده باشد، می‌توان بررسی کرد که آیا همان آسیب‌پذیری در محیط واقعی سازمان قابل سوءاستفاده است یا خیر. این تفاوت مهمی ایجاد می‌کند. در مورد یک حساب کاربری افشاشده، هدف دیگر صرفاً ثبت یک هشدار نیست. هدف رسیدن به یک پاسخ روشن و مبتنی بر شواهد است:

آیا این حساب کاربری مشخص، در این محیط مشخص، همین حالا قابل سوءاستفاده است یا نه؟

این همان نوع اطلاعاتی است که می‌تواند به تیم امنیتی کمک کند منابع محدود خود را روی مواردی متمرکز کند که واقعاً در معرض خطر هستند.

این رویکرد در دنیای واقعی چگونه اجرا می‌شود؟

همکاری Pentera و Recorded Future نمونه‌ای از حرکت صنعت امنیت به سمت همین مدل است؛ نمونه‌ای که از نزدیک با آن آشنا هستم.

در این همکاری، یک Threat Signal می‌تواند از Recorded Future، پلتفرم Pentera یا حتی یک منبع دیگر دریافت شود و سپس به‌صورت خودکار یک فرایند Security Validation روی سطح حمله واقعی سازمان آغاز شود. یکی از نخستین قابلیت‌هایی که در این همکاری ایجاد شده، اطلاعات Recorded Future درباره حساب‌های کاربری و اعتبارنامه‌های افشاشده را به تست خودکار سطح حمله خارجی سازمان متصل می‌کند. نتیجه این است که تیم امنیتی می‌تواند تشخیص دهد کدام یک از اعتبارنامه‌های افشاشده واقعاً در محیط سازمان قابل استفاده هستند. این موضوع تفاوت زیادی با صرفاً علامت‌گذاری همه اعتبارنامه‌های افشاشده به‌عنوان هشدارهای فوری دارد.

فرض کنید ۱۰۰ اعتبارنامه متعلق به یک سازمان در منابع مختلف شناسایی شده است. اطلاعات تهدید می‌تواند وجود این ۱۰۰ مورد را به تیم امنیتی اطلاع دهد. اما سؤال مهم‌تر این است که چند مورد از آن‌ها هنوز فعال هستند و واقعاً می‌توانند برای ورود به سازمان مورد استفاده قرار بگیرند؟

Security Validation قرار است به همین سؤال پاسخ دهد. جوزف گوتلف، معاون امنیت سایبری Wyndham Hotels & Resorts، که یکی از مشتریان حاضر در مراحل اولیه آزمایش این رویکرد بوده، این تغییر را چنین توصیف می‌کند:

«همگرایی اطلاعات تهدید و اعتبارسنجی امنیتی یکی از مهم‌ترین تغییرات در برنامه امنیتی ماست. اینکه بدانیم چه چیزی در راه است، فقط نیمی از پاسخ است. توانایی آزمایش آن در محیط خودمان و با سرعت بالا، چیزی است که در عصر هوش مصنوعی به ایجاد تاب‌آوری واقعی کمک می‌کند.»

مسئله فقط داشتن اطلاعات بیشتر نیست

Recorded Future یک اعتبارنامه افشاشده را مانند سایر اطلاعات تهدید در اختیار مشتری قرار می‌دهد. این همان نقطه‌ای است که اطلاعات ارزشمند وارد فرایند امنیتی می‌شود. اما برای تیم امنیتی، سؤال اصلی یک چیز دیگر است:

آیا این اعتبارنامه مشخص هنوز روی سیستم ما کار می‌کند؟

ممکن است پاسخ مثبت باشد یا منفی. ممکن است حساب مربوطه مدت‌هاست غیرفعال شده باشد یا برعکس، همچنان دسترسی قابل‌توجهی به محیط سازمان داشته باشد. بدون آزمایش در محیط واقعی، نمی‌توان صرفاً از روی وجود یک هشدار درباره میزان خطر تصمیم گرفت. به همین دلیل، شکاف اصلی در بسیاری از برنامه‌های امنیتی امروز، کمبود Threat Intelligence نیست. سازمان‌ها همین حالا هم حجم زیادی از اطلاعات درباره آسیب‌پذیری‌ها، اعتبارنامه‌های افشاشده و فعالیت مهاجمان در اختیار دارند. چالش این است که این اطلاعات را به شواهد قابل اتکا درباره وضعیت واقعی سازمان تبدیل کنیم. در شرایطی که مهاجمان با کمک هوش مصنوعی می‌توانند سریع‌تر از گذشته از اطلاعات موجود برای حمله استفاده کنند، سرعت اعتبارسنجی تهدیدها اهمیت بیشتری پیدا می‌کند. در نهایت، ارزش اطلاعات تهدید فقط به این نیست که بدانیم چه چیزی در حال رخ دادن است. ارزش واقعی زمانی ایجاد می‌شود که بتوانیم بفهمیم کدام‌یک از این تهدیدها همین حالا واقعاً روی سازمان ما اثر می‌گذارند و قابل سوءاستفاده هستند. به بیان ساده، قدم بعدی پس از Threat Intelligence، جمع‌آوری اطلاعات بیشتر نیست.

باید چیزی را که از قبل می‌دانیم، در محیط واقعی خودمان آزمایش و اثبات کنیم.