الغالبية العظمى من الشركات التي تعتمد على البنية التحتية السحابية تستخدم جزئيًا على الأقل البيئات التي يستضيفها أحد موفري الخدمة السحابية الثلاثة الكبار. يؤدي هذا الدمج حول عدد صغير من البائعين المعروفين إلى مشاركة معظم البيئات في العديد من الخصائص المعمارية والأمنية، مما يسمح للمهاجمين باستخدام نفس تقنيات TTP الآلية في العديد من الهجمات. على الورق، يبدو هذا بمثابة الحالة المثالية لاستخدام الذكاء التهديدي والتنبيه البسيط الجاهز لاكتشاف الهجمات على البيئات السحابية ومنعها. إذا كانت البيئات والهجمات متشابهة جدًا، فغالبًا ما يكون من البديهي افتراض أن الاكتشافات يجب أن تكون متشابهة أيضًا. يصبح هذا الواقع النظري أكثر تعقيدًا بشكل كبير بمجرد أن ندرك التحدي الكبير المتمثل في إنشاء عمليات اكتشاف فعالة في السحابة – الضوضاء.
يبدو أن الكميات التي لا نهاية لها من بيانات التهديدات السحابية جنبًا إلى جنب مع الكميات الكبيرة المتزايدة من الهجمات السحابية الآلية والتنبيهات العامة قد خلقت موقفًا لا تستطيع فيه معظم المؤسسات التعامل بشكل فعال مع خلاصات الكشف الخاصة بها. بدلاً من تمكين عمليات اكتشاف أفضل، تؤدي هذه الخلاصات غالبًا إلى إرهاق التنبيه وإعاقة تحديد النشاط الضار الحقيقي.
لمعالجة هذه المشكلة والتحكم في الكشف عن السحابة، نقترح اتباع منهجية يطلق عليها اسم “نهج الصفر ضوضاء”. على الرغم من صعوبة التنفيذ في البداية، إلا أن أخذ وجهة نظر المهاجم لإنشاء خطوط أساسية مخصصة وتنفيذ حلقات ردود فعل مستمرة لكل اكتشاف واتباع عقلية “عدم ترك أي تنبيه وراءنا”، يمكّننا من التوقف عن البحث عن الإبر في أكوام القش والتركيز فقط على TTPs للمهاجم عالي الدقة.
لتوضيح التحدي، دعونا نبدأ بفحص دراسة حالة واقعية واجهناها لأول مرة أثناء جهود الاستجابة للحوادث. تنتمي البيئة المستهدفة إلى شركة خدمات مالية تقدم الإيداع والسحب النقدي في عشرات الآلاف من نقاط البيع عبر بلدان متعددة. لقد وجد المهاجمون الذين يستهدفون الشركة طرقًا متكررة للوصول إلى بيئتهم، وقاموا بتزوير المعاملات من نقاط البيع إلى خوادم إدارة المعاملات وتمكنوا من الهرب بمبالغ كبيرة من المال قبل أن يتم حظرهم.
على الرغم من تعرضها لهجمات متعددة ناجحة، كانت المنظمة تكافح من أجل منع تكرارها عبر شبكتها العالمية الكبيرة، بالاعتماد على آلاف الأنظمة القديمة التي قد يستغرق استبدالها سنوات. كانت محاولاتهم للكشف عن حلول وسط جديدة في الوقت المناسب تواجه نفس المشكلة بشكل مستمر – كانت التنبيهات إما محددة للغاية بحيث لا يمكنها اكتشاف الاختلافات في نشاط المهاجم، أو واسعة جدًا وصاخبة بحيث لا يمكن التعامل معها بواسطة النظام. شركة نفط الجنوب.
في حين أن تحقيق “صفر ضوضاء” فعليًا أمر مستحيل بشكل واضح في البيئات الديناميكية الكبيرة، فقد تم تصميم هذا النهج المنهجي لتركيز انتباه مركز العمليات الأمنية على التنبيهات الأكثر أهمية مع تعزيز عمليات الاكتشاف بشكل مستمر لتقليل الضوضاء – الاقتراب قدر الإمكان من الصفر. يعتمد هذا النهج على ثلاثة مبادئ توجيهية رئيسية: أخذ منظور المهاجم في التنبيهات، وتنفيذ حلقات ردود فعل الكشف المستمر، والأهم من ذلك – اعتماد “عقلية عدم ترك أي تنبيه وراءنا”.
1. إنشاء التنبيهات بمنظور المهاجم.
على الرغم من أن بعض التنبيهات العامة المبتكرة يمكن أن تكون مفيدة للغاية، إلا أنها غالبًا ما تفشل في اكتشاف تهديدات معقدة محددة للبيئات السحابية، مما يؤدي إلى حدوث الكثير من الضوضاء على طول الطريق. ولزيادة دقة هذه التنبيهات وزيادة دقتها، يجب إنشاء اكتشافات مخصصة بناءً على خطوط الأساس البيئية والتهديدات المحددة المعروفة للأنظمة الحيوية وجواهر التاج. قد يبدو هذا واضحًا، ولكن لكي يتم تنفيذه بفعالية، يجب على المؤسسات أن تأخذ الوقت الكافي لتخطيط هذه الأصول وتنفيذ فرق حمراء مستمرة لتحديد النقاط العمياء في الرؤية. يقوم هذا النهج القائم على الأولوية والفريق الأحمر بإنشاء تنبيهات دقيقة مخصصة تؤدي إلى كميات أقل بكثير من الضوضاء.
2. تنفيذ حلقات ردود الفعل الكشف.
إحدى المشكلات الرئيسية التي تؤدي إلى غرق فرق SOC في الضوضاء، هي وجود كميات كبيرة من الاكتشافات التي لم يتم التحقق منها. السعي نحو “صفر ضوضاء”.” يتطلب وضع إجراءات واضحة لمراجعة وتحليل الفعالية النسبية لكل اكتشاف في البيئة. يجب تحليل كل قاعدة أو منطق اكتشاف بشكل دوري لتحديد عدد المرات التي أطلقت فيها التنبيهات، وعدد هذه الحالات التي كانت إيجابية كاذبة، ومقدار الوقت الذي كان على الفريق أن يقضيه في فرزها قبل التوصل إلى نتيجة. تترك العديد من المؤسسات تنبيهات مزعجة أو غير دقيقة تمامًا دون داعٍ بسبب عدم وجود حلقات ردود الفعل هذه. يجب تعزيز عمليات الكشف التي تم تحديدها على أنها مكلفة للغاية أو غير ذات صلة – أو إزالتها تمامًا.
3. لم يترك أي تنبيه وراءه.
إن العنصر الأكثر أهمية وصعوبة في نهج Zero Noise هو تبني هذه العقلية. عندما يتم تشغيل تنبيه وفرزه، يجب على مركز عمليات الأمن (SOC) إما تحديد أنه كان نشاطًا ضارًا إيجابيًا حقيقيًا يشير إلى نشاط ضار (وفي هذه الحالة يكون التنبيه قد قام بعمله ويجب اتخاذ إجراءات أوسع للاستجابة للحوادث) أو الوصول إلى الجزء السفلي من النتيجة الإيجابية الخاطئة وتعزيز عمليات الاكتشاف وفقًا لذلك.
غالبًا ما يكون من المغري تجاهل التنبيهات التي تعتبر إيجابية كاذبة على الفور، حيث من المفترض أن تنتظرها تنبيهات أخرى ضارة. ومع ذلك، فإن هذا التنحية جانبًا يديم أسباب الإيجابيات الكاذبة ويخلق المزيد من الضجيج والإرهاق والأحكام المتهورة “الإيجابية الكاذبة” في المستقبل. وبدلاً من ذلك، يجب منح أعضاء SOC تفويضًا لفرز وفهم كل نتيجة إيجابية كاذبة، مما يؤدي (في معظم الحالات) إلى واحدة من ثلاث نتائج:
-
إزالة الكشف. ستثبت بعض عمليات الاكتشاف ببساطة أنها صاخبة للغاية بحيث لا تكون مفيدة، وعلى الرغم من كونها ذات صلة من الناحية النظرية باكتشاف النشاط الضار الحقيقي، إلا أنها قد لا تستحق الضجيج والتعب الذي تسببه. يجب ببساطة إزالة هذه الاكتشافات.
-
تحسين منطق الكشف. في كثير من الحالات، يمكن لتعديلات بسيطة على منطق الكشف أن تقطع شوطا طويلا في تقليل الضوضاء. وقد تشمل هذه الاستثناءات المحددة للأنشطة المشروعة المعروفة، أو تعديل الحدود، أو تحسينات لمعايير البحث. عندما يتم اعتماد عقلية “عدم ترك أي تنبيه خلفنا” على نطاق واسع، تصبح التحسينات أقل تكرارًا مع تحسين الدقة الإجمالية لجميع عمليات الكشف.
-
تغيير الممارسات التنظيمية. في بعض الأحيان تصبح الاكتشافات مزعجة بسبب ممارسات تكنولوجيا المعلومات أو عمليات التطوير غير الضرورية التي تشبه إلى حد كبير الأنشطة الضارة. عندما لا يكون من الممكن استبعاد هذه الأنشطة غير الضارة تمامًا من قواعد الكشف، فقد يكون من المناسب تغيير الممارسات الداخلية. يمكن أن يؤدي دمج الأدوات الإدارية، باستخدام الحسابات المعتمدة مسبقًا أو خوادم الانتقال، والالتزام بإرشادات الأمان الواضحة في عمليات تكنولوجيا المعلومات وعمليات التطوير، إلى قطع شوط طويل في تقليل ضجيج التنبيهات.
وبالعودة إلى مثالنا الواقعي، فإن تنفيذ نهج Zero Noise مكّن المؤسسة الضحية من تقليل الضوضاء بشكل كبير واكتشاف المزيد من محاولات التسوية بمجرد أن تبدأ. في هذه الحالة، تم تقليل الضوضاء بنجاح من خلال تنفيذ أربعة تغييرات رئيسية:
-
ومن خلال تبني وجهة نظر المهاجم، أدركت المنظمة أنه بينما نجح المهاجمون في اختراق بيئتهم في العديد من الأماكن المختلفة، فإن الهجمات ركزت دائمًا في النهاية على خوادم إدارة المعاملات المالية. التعاون مع فريق الاحتيال المالي – تم إنشاء تنبيهات مخصصة لاكتشاف ومنع الأنشطة غير النظامية الخاصة بالمهاجمين على الخادم، بما في ذلك التناقضات في مبلغ المعاملة والطوابع الزمنية. كشفت هذه الاكتشافات ذات الأولوية العالية المصممة خصيصًا عن محاولات لاحقة لإجراء معاملات ضارة ومنعتها دون إحداث ضوضاء وبشكل حاسم، دون الكشف عن وجودها للمهاجمين.
-
تم تحديد مجموعة كبيرة من الاكتشافات على خوادم DMZ التي تشغل موقع الشركة على الويب بأنها مزعجة للغاية (ويرجع ذلك أساسًا إلى فحص الإنترنت للإيجابيات الكاذبة) وتمت إزالتها بالكامل من البيئة. لقد وفرت هذه الخطوة البسيطة ساعات من العمل اليومي في SOC.
-
تم تعزيز الاكتشافات المصممة لاكتشاف الوصول غير المنتظم إلى موازنات التحميل من نقاط البيع بشكل كبير بعد أن كشف التحليل عن أنشطة محددة مسؤولة عن أكثر من 90% من النتائج الإيجابية الخاطئة. تم استبعاد هذه الأنشطة على وجه التحديد من قواعد الكشف وتم دمجها في أدلة الفرز الآلية.
-
تم استخدام أداة PsExec الإدارية الشائعة لنظام التشغيل Windows بشكل متكرر من قبل المهاجمين للتحرك أفقيًا في البيئة، ولكن لسوء الحظ تم استخدامها بانتظام أيضًا من قبل موظفي تكنولوجيا المعلومات لإدارة أجهزة Windows. بعد أن كشفت المحادثات مع قادة تكنولوجيا المعلومات عن استخدام العديد من أدوات الإدارة عن بعد الأخرى بالفعل في البيئة، تم حظر PsExec للاستخدام الداخلي. أدى هذا إلى القضاء على الضوضاء وإنشاء بطاقة IOC قوية للكشف عن المهاجمين الذين يستهدفون هذه المنظمة.
في حين أن الكميات الهائلة من البيانات السحابية تمثل تحديات كبيرة لتقليل ضوضاء التنبيه، فإن اتباع نهج Zero Noise يمكّن المدافعين من استعادة السيطرة على خلاصات الكشف الجامحة. إن إعطاء الأولوية للاكتشافات المخصصة بناءً على وجهة نظر المهاجم، وتنفيذ حلقات ردود فعل الكشف المستمر، واتباع عقلية عدم ترك أي تنبيه هي أمور أساسية لتقليل الضوضاء وتحرير مركز عمليات الأمن (SOC) للكشف والاستجابة عندما يكون الأمر أكثر أهمية.
لقد استكشفت هذا الموضوع بشكل أكبر في قمة SANS CTI.
