ผลการวิจัยเบื้องต้นของระบบ AI ตัวหนึ่งได้ทำบางสิ่งบางอย่างที่ทำให้ CISO ทุกคนต้องทบทวนแบบจำลองภัยคุกคามของตนใหม่ โดยไม่ต้องมีมนุษย์ควบคุม แบบจำลองใหม่นี้สามารถระบุช่องโหว่ Zero-day นับพันรายการในระบบปฏิบัติการและเบราว์เซอร์หลักทุกตัวได้ ไม่ใช่ในรอบหลายปี ไม่ใช่ในรอบหลายเดือน แต่ในรอบไม่กี่สัปดาห์
ปัญญาประดิษฐ์นั้นคือ ตัวอย่างผลงานของ Claude Mythosและในขณะที่แวดวงความมั่นคงกำลังถกเถียงกันถึงบทบาทของ AI ในการป้องกันประเทศ คำถามเกี่ยวกับความสามารถในการโจมตีก็ได้รับการตอบไปแล้ว
สำหรับผู้นำด้านความปลอดภัย คำถามไม่ใช่ว่า AI จะเปลี่ยนแปลงภูมิทัศน์ของภัยคุกคามหรือไม่ เพราะมันได้เปลี่ยนไปแล้ว คำถามคือ: คุณใช้มันก่อนที่ศัตรูของคุณจะใช้หรือไม่?
“ช่วงเวลาที่เหมาะสมในการลงมือทำไม่ใช่หลายเดือน แต่เป็นตอนนี้”
ช่วงเวลาแห่งตำนาน: อะไรที่เปลี่ยนแปลงไปจริงๆ
เพื่อให้เข้าใจว่าทำไมเรื่องนี้ถึงสำคัญ คุณต้องเข้าใจว่าอะไรที่ทำให้ Mythos แตกต่างจากเครื่องมือรักษาความปลอดภัยอัตโนมัติทุกตัวที่เคยมีมาก่อน
การสแกนช่องโหว่แบบดั้งเดิมเป็นไปในเชิงกลไก มันใช้วิธีการจับคู่รูปแบบ ตรวจสอบลายเซ็นที่รู้จักกับจุดอ่อนที่รู้จัก เครื่องมือฟัซซิ่งจะส่งข้อมูลป้อนเข้าแบบสุ่มไปยังเป้าหมายและเฝ้าดูการเกิดข้อผิดพลาด เครื่องมือวิเคราะห์แบบคงที่ (Static analysis) จะวิเคราะห์โค้ดเพื่อหาข้อผิดพลาดทั่วไป เครื่องมือเหล่านี้มีประสิทธิภาพ แต่โดยพื้นฐานแล้วมันเป็นการตอบสนองต่อเหตุการณ์ที่เกิดขึ้น กล่าวคือ มันจะค้นหาเฉพาะสิ่งที่ได้รับการฝึกฝนให้ค้นหาเท่านั้น
เหตุผลตามตำนาน มันเชื่อมโยงข้อสังเกตต่างๆ เข้าด้วยกัน มันเข้าใจบริบท มันระบุข้อบกพร่องอายุ 27 ปีใน OpenBSD ซึ่งเป็นช่องโหว่ที่มองไม่เห็นในโค้ดที่ใช้งานจริงมาตั้งแต่ปี 1997 นักวิจัยด้านความปลอดภัยของมนุษย์ได้ตรวจสอบโค้ดเบสนั้นมาเกือบสามทศวรรษแล้ว แต่ AI ค้นพบมันได้ในเวลาเพียงเศษเสี้ยวของเวลาเท่านั้น
นี่ไม่ใช่การปรับปรุงเครื่องมือทีละเล็กทีละน้อย แต่เป็นการเปลี่ยนแปลงครั้งใหญ่ในเรื่องที่ว่าใครจะเป็นคนค้นพบช่องโหว่ก่อน และพวกเขาทำได้เร็วแค่ไหน
และ Mythos จะไม่ได้เป็นเพียงระบบเดียวอีกต่อไปในไม่ช้า OpenAI, Google DeepMind และห้องปฏิบัติการชั้นนำอื่นๆ กำลังพัฒนาความสามารถที่เทียบเคียงได้ การเข้าถึงเครื่องมือโจมตีด้วย AI อย่างแพร่หลายมากขึ้น — “Spud” และระบบที่พัฒนาต่อยอดจากนั้น — หมายความว่าความสามารถในการสร้างช่องโหว่ที่ซับซ้อนจะไม่ถูกจำกัดด้วยงบประมาณของรัฐอีกต่อไป
ภาวะกลืนไม่เข้าคายไม่ออกของผู้ป้องกัน: ต่อสู้กับสงครามเมื่อวานนี้
โปรแกรมรักษาความปลอดภัยขององค์กรส่วนใหญ่ถูกออกแบบมาสำหรับโลกที่ผู้โจมตีทำงานด้วยความเร็วระดับมนุษย์ การทดสอบเจาะระบบประจำปี การสแกนช่องโหว่รายไตรมาส การติดตั้งแพทช์รายเดือน ในโลกแบบนั้น ผู้ป้องกันมีเวลาเหลือเฟือ
โลกนั้นไม่มีอยู่อีกต่อไปแล้ว
การโจมตีด้วยพลัง AI พวกเขาทำงานอย่างต่อเนื่อง ไม่หยุดพักในวันสุดสัปดาห์ ไม่พลาดช่องโหว่เพราะนักวิเคราะห์เหนื่อยล้า พวกเขาไม่จำเป็นต้องใช้เวลาหลายเดือนในการเชื่อมโยงการโจมตี พวกเขาทำได้ภายในไม่กี่ชั่วโมง ช่องว่างระหว่างเวลาในการค้นพบและเวลาในการโจมตี ซึ่งฝ่ายป้องกันมักใช้เป็นข้ออ้างในการตอบสนอง กำลังลดลงอย่างรวดเร็ว
“ช่องว่างระหว่างเวลาที่ใช้ในการค้นพบและเวลาในการใช้ประโยชน์ ซึ่งฝ่ายป้องกันมักใช้เป็นข้ออ้างในการตอบสนองนั้น กำลังลดลงอย่างรวดเร็ว” - อับบาส คูดราติ
ลองพิจารณาถึงช่องโหว่ของการโจมตีทางด้านข้อมูลประจำตัว เมื่อองค์กรต่างๆ ขยายการใช้งาน AI ในระดับปฏิบัติการ พวกเขาก็ได้สร้างข้อมูลประจำตัวที่ไม่ใช่มนุษย์ขึ้นมานับล้านๆ รายการ เช่น บัญชีบริการ คีย์ API โทเค็น OAuth ข้อมูลรับรอง CI/CD ข้อมูลเหล่านี้จำนวนมากมีสิทธิ์มากเกินไป จำนวนมากไม่ได้รับการตรวจสอบ และจำนวนมากยังคงอยู่แม้หลังจากที่มนุษย์ผู้สร้างมันเสียชีวิตไปแล้ว ผู้โจมตีที่เป็น AI ไม่จำเป็นต้องใช้การโจมตีแบบ Brute-force เพื่อเจาะระบบรักษาความปลอดภัยของคุณ มันสามารถใช้เหตุผลในการวิเคราะห์ข้อมูลประจำตัวของคุณ โดยเปลี่ยนจากข้อมูลรับรองที่ตั้งค่าไม่ถูกต้องหนึ่งรายการไปยังอีกรายการหนึ่ง
ลองถามตัวเองดูว่า: ถ้าหากตัวแทน AI เริ่มสำรวจสภาพแวดล้อมของคุณในคืนนี้ มันจะใช้เวลานานแค่ไหนก่อนที่จะพบอะไรบางอย่าง? และคุณจะใช้เวลานานแค่ไหนก่อนที่จะรู้ตัว?
หากคุณไม่สามารถตอบคำถามทั้งสองส่วนนั้นได้อย่างมั่นใจ คุณก็มีปัญหาที่กรอบการปฏิบัติตามกฎระเบียบใดๆ ก็ช่วยแก้ไม่ได้
กรอบงาน APEX: ออกแบบโครงสร้างเพื่อป้องกันการโจมตีจากฝ่ายตรงข้าม
คุณไม่สามารถแก้ไขช่องโหว่ของ AI ได้ด้วยวิธีเดิม ๆ เพราะช่องโหว่มีขนาดใหญ่เกินไป ความเร็วสูงเกินไป และความสามารถในการคิดวิเคราะห์ซับซ้อนเกินไป สิ่งที่คุณทำได้คือออกแบบโครงสร้างระบบให้เหนือกว่า
ฉันได้พัฒนากรอบการทำงานที่เป็นรูปธรรมเพื่อรับมือกับความท้าทายนี้โดยเฉพาะ — APEX: ระบบแลกเปลี่ยนข้อมูลการเปิดเผยข้อมูลที่ขับเคลื่อนด้วย AI ประกอบด้วยห้าเสาหลัก แต่ละเสาหลักสามารถนำไปปฏิบัติได้ตั้งแต่เช้าวันจันทร์
ยอมรับการประนีประนอม
อย่าคิดว่าการถูกโจมตีเป็นเพียงเรื่องสมมติในอนาคต การโจมตีด้วยความเร็วระดับ AI หมายความว่าระบบรักษาความปลอดภัยของคุณอาจถูกเจาะไปแล้วในรูปแบบที่เครื่องมือของคุณตรวจไม่พบ ออกแบบระบบควบคุม การตรวจสอบ และแผนรับมือของคุณโดยตั้งสมมติฐานว่ามีบางอย่างผิดปกติเกิดขึ้นแล้ว
ในทางปฏิบัติ หมายความว่าต้องดำเนินการค้นหาภัยคุกคามโดยเริ่มจากสมมติฐานว่ามีการโจมตีเกิดขึ้นแล้ว แทนที่จะรอการแจ้งเตือนปรากฏขึ้น และต้องใช้เทคโนโลยีล่อลวง เช่น ฮันนี่พอต ข้อมูลประจำตัวปลอม และบัญชีบริการทดสอบ เพื่อตรวจจับภัยคุกคามที่ขับเคลื่อนด้วย AI การเคลื่อนไหวด้านข้าง ตั้งแต่เนิ่นๆ และตรวจสอบให้แน่ใจว่า SIEM ของคุณ (ไม่ว่าจะเป็น Microsoft Sentinel, Splunk หรือแพลตฟอร์มที่เทียบเท่า) ได้รับการปรับแต่งเพื่อตรวจจับรูปแบบการตรวจสอบสิทธิ์ที่ผิดปกติทั้งในส่วนของข้อมูลประจำตัวที่เป็นมนุษย์และไม่ใช่มนุษย์ ไม่ใช่แค่การตรวจจับตามลายเซ็นเท่านั้น
นำทีมสร้างเอกลักษณ์ของคุณเข้ามามีส่วนร่วม การตอบสนองต่อเหตุการณ์ นับตั้งแต่วันแรก ข้อมูลระบุตัวตนที่ไม่ใช่มนุษย์ เช่น บัญชีบริการ คีย์ API โทเค็น OAuth กลายเป็นช่องทางหลักในการเคลื่อนที่แบบแนวนอนสำหรับผู้โจมตีที่ใช้ AI ความเร็วสูง แต่คู่มือการรับมือเหตุการณ์ส่วนใหญ่ยังคงมองข้ามสิ่งเหล่านี้ไป
แพลตฟอร์มที่ให้การตรวจสอบการยืนยันตัวตนแบบเรียลไทม์อย่างต่อเนื่องสำหรับทุกข้อมูลประจำตัว จะช่วยให้ศูนย์ปฏิบัติการด้านความปลอดภัย (SOC) ของคุณมองเห็นภาพรวมเพื่อตรวจจับการเปลี่ยนแปลงอย่างรวดเร็วด้วย AI ก่อนที่จะลุกลามบานปลาย เริ่มต้นด้วยการถามคำถามที่สำคัญ: เครื่องมือปัจจุบันของคุณจะสามารถตรวจจับอะไรได้บ้าง หากเอเจนต์ AI เริ่มเคลื่อนไหวในสภาพแวดล้อมของคุณในคืนนี้?
จัดลำดับความสำคัญอย่างต่อเนื่อง
การทดสอบเจาะระบบประจำปีนั้นหมดความสำคัญในฐานะกลไกหลักในการสร้างความมั่นใจแล้ว ควรเปลี่ยนจากการทดสอบเป็นระยะๆ มาเป็นการจัดลำดับความสำคัญของช่องโหว่อย่างต่อเนื่องโดยใช้ AI คุณไม่จำเป็นต้องค้นหาช่องโหว่ทุกช่อง คุณแค่ต้องรู้ว่าช่องโหว่ใดที่ผู้โจมตีที่ใช้ AI จะใช้โจมตีเป็นอันดับแรก และต้องปิดช่องโหว่เหล่านั้นก่อนที่พวกเขาจะทำได้
สำหรับทีมที่สงสัยว่าจะเริ่มต้นจากตรงไหน: ให้มองหาโซลูชันที่ประเมินช่องโหว่โดยพิจารณาจากความสามารถในการใช้ประโยชน์และขอบเขตความเสียหาย ไม่ใช่แค่ความรุนแรงตามเกณฑ์ CVSS เท่านั้น และโซลูชันที่อัปเดตคะแนนเหล่านั้นอย่างต่อเนื่องเมื่อสภาพแวดล้อมของคุณเปลี่ยนแปลงไป
แพลตฟอร์มการปกป้องแอปพลิเคชันบนคลาวด์ (Cloud-Native Application Protection Platforms หรือ CNAPPs) เช่น Wiz, Prisma Cloud หรือ Microsoft Defender for Cloud จะแสดงเส้นทางการโจมตีทั้งหมดทั่วทั้งระบบคลาวด์ของคุณ โดยแสดงให้เห็นอย่างชัดเจนว่าผู้โจมตีจะเชื่อมโยงการตั้งค่าที่ไม่ถูกต้องและช่องโหว่ต่างๆ เข้าด้วยกันได้อย่างไร แทนที่จะแสดงรายการ CVE แบบธรรมดา
นำสิ่งเหล่านี้ไปใช้ร่วมกับระบบรักษาความปลอดภัยด้านการระบุตัวตน: แพลตฟอร์มเช่น Silverfort จัดให้มีการตรวจสอบพฤติกรรมการยืนยันตัวตนอย่างต่อเนื่องสำหรับทุกตัวตน ทั้งที่เป็นมนุษย์และไม่ใช่มนุษย์ เพื่อลดช่องว่างที่สำคัญระหว่างการค้นพบช่องโหว่และการโจมตีโดยอาศัยตัวตน
ผู้โจมตีด้วย AI ไม่ได้แค่ใช้ประโยชน์จากช่องโหว่ในโค้ดเท่านั้น แต่ยังใช้ประโยชน์จากการตั้งค่าข้อมูลประจำตัวที่ไม่ถูกต้องและข้อมูลประจำตัวที่มีสิทธิ์มากเกินไปเพื่อเคลื่อนที่ไปยังส่วนอื่นๆ ของระบบเมื่อเข้ามาได้แล้ว การผสมผสานระหว่างการมองเห็นเส้นทางการโจมตีจาก CNAPP ของคุณและการควบคุมข้อมูลประจำตัวแบบเรียลไทม์จากแพลตฟอร์มความปลอดภัยข้อมูลประจำตัวของคุณ คือสิ่งที่ทำให้องค์กรที่แค่ทำการสแกนแตกต่างจากองค์กรที่สามารถลดความเสี่ยงจากการถูกโจมตีได้อย่างมีนัยสำคัญ
ขจัดความไว้วางใจโดยปริยาย
ทุกตัวตน ไม่ว่าจะเป็นมนุษย์ สิ่งที่ไม่ใช่มนุษย์ หรือตัวแทนปัญญาประดิษฐ์ จะต้องได้รับการตรวจสอบยืนยันอีกครั้งในทุกขั้นตอน ทุกครั้ง นี่คือสิ่งสำคัญ ความน่าเชื่อถือเป็นศูนย์ ในรูปแบบที่แท้จริงที่สุด ไม่ใช่ในฐานะคำทางการตลาด แต่เป็นหลักการทางสถาปัตยกรรมที่บังคับใช้ในระดับชั้นการระบุตัวตน หากบัญชีบริการมีสิทธิ์มากเกินไป ผู้โจมตีด้วย AI จะค้นพบมัน บทบาทของคุณคือการรับประกันว่าเมื่อพวกเขาพบมันแล้ว บัญชีบริการนั้นจะไม่มีอะไรที่มีประโยชน์ให้ใช้ในทางที่ผิด
eXchange intelligence
ไม่มีองค์กรใดองค์กรเดียวที่มีข้อมูลเชิงลึกเพียงพอที่จะป้องกันภัยคุกคามที่รวดเร็วระดับ AI ได้เพียงลำพัง รูปแบบการรวมกลุ่มของ Glasswing ซึ่งเป็นการแบ่งปันข้อมูลข่าวกรองภัยคุกคามเฉพาะภาคส่วนก่อนการแข่งขัน เป็นหนทางเดียวที่เป็นไปได้สำหรับการป้องกันร่วมกัน เข้าร่วมกับกลุ่มใดกลุ่มหนึ่ง หรือสร้างกลุ่มขึ้นมาเอง ช่องว่างด้านข้อมูลข่าวกรองภัยคุกคามในปัจจุบันวัดได้เป็นนาที ไม่ใช่เดือน
ฉันได้สัมผัสถึงพลังของสิ่งนี้ด้วยตนเอง ในช่วงต้นของการดำรงตำแหน่งผู้นำด้านกลยุทธ์ความปลอดภัยขององค์กร ฉันเป็นส่วนหนึ่งของกลุ่มพันธมิตรการแบ่งปันข้อมูลข่าวกรองภัยคุกคามในระดับภาคส่วน เมื่อเริ่มมีสัญญาณบ่งชี้ถึงการโจมตีการละเมิดข้อมูลประจำตัวแบบประสานงานปรากฏขึ้นในสภาพแวดล้อมขององค์กรสมาชิกต่างๆ
สถาบันแรกที่ตรวจพบรูปแบบการตรวจสอบสิทธิ์บัญชีบริการที่ผิดปกติ เช่น การเข้าสู่ระบบจากพื้นที่ทางภูมิศาสตร์ที่ไม่คาดคิด การเข้าถึง API ที่สำคัญในเวลาตี 3 ได้แบ่งปันข้อมูลบ่งชี้การถูกโจมตีเหล่านั้นกับสมาชิกในกลุ่มพันธมิตรภายในไม่กี่ชั่วโมง องค์กรอีกสามแห่งได้ปิดกั้นช่องทางการโจมตีที่เกี่ยวข้องก่อนที่ฝ่ายตรงข้ามจะเปลี่ยนกลยุทธ์ ไม่มีองค์กรใดองค์กรหนึ่งที่มีภาพรวมทั้งหมดได้ด้วยตนเอง เมื่อร่วมมือกัน เราจึงสามารถหยุดยั้งแคมเปญที่หากแต่ละองค์กรดำเนินการเพียงลำพัง อาจต้องใช้เวลาหลายวันหรือหลายสัปดาห์ในการระบุและควบคุม ประสบการณ์นั้นตอกย้ำความเชื่อของผมว่า ในยุคของภัยคุกคามที่รวดเร็วระดับ AI การป้องกันแบบรวมกลุ่มไม่ใช่ทางเลือกเชิงกลยุทธ์อีกต่อไป นี่คือเกณฑ์พื้นฐาน
ยกระดับเกมรุกของคุณ
ใช้ความสามารถของ AI เดียวกันนี้ในการป้องกัน ใช้งานทีมโจมตีสีแดงที่ขับเคลื่อนด้วย AI ภายในองค์กรก่อนที่ศัตรูภายนอกจะใช้งาน ความสามารถในการใช้เหตุผลแบบเดียวกันที่ทำให้ Mythos เป็นอันตราย ก็ทำให้มันมีคุณค่าอย่างยิ่งในฐานะเครื่องมือของผู้ป้องกัน องค์กรที่ชนะการแข่งขันนี้คือองค์กรที่ใช้ AI ในเชิงรุกอย่างปลอดภัย ในสภาพแวดล้อมของตนเอง และตามกำหนดเวลาของตนเอง
ระบบรักษาความปลอดภัยที่ดีในโลกของการโจมตีด้วย AI นั้นมีลักษณะอย่างไร
นี่ไม่ใช่เรื่องราวแห่งความหายนะ แต่เป็นจุดเปลี่ยนสำคัญ และจุดเปลี่ยนสำคัญนี้จะให้ผลตอบแทนแก่องค์กรที่ลงมือทำก่อน
หัวหน้าฝ่ายรักษาความปลอดภัยสารสนเทศ (CISO) ที่จะกำหนดทิศทางสถาปัตยกรรมความปลอดภัยในทศวรรษหน้า กำลังตั้งคำถามที่แตกต่างออกไปกับทีมงานของพวกเขา ไม่ใช่ “เราอัปเดตแพตช์แล้วหรือยัง?” แต่เป็น “ผู้โจมตีด้วย AI จะโจมตีอะไรเป็นอันดับแรก?” ไม่ใช่ “เราได้กำหนดการทดสอบเจาะระบบไว้แล้วหรือยัง?” แต่เป็น “พื้นที่เสี่ยงต่อการถูกโจมตีอย่างต่อเนื่องของเราในตอนนี้เป็นอย่างไร?” ไม่ใช่ “เรามีบัญชีบริการกี่บัญชี?” แต่เป็น “มีใครเป็นเจ้าของบัญชีเหล่านั้นจริงๆ กี่บัญชี?”
เทคโนโลยีไม่ใช่ปัญหา ปัญหาอยู่ที่ความเต็มใจที่จะตั้งคำถามใหม่ต่างหาก
Mythos ค้นพบช่องโหว่อายุ 27 ปีที่มองไม่เห็นมาตั้งแต่ปี 1997 ปัญญาประดิษฐ์ (AI) ไม่ได้สร้างช่องโหว่นี้ขึ้นมา แต่ AI เปลี่ยนคนที่ค้นพบช่องโหว่นี้เป็นคนแรก หน้าที่ของคุณ—และหน้าที่ของเรา—คือการทำให้แน่ใจว่าฝ่ายป้องกันจะค้นพบช่องโหว่นี้ก่อนฝ่ายโจมตี
สามสิ่งที่ควรทำในไตรมาสนี้
- สั่งทำโดยใช้ AI ช่วยเหลือ พื้นผิวการโจมตี การประเมินผล ทำความเข้าใจว่าผู้โจมตีด้วย AI จะเห็นอะไรในสภาพแวดล้อมของคุณก่อนที่พวกเขาจะทำได้
- ตรวจสอบข้อมูลประจำตัวที่ไม่ใช่มนุษย์ทั้งหมดบัญชีบริการ, คีย์ API, โทเค็น OAuth — สิ่งเหล่านี้ช่วยระบุว่าอะไรคือสิทธิ์ที่มากเกินไป อะไรคือข้อมูลที่ไม่ได้รับการตรวจสอบ และอะไรที่ไม่มีใครเป็นเจ้าของ
- เข้าร่วมหรือจัดตั้งกลุ่มพันธมิตรข่าวกรองภัยคุกคามเฉพาะภาคส่วน การป้องกันร่วมกันด้วยความเร็วระดับเครื่องจักรเป็นคำตอบเดียวที่ใช้ได้ผลในการรับมือกับภัยคุกคามที่มีความเร็วระดับ AI
