ร็อบ เอนส์ค (00:00:00,080 – 00:00:12,400)
คริส ลิงค์เลเตอร์ หัวหน้าทีมงานที่ Mandiant ใช้เวลาตลอดอาชีพการงานเจาะลึกในด้านโครงสร้างพื้นฐานและความปลอดภัยทางไซเบอร์ และปัจจุบันเขากำลังเป็นผู้นำด้านการตอบสนองต่อเหตุการณ์และงานด้านการเปลี่ยนแปลงด้านความปลอดภัยที่ Mandiant บริษัทด้านความปลอดภัยทางไซเบอร์ชั้นนำที่ Google เข้าซื้อกิจการไปแล้ว
คริส ลิงค์เลเตอร์ (00:00:12,400 – 00:00:19,120)
ด้านการกู้คืนระบบในการช่วยเหลือองค์กรนั้นค่อนข้างน่าสนใจทีเดียว มันไม่ใช่แค่การกู้คืนเทคโนโลยีที่มีอยู่เท่านั้น
ร็อบ เอนส์ค (00:00:19,200 – 00:00:24,320)
ในตอนนี้ เราจะมาพูดถึงสิ่งที่เกิดขึ้นเมื่อระบบยืนยันตัวตนล้มเหลว และการละเมิดข้อมูลส่วนใหญ่เริ่มต้นอย่างไร
คริส ลิงค์เลเตอร์ (00:00:24,520 – 00:00:29,960)
ในปีนี้ เป็นครั้งแรกที่การหลอกลวงทางเสียง (vishing) แซงหน้าการหลอกลวงทางอีเมลแบบดั้งเดิม
รอย เอเคอร์แมน (00:00:30,040 – 00:00:39,920)
ปัจจุบันผู้โจมตีไม่ได้เจาะระบบด้วยวิธีการที่เราคิดกันอีกต่อไปแล้ว คริสจะมาเล่าให้ฟังว่า ข้อมูลส่วนตัวได้กลายเป็นช่องทางที่ง่ายที่สุดในการเจาะระบบอย่างเงียบๆ และเป็นสิ่งที่ยากที่สุดที่จะรักษาความปลอดภัยได้อย่างสมบูรณ์
คริส ลิงค์เลเตอร์ (00:00:40,160 – 00:00:51,120)
มีช่องทางการเข้าถึงเบื้องต้นหลายวิธีที่เทียบได้กับการที่ผู้โจมตีล็อกอินเข้าสู่ระบบ ผู้โจมตีอาจหาข้อมูลประจำตัวได้ด้วยวิธีใดวิธีหนึ่งแล้วก็ล็อกอินเข้าสู่ระบบได้
รอย เอเคอร์แมน (00:00:51,760 – 00:00:55,520)
เราทุกคนเคยได้ยินคำพูดติดปากที่ว่า "อัตลักษณ์คือขอบเขตใหม่" มาแล้ว
ร็อบ เอนส์ค (00:00:55,760 – 00:00:57,440)
ผู้โจมตีไม่ได้บุกรุก แต่พวกเขาเข้าสู่ระบบแทน
รอย เอเคอร์แมน (00:00:57,720 – 00:01:03,360)
ใช่ แต่จริงๆ แล้วเกิดอะไรขึ้นในเรื่องความปลอดภัยของข้อมูลส่วนบุคคล และทำไมถึงเป็นเช่นนั้น? และนั่นแหละคือจุดที่เรื่องเริ่มคลุมเครือ
ร็อบ เอนส์ค (00:01:03,920 – 00:01:14,480)
และนี่คือเหตุผลที่เราสร้างรายการนี้ขึ้นมา นี่คือ Identity Decoded เราจะพูดคุยกันอย่างตรงไปตรงมาเกี่ยวกับสิ่งที่ได้ผล สิ่งที่ล้มเหลว และวิธีการก้าวไปข้างหน้าในด้านความปลอดภัยของข้อมูลส่วนบุคคล ผมคือร็อบ
รอย เอเคอร์แมน (00:01:14,960 – 00:01:16,640)
ผมชื่อรอยครับ มาเริ่มกันเลยดีกว่า
ร็อบ เอนส์ค (00:01:16,920 – 00:01:17,440)
ลงมือทำกันเลย
รอย เอเคอร์แมน (00:01:23,760 – 00:01:24,560)
ยินดีต้อนรับครับ คริส
คริส ลิงค์เลเตอร์ (00:01:24,800 – 00:01:26,240)
สวัสดี ขอบคุณที่มีฉัน
รอย เอเคอร์แมน (00:01:26,640 – 00:01:41,920)
ขอบคุณที่สละเวลามาพูดคุยกันนะคะ ดิฉันทราบว่าคุณเป็นคนที่มีภาระงานมากมาย ทั้งเรื่องต่างๆ ที่เกิดขึ้นในโลก การรับมือกับเหตุการณ์ฉุกเฉินในยุค AI และอื่นๆ อีกมากมาย เรายินดีเป็นอย่างยิ่งที่จะได้ทราบเกี่ยวกับประวัติของคุณ และหากมีข้อมูลที่เกี่ยวข้องกับอัตลักษณ์ของคุณ ก็จะยิ่งดีขึ้นไปอีกค่ะ
คริส ลิงค์เลเตอร์ (00:01:42,280 – 00:01:54,240)
ก่อนอื่นเลย ขอบคุณที่เชิญผมมาครับ ผมแอบอิจฉานิดหน่อย สตูดิโอที่พวกคุณนั่งอยู่นั้นดูอบอุ่นสบายมาก ส่วนผมอยู่แต่ในห้องทำงานของตัวเอง คราวหน้าเราคงมาเจอกันตัวเป็นๆ นะครับ
รอย เอเคอร์แมน (00:01:54,240 – 00:01:55,280)
ในห้องทำงานของคุณ
คริส ลิงค์เลเตอร์ (00:01:55,280 – 00:02:21,200)
แต่ขอเล่าเรื่องของผมสักเล็กน้อยนะครับ ผมทำงานกับ Mandiant และเป็นผู้นำด้านการแก้ไขปัญหา การตอบสนองต่อเหตุการณ์ และแนวทางการออกแบบสถาปัตยกรรมความปลอดภัยของเรา นั่นหมายความว่า ในทางปฏิบัติแล้ว ทุกครั้งที่มีเหตุการณ์เกิดขึ้น จะมีหลายทีมเข้ามาเกี่ยวข้อง ทีมวิเคราะห์หาสาเหตุ ทีมกฎหมาย ทีมสื่อสารในภาวะวิกฤต แต่ทีมของเราคือทีมที่ได้รับมอบหมายให้ช่วยควบคุมสถานการณ์ครับ
ร็อบ เอนส์ค (00:02:21,440 – 00:02:21,560)
โอ้โฮ
คริส ลิงค์เลเตอร์ (00:02:22,160 – 00:02:38,720)
แล้วก็...วางขั้นตอนเหล่านั้น วางแผนสิ่งที่เป็นรูปธรรมที่องค์กรสามารถทำได้ เพื่อลดโอกาสที่เหตุการณ์แบบเดียวกันจะเกิดขึ้นอีกในอนาคต อย่างที่คุณคงนึกออก เราจึงยุ่งมากในยุคปัจจุบันนี้ มันสนุกมากเลย
ร็อบ เอนส์ค (00:02:39,040 – 00:02:50,160)
สุดยอดเลยครับ แล้วคุณเข้าไปทำงานด้านนั้นได้ยังไงครับ? มันต้องเครียดมากแน่ๆ ที่ต้องวิ่งไล่จับปัญหาอยู่ตลอดเวลาให้กับลูกค้าหลายๆ ราย คุณเข้าไปทำงานด้านนั้นได้ยังไงครับ คริส?
คริส ลิงค์เลเตอร์ (00:02:50,640 – 00:02:55,760)
ใช่ค่ะ ฉันคิดว่าการรับมือกับเหตุการณ์ฉุกเฉินก็คือการบริหารโครงการที่มีความเครียดเข้ามาเกี่ยวข้องนั่นแหละใช่ไหมคะ?
รอย เอเคอร์แมน (00:02:57,360 – 00:02:59,280)
นั่นเป็นเรื่องจริง ไม่มีใครยอมรับเรื่องนั้นหรอก
คริส ลิงค์เลเตอร์ (00:02:59,280 – 00:03:17,040)
กำหนดส่งงานเร่งด่วนมาก นั่นอาจเป็นความจริงสำหรับทุกอย่างที่เกี่ยวข้องกับความปลอดภัยทางไซเบอร์ ไม่ใช่แค่การรับมือกับเหตุการณ์ฉุกเฉินเท่านั้น แต่ไม่หรอก ดูสิ พื้นฐานของฉันคือด้านการปฏิบัติงานและวิศวกรรมไอที ใช่ไหมล่ะ? ดังนั้น หลังจากทำงานด้านไอทีมาหลายปี ฉันก็พบว่าตัวเองมาอยู่ในบทบาทนี้ที่ Mandiant และมันก็สนุกมาก
รอย เอเคอร์แมน (00:03:17,360 – 00:03:43,120)
และเพื่อเป็นการปูพื้นฐานสำหรับการสนทนาของเรา ผมอยากจะกล่าวว่า ผมพบว่ามันน่าสนใจที่คุณไม่ได้มีหน้าที่แค่ช่วยองค์กรในสถานการณ์ที่ระบบควบคุมความปลอดภัยล้มเหลวทั้งหมด และองค์กรเหล่านั้นถูกโจมตีและถูกละเมิดข้อมูลเท่านั้น คุณยังอยู่ที่นั่นด้วยเมื่อพวกเขากำลังพยายามกู้คืนและสร้างระบบขึ้นมาใหม่เพื่อให้แน่ใจว่าจะไม่มีอะไรเกิดขึ้นซ้ำอีกใช่ไหมครับ? ดังนั้นคุณจึงช่วยพวกเขาในการสร้างความไว้วางใจ ระบบ และกระบวนการขึ้นมาใหม่ใช่ไหมครับ?
คริส ลิงค์เลเตอร์ (00:03:43,280 – 00:04:53,560)
ใช่แล้ว การฟื้นฟูองค์กรนั้นค่อนข้างน่าสนใจทีเดียวใช่ไหม ทุกคนคิดว่าเราต้องสร้างเวิร์กสเตชันและเซิร์ฟเวอร์ขึ้นมาใหม่ ซึ่งนั่นก็เป็นส่วนหนึ่ง แต่จริงๆ แล้วมันมากกว่านั้น นอกเหนือจากการฟื้นฟูเทคโนโลยีที่มีอยู่แล้ว ยังมีกระบวนการช่วยเหลือธุรกิจให้เริ่มต้นใหม่ และส่วนที่ยากที่สุดก็คือส่วนสุดท้าย นั่นคือการช่วยให้องค์กรอื่นๆ เชื่อมั่นว่าองค์กรที่ประสบเหตุการณ์ร้ายแรงนั้นปลอดภัยที่จะทำธุรกิจด้วยอีกครั้งใช่ไหม สิ่งแรกที่เกิดขึ้นทุกครั้งที่องค์กรประสบเหตุการณ์คือ พันธมิตรทางธุรกิจทั้งหมดจะตัดการเชื่อมต่อเพื่อปกป้องตัวเอง ซึ่งเป็นเรื่องปกติ แต่ความท้าทายที่เราพบคือ ไม่มีมาตรฐานที่กำหนดไว้ล่วงหน้าว่าเมื่อไหร่เราถึงจะปลอดภัยที่จะเชื่อมต่อใหม่ และแต่ละองค์กรก็มีเกณฑ์ของตัวเองว่าเมื่อไหร่ถึงจะปลอดภัยที่จะเชื่อมต่อใหม่ ดังนั้นเราจึงช่วยเหลือองค์กรในส่วนนี้ด้วยเช่นกัน และนั่นอาจฟังดูเหมือนเป็นเรื่องง่ายที่สุด เช่น แค่เปิดระบบให้เรากลับมาทำงานอีกครั้ง แต่จริงๆ แล้วมีกระบวนการคิดมากมายที่ต้องพิจารณาว่า การทำธุรกิจกับองค์กรนี้ปลอดภัยหรือไม่ และเราสามารถให้การรับประกันอะไรได้บ้าง แต่สุดท้ายแล้ว การทำธุรกิจกับพวกเขาอีกครั้งก็ปลอดภัยแน่นอน
รอย เอเคอร์แมน (00:04:54,000 – 00:05:26,080)
มีคำพูดติดปากบางอย่างในตลาดที่อาจจะเป็นความจริง ผมไม่รู้หรอก อยากได้ยินความคิดเห็นจากคุณจังเลย ช่วยบอกด้วยว่าคุณคิดว่ามันจริงหรือไม่ ผมรู้ว่า Mandiant ก็มีรายงานความเสี่ยงเหมือนกัน จากสิ่งที่คุณเห็นมาทั้งหมด มีองค์กรหลายพันแห่ง และเหตุการณ์นับพันครั้ง ข้อแรกคือ แฮกเกอร์ไม่ได้เจาะระบบล็อกอินของพวกเขา คุณคงเคยได้ยินเรื่องนี้มาหลายพันครั้งแล้ว และข้อที่สองคือ 80% ของเหตุการณ์ทั้งหมดเกิดจากการที่ข้อมูลส่วนบุคคลถูกบุกรุก หรืออย่างน้อยก็เกี่ยวข้องกับการที่ข้อมูลส่วนบุคคลถูกบุกรุกในบางจุด
คริส ลิงค์เลเตอร์ (00:05:26,480 – 00:06:29,040)
แน่นอนว่าผมเห็นด้วยว่าสิ่งแรกที่เกิดขึ้นคืออย่างนั้นใช่ไหมครับ? ทุกปี Mandiant จะเผยแพร่รายงานชื่อ M-Trends ซึ่งเป็นการมองย้อนกลับไปในปีที่ผ่านมา เพื่อดูแนวโน้มและการเปลี่ยนแปลงต่างๆ รวมถึงสิ่งที่ยังคงเหมือนเดิมในบางกรณี และหนึ่งในสิ่งที่เราเห็นคือ มีช่องทางการเข้าถึงเบื้องต้นหลายช่องทางที่เทียบเท่ากับการที่ผู้โจมตีล็อกอินเข้าไปได้ อาจจะเป็นข้อมูลประจำตัวที่ใช้ซ้ำ ข้อมูลประจำตัวที่ถูกขโมย ข้อมูลประจำตัวที่ได้มาจากการหลอกลวง หรืออย่างการหลอกลวงทางเสียง (vishing หรือ voice phishing) ซึ่งเป็นครั้งแรกที่แซงหน้าการหลอกลวงทางอีเมลแบบดั้งเดิมไปแล้ว ดังนั้นผมจึงจัดหมวดหมู่ทั้งหมดเหล่านั้นไว้ในแนวคิดที่ว่า ผู้โจมตีจะหาข้อมูลประจำตัวได้ไม่ทางใดก็ทางหนึ่งและล็อกอินเข้าไปได้ การใช้ช่องโหว่ยังคงเป็นอันดับ 1 อยู่ดี พวกเขาครองอันดับ 1 มานานในแง่ของวิธีการที่ผู้โจมตีเข้าถึงระบบ แต่ผมว่าวิธีการล็อกอินธรรมดากำลังไล่ตามมาทุกปี
รอย เอเคอร์แมน (00:06:29,560 – 00:07:05,680)
ประตูแรกถูกเจาะแล้วใช่ไหมครับ? เราเชื่อมั่นว่ารหัสผ่านจะป้องกันได้ ไม่ว่าจะเป็นคนร้ายที่พยายามเข้ามาก็ตาม นี่คือจุดเริ่มต้นของเหตุการณ์ แต่ไม่ใช่หลังจากที่เครือข่ายมีการเคลื่อนไหวและเกิดความยุ่งเหยิงมากมายแล้วคุณถึงถูกเรียกตัวเข้ามาใช่ไหมครับ? ผมพนันได้เลยว่าไม่ใช่วินาทีที่ใครบางคนบุกเข้ามาแล้วคุณถึงถูกเชิญเข้ามาใช่ไหมครับ? ดังนั้นช่วยอธิบายกรอบเวลาโดยทั่วไปให้เราฟังหน่อยได้ไหมครับ ซึ่งอาจจะเป็นช่วงเวลาที่กว้างมาก แต่เป็นกรอบเวลาในห่วงโซ่การโจมตีหรือห่วงโซ่การตอบสนองต่อเหตุการณ์ (IR chain) ที่คุณและทีมของคุณมักจะถูกเรียกตัวเข้ามาครับ
คริส ลิงค์เลเตอร์ (00:07:05,760 – 00:07:44,800)
ยิ่งเร็วเท่าไหร่ยิ่งดี แต่โชคไม่ดีที่ส่วนใหญ่แล้วเรามักจะไม่ได้เริ่มปฏิบัติการเร็วเท่าไหร่ ดังนั้นผมคิดว่าส่วนใหญ่แล้วเมื่อเราเข้าไปเกี่ยวข้อง มักจะเป็นหลังจากที่ผู้โจมตีได้บรรลุภารกิจแล้ว ไม่ว่าจะเป็นการขโมยข้อมูล การสร้างความเสียหาย หรือแม้แต่การใช้กลยุทธ์สอดแนมโดยการซุ่มดูอยู่เบื้องหลัง ดังนั้นผมคิดว่าส่วนใหญ่แล้วเมื่อเราเข้าไป มักจะช้ากว่าที่เราต้องการ และอยู่ในช่วงท้ายของวงจรการโจมตีหรือห่วงโซ่การโจมตีแล้ว แล้วแต่ว่าคุณจะเลือกใช้คำไหน
ร็อบ เอนส์ค (00:07:45,120 – 00:08:15,280)
ฉันคิดว่าคุณคงจะบอกว่ามันยากที่จะอธิบาย แต่คุณบอกว่าคุณถูกเรียกเข้ามาเกี่ยวข้องกับเรื่องพวกนี้ช้ากว่าที่คุณต้องการ เป็นเพราะบริษัทต่างๆ ยังไม่สามารถตรวจจับและเข้าใจสิ่งที่เกิดขึ้นในเครือข่ายและระบบของพวกเขาได้ใช่ไหม หรือเป็นเพราะพวกเขาเห็นสิ่งต่างๆ แต่ตอบสนองไม่เร็วพอ และสุดท้ายก็ตกอยู่ในสถานการณ์ที่ต้องการความช่วยเหลือจากคุณ? เช่น ทำไมถึงเป็นช่วงท้ายๆ ที่คุณได้รับการติดต่อจากผู้โจมตี ซึ่งกำลังอยู่ในขั้นตอนสุดท้ายของการกระทำของพวกเขา?
คริส ลิงค์เลเตอร์ (00:08:16,400 – 00:09:02,640)
คือผมคิดว่าหลายองค์กรไม่รู้ตัวว่าถูกโจมตีจนกว่าจะเกิดเรื่องร้ายแรงขึ้น การโจมตีแบบทำลายล้างเป็นตัวอย่างที่เห็นได้ชัด เพราะทุกคนรู้ว่ามันได้ผลใช่ไหมครับ? มันค่อนข้างตรงไปตรงมา แต่สิ่งที่เราเห็นมากขึ้นเรื่อยๆ คือการโจมตีที่ไม่ทำลายล้างมากนัก แต่เป็นการโจมตีที่เน้นการขโมยข้อมูลมากกว่า และเรายังเห็นหลายองค์กรไม่รู้ตัวด้วยซ้ำว่าข้อมูลของพวกเขาถูกขโมยไปจากเครือข่าย จนกระทั่งผู้โจมตีเหล่านั้นนำข้อมูลไปโพสต์ในเว็บไซต์ที่เรียกว่า DLS หรือเว็บไซต์ประจานการดาวน์โหลด และในตอนนั้นเองที่พวกเขาตระหนักว่า โอเค ขั้นตอนแรกคือเราต้องหาให้เจอว่าข้อมูลของเราถูกขโมยไปจริงหรือไม่ และเมื่อพวกเขาได้คำตอบว่าใช่แล้ว พวกเขาก็ต้องไปหาคำตอบว่ามันเกิดขึ้นได้อย่างไร และในตอนนั้นเองที่เรามักจะเข้ามาช่วยเหลือ
ร็อบ เอนส์ค (00:09:02,920 – 00:09:47,520)
และนั่นเป็นเรื่องที่น่ากลัวมาก ผมคิดว่าจากมุมมองด้านการจัดการตัวตน เพราะเมื่อผมคุยกับคนที่ทำงานด้านนี้ พวกเขามักจะให้ความสำคัญกับสิ่งที่สำคัญที่สุด สิทธิ์ระดับสูงสุด ผู้ดูแลระบบโดเมน ผู้ดูแลระบบสำรองข้อมูล ผู้ดูแลระบบไฮเปอร์ไวเซอร์ ใช่ไหมครับ? และพวกเขาก็สำคัญมาก ใช่ไหมครับ? ผมไม่ได้บอกว่าไม่สำคัญ แต่สิ่งที่น่ากลัวเกี่ยวกับสิ่งที่คุณพูดถึงคือ คุณอาจมีสิทธิ์เข้าถึงชุดข้อมูลในระดับที่ไม่เป็นอันตรายมากนัก และสามารถบรรลุเป้าหมายและได้รับผลประโยชน์ทางการเงินสำหรับผู้โจมตีได้ และนั่นเป็นเรื่องที่น่ากลัวมากจากมุมมองด้านการจัดการตัวตน เพราะเราได้พูดถึงเรื่องสิทธิ์การเข้าถึงระดับสูงไปแล้ว สิทธิ์นั้นคืออะไร? คุณไม่จำเป็นต้องมีสิทธิ์มากนักก็สามารถโจมตีในลักษณะนั้นได้เมื่อคุณเข้าไปในบริษัทแล้ว และนั่นเป็นเรื่องที่น่ากลัวมาก
รอย เอเคอร์แมน (00:09:47,840 – 00:10:16,640)
นั่นก็จริง แต่ผมอยากลองมองจากมุมอื่นดูบ้าง บางทีอาจจะต้องถามว่า บทบาทของ IAM ในห้องวางแผนหรือโต๊ะวางแผนรับมือกับการโจมตีครั้งนี้คืออะไร พวกเขาแค่รับคำสั่งจากทีมรักษาความปลอดภัย หรือมีอะไรอย่างอื่นที่พวกเขาสามารถนำมาใช้เพื่อลดหรือจำกัดความเสียหายได้เร็วขึ้นหรือไม่ ผมสงสัยว่าแต่ละคนคิดอย่างไรเกี่ยวกับเรื่องนี้ หรือในความเป็นจริงแล้ว คุณรับมือกับเรื่องนี้อย่างไร
คริส ลิงค์เลเตอร์ (00:10:17,680 – 00:10:54,880)
ใช่ครับ คือผมเริ่มถามตัวเองตั้งแต่เห็นว่าการโจมตีที่ก่อกวนลดลง แต่การรีดไถยังคงดำเนินต่อไปในอัตราเดียวกัน ว่าอะไรเป็นสาเหตุที่ทำให้เกิดแบบนั้น? และสิ่งหนึ่งที่ผมคิดวนเวียนอยู่เสมอคือ อุปสรรคในการเข้าถึงการขโมยข้อมูลนั้นต่ำมาก ใช่ไหมครับ? อย่างที่คุณพูด สมมติว่าถ้าคุณมีบัญชีของฝ่ายสรรหาบุคลากรในแผนก HR คุณน่าจะเข้าถึงข้อมูลพนักงานจำนวนมากได้ นั่นไม่ใช่บัญชีที่มีสิทธิ์พิเศษในแง่ของไอทีแบบดั้งเดิม
ร็อบ เอนส์ค (00:10:55,120 – 00:11:29,680)
ใช่ครับ และผมคิดว่าการโจมตีบางอย่างแทบจะไม่ต้องใช้ความรู้ทางเทคนิคเลยใช่ไหมครับ? เช่น ถ้าคุณได้หรือเดาข้อมูลประจำตัว (credential) ของ IDP บนคลาวด์ที่เชื่อมโยงกับแอปพลิเคชันจำนวนมาก แล้วเริ่มคลิกไปเรื่อยๆ คุณก็อาจจะเข้าถึงอะไรบางอย่างได้ในที่สุด และคุณอาจจะเจออะไรที่น่าสนใจ ซึ่งอย่างที่คุณบอก คุณสามารถคัดลอกหรือส่งออกเป็นไฟล์ CSV ที่มันจะสร้างให้คุณได้ โดยที่คุณยังไม่ได้ทำอะไรที่ต้องใช้ความรู้ทางเทคนิคเลยใช่ไหมครับ? อุปสรรคในการโจมตีนั้นก็แค่มีคอมพิวเตอร์และการเชื่อมต่ออินเทอร์เน็ตใช่ไหมครับ? และมันค่อนข้างน่ากลัวทีเดียว
รอย เอเคอร์แมน (00:11:29,840 – 00:11:39,760)
และนั่นคือเหตุผลที่ฉันคิดว่าผู้โจมตีชื่นชอบเรื่องอัตลักษณ์มาก ๆ ใช่ไหม? แนวคิดก็คือ คุณสามารถสร้างสิ่งที่เป็นไปไม่ได้ได้จริง ๆ เช่น จินตนาการถึงพลังอำนาจโดยไม่ต้องระเบิดหรือทำอะไรเลย
ร็อบ เอนส์ค (00:11:40,000 – 00:12:39,280)
สิ่งที่ทำให้ผมสนใจเกี่ยวกับการรับมือกับเหตุการณ์ฉุกเฉินอยู่เสมอคือ บ่อยครั้งที่รู้สึกว่าการกระทำที่เราทำนั้นแทบจะไม่เคยเกี่ยวข้องกับเรื่องการระบุตัวตนเลย มักจะเป็นการแยกโฮสต์ การเปลี่ยนแปลงการตั้งค่าเครือข่าย การล็อกระบบ การตัดการเชื่อมต่อ และการเปลี่ยนแปลงครั้งใหญ่ต่อธุรกิจ โดยไม่ได้คำนึงถึงเรื่องการระบุตัวตนในอดีต แม้แต่เครื่องมือระบุตัวตนที่เราเคยใช้ ก็เหมือนกับการใช้ค้อนทุบเพื่อปิดการใช้งานหรือลบสิทธิ์จำนวนมาก มันดูไม่เข้ากับระบบอินเทอร์เน็ตเลย ผมเกือบจะใช้คำว่า "แบบเกษตรกรรม" แล้ว แต่คิดว่ามันไม่ยุติธรรม มันเป็นเครื่องมือที่เรามี แต่ก็เป็นประเด็นที่น่าสนใจหากเครื่องมือหลักคือการระบุตัวตน และเราจะสามารถกู้คืนได้อย่างแม่นยำมากขึ้นได้อย่างไร เพราะผมคิดว่านั่นเป็นกุญแจสำคัญ ผมไม่อยากส่งผลกระทบต่อธุรกิจมากเกินความจำเป็น แต่ผมก็ต้องควบคุมสถานการณ์นี้ด้วย มันเป็นความตึงเครียดที่น่าสนใจตรงนั้น
คริส ลิงค์เลเตอร์ (00:12:39,680 – 00:13:45,280)
มันเป็นสถานการณ์ที่ตึงเครียดมาก คำว่า "ตึงเครียด" น่าจะเป็นคำที่เหมาะสมที่สุด โดยเฉพาะในองค์กรที่อาจไม่มีแนวคิดที่ชัดเจนว่าข้อมูลประจำตัวใดมีบทบาทหรือหน้าที่ทางธุรกิจอย่างไรบ้าง ใช่ไหมครับ? โดยปกติแล้ว ข้อมูลประจำตัวของมนุษย์นั้นดี เพราะเป็นข้อมูลประจำตัวเดียวที่กำหนดให้กับบุคคลหนึ่งคน มันค่อนข้างชัดเจนว่าเราจะส่งผลกระทบต่อใครหากเราเปลี่ยนแปลงข้อมูลประจำตัวนั้น แต่เมื่อคุณเข้าสู่พื้นที่ของบัญชีบริการและข้อมูลประจำตัวที่ไม่ใช่มนุษย์ จะมีความกังวลอย่างมากว่าหากเราปิดใช้งานบัญชีหรือลดสิทธิ์ของบัญชี เราอาจจะหยุดการทำงานของธุรกิจบางอย่าง และในบางธุรกิจ นั่นอาจไม่เป็นไร แต่เมื่อคุณเข้าสู่พื้นที่ที่มีระบบควบคุมอุตสาหกรรม การผลิต หรือการดูแลสุขภาพ มีความเป็นไปได้ที่การปิดใช้งานข้อมูลประจำตัวอาจทำให้บริการที่สำคัญต่อการช่วยชีวิตหยุดชะงัก และในสถานการณ์เหล่านั้น ยิ่งคุณมีข้อมูลเกี่ยวกับข้อมูลประจำตัวที่มีอยู่ในสภาพแวดล้อมของคุณมากเท่าไหร่ คุณก็จะยิ่งสามารถตอบสนองได้อย่างแม่นยำและมีประสิทธิภาพมากขึ้นเท่านั้น
ร็อบ เอนส์ค (00:13:45,600 – 00:13:46,120)
ฉันเห็นด้วย.
รอย เอเคอร์แมน (00:13:46,120 – 00:14:43,360)
ใช่ครับ เรากำลังสร้างการแบ่งแยกบางอย่าง และโปรดอย่าลังเลที่จะโต้แย้งกับผม ระหว่างการควบคุมและการปิดกั้นความสามารถของผู้โจมตีในการเคลื่อนไหวหรือยกระดับการโจมตี ในส่วนแรก เรากำลังจัดการกับข้อมูลประจำตัวที่ถูกบุกรุกหรือถูกบุกรุก และเราพยายามจำกัดมันในลักษณะที่เครื่องหรือบุคคลที่ถูกต้องยังคงสามารถใช้งานได้ เพื่อให้หากมีการปฏิบัติภารกิจที่สำคัญต่อชีวิตหรืออะไรก็ตาม มันก็จะยังคงดำเนินต่อไปได้ แต่ผู้โจมตีจะอยู่ห่างออกไปหรืออย่างน้อยก็ถูกจำกัดอย่างมาก ดังนั้นเราจึงพยายามควบคุมและป้องกันไม่ให้การแพร่กระจายดำเนินต่อไป และในอีกด้านหนึ่ง คุณก็รู้ว่าเราพยายามทำให้แน่ใจว่าขั้นตอนต่อไปของผู้โจมตีจะไม่ประสบความสำเร็จอย่างแท้จริง หรือบางทีอาจเป็นการทำให้ง่ายเกินไป ผมพยายามสรุปให้เข้าใจง่ายๆ สำหรับภารกิจที่ขับเคลื่อนด้วย IAM ครับ
ร็อบ เอนส์ค (00:14:44,160 – 00:15:35,360)
สิ่งที่น่าสนใจจริงๆ เกี่ยวกับสิ่งที่คุณเพิ่งพูดไปก็คือ ความตึงเครียดเดียวกันในเรื่องการควบคุมและการกู้คืน ว่าฉันจะทำอย่างไรกับบัญชีนี้ได้บ้าง? มันจะส่งผลอย่างไรต่อธุรกิจ? และคุณรู้ไหมว่ามันเป็นสิ่งที่ยอมรับได้หรือไม่? มันเป็นความตึงเครียดเดียวกันที่หมายความว่าคุณไม่ได้วางระบบควบคุมเหล่านั้นไว้ล่วงหน้า ใช่ไหม? คุณไม่แตะต้องบัญชีบริการเพราะคุณไม่รู้ว่ามันทำอะไร คุณกลัวที่จะทำให้บางสิ่งบางอย่างเสียหายในนามของธุรกิจของคุณในขณะที่คุณพยายามปกป้องมัน และมันน่าสนใจจริงๆ อย่างที่เราพูดกัน ความตึงเครียดที่อยู่ในนั้น แต่ฉันอยากรู้จากมุมมองด้านอัตลักษณ์ มีเครื่องมือหรือกลไกใดบ้างที่คุณปรารถนาจะมีเพื่อควบคุมมันอย่างแม่นยำมากขึ้นในขณะที่คุณยังคงดำเนินธุรกิจต่อไป? เช่น คุณปรารถนาจะมีอะไรที่บริษัทส่วนใหญ่ในปัจจุบันยังไม่มี?
คริส ลิงค์เลเตอร์ (00:15:35,440 – 00:16:27,040)
รายการสิ่งที่ผมปรารถนาคงยาวเหยียดเสมอ และอย่างที่เราเคยพูดกันไปแล้ว ทุกสิ่งที่เลวร้ายที่เกิดขึ้นกับระบบรักษาความปลอดภัยมักเกิดขึ้นในวันศุกร์ ซึ่งเป็นวันที่คุณลาพักร้อนหรือกำลังจะไปเที่ยวพักผ่อน ผมคิดว่าความจริงสากลอีกประการหนึ่งก็คือ องค์กรที่มีพื้นฐานความเข้าใจเกี่ยวกับสินทรัพย์ของตนเอง รวมถึงข้อมูลประจำตัวต่างๆ มักจะรับมือกับเหตุการณ์ฉุกเฉินได้ดีกว่าองค์กรที่ไม่มี เรื่องนี้จะไม่มีวันเปลี่ยนแปลง ดังนั้นสิ่งหนึ่งที่ผมหวังเสมอว่าองค์กรจะมีเมื่อขอความช่วยเหลือในยามจำเป็นก็คือ ความเข้าใจอย่างถ่องแท้ว่าสินทรัพย์ทั้งหมดของพวกเขาคืออะไร มีจำนวนเท่าใด ข้อมูลประจำตัวเหล่านั้นเชื่อมโยงกับอะไรบ้าง แอปพลิเคชันใดบ้างที่จะใช้งานไม่ได้หากปิดใช้งานบัญชีบริการ เป็นต้น เรายังไม่รู้ด้วยซ้ำว่ามีอะไรอยู่ข้างนอกบ้าง
ร็อบ เอนส์ค (00:16:27,280 – 00:17:32,320)
ใช่ และฉันเห็นด้วยอย่างยิ่งเลย ใช่ไหม? มันเป็นพื้นฐานทั้งในเชิงรุกและเชิงรับ และยังคงเป็นปัญหาสำหรับหลายบริษัทที่ฉันได้พูดคุยด้วย แต่ฉันคิดว่าจากมุมมองด้านการควบคุม และฉันคิดถึงการเคลื่อนไหวในแนวนอนและความเป็นไปได้ในการเคลื่อนที่ผ่านตัวตน ซึ่งส่วนใหญ่มักถูกจำกัดด้วยสิทธิ์อนุญาตใช่ไหม? เช่น สิทธิ์อนุญาตนั้นกว้างขวางแค่ไหน และมันจะจำกัดหรืออำนวยความสะดวกในการเคลื่อนไหวของฉันในแนวนอนหรือแนวตั้งภายในสภาพแวดล้อมได้อย่างไร? และนั่นเป็นจุดที่ยากลำบาก เพราะสิทธิ์อนุญาตเป็นสิ่งที่จัดการได้ยากมากในบางครั้ง ฉันคิดถึงเครือข่ายและวิธีที่เราใช้เครือข่ายเพื่อจำกัดการเคลื่อนไหวและความเป็นไปได้ของการเคลื่อนไหว และฉันคิดว่าแนวคิดของเครือข่ายที่เป็นพาหนะสำหรับการเคลื่อนไหว กำลังถ่ายทอดไปสู่ตัวตน และเราจะมีกลไกที่บอกว่า ตัวตนนี้สามารถเคลื่อนไหวหรือใช้งานได้ในลักษณะนี้เท่านั้นได้อย่างไร นั่นเป็นตัวกระตุ้นที่สำคัญมากสำหรับการฟื้นตัวอย่างรวดเร็วจากสิ่งเหล่านี้ผ่านทางตัวตน
รอย เอเคอร์แมน (00:17:33,280 – 00:18:02,400)
ฉันคิดว่าคุณกำลังพูดถึงกลไกการควบคุมในสถานการณ์หนึ่งใช่ไหม? เรามีระบบที่ถูกบุกรุก ซึ่งอาจถูกสร้างขึ้นโดยมีจุดได้เปรียบสำหรับผู้โจมตี หรือช่องโหว่ หรือการตั้งค่าที่ไม่ถูกต้อง หรืออะไรทำนองนั้น ในฐานะผู้ตอบสนอง คุณต้องการควบคุมทุกส่วนอย่างเต็มที่และตัดสินใจ เหมือนกับอยู่ตรงกลางและตัดสินใจว่าสามารถทำอะไรได้หรือไม่ได้ ใช่ไหม? โดยไม่คำนึงถึงว่าระบบจะถูกสร้างขึ้นมาอย่างไรก็ตาม
คริส ลิงค์เลเตอร์ (00:18:03,600 – 00:18:39,240)
ใช่ครับ คือเราใช้คำนี้กันบ่อยๆ การแบ่งส่วนเครือข่ายโดยไม่แบ่งส่วนตามตัวตนนั้นไร้ประโยชน์โดยสิ้นเชิงใช่ไหมครับ ตัวตนต่างหากที่เป็นตัวกำหนดว่าเราจะข้ามขอบเขตได้บ่อยแค่ไหน มากกว่าที่จะเป็นแบบว่า นี่คือโปรโตคอลเฉพาะที่เราจะบล็อกระหว่างศูนย์ข้อมูลสองแห่ง ความเป็นจริงคือคุณต้องสามารถล็อกอินได้ทุกที่ในศูนย์ข้อมูลทั้งสองแห่ง ดังนั้น หากคุณไม่แบ่งส่วนตามตัวตน งานแบ่งส่วนเครือข่ายที่คุณทำไปก็อาจจะไม่สูญเปล่าทั้งหมด แต่ก็แน่นอนว่าจะไม่เกิดประสิทธิภาพเท่าที่ควร หากคุณนำสองแนวคิดนี้มาใช้ร่วมกัน
รอย เอเคอร์แมน (00:18:39,680 – 00:18:50,800)
ฉันสนใจจุดร่วม หรืออย่างน้อยก็แนวโน้มที่คุณเห็นในองค์กรต่างๆ อะไรคือสิ่งที่องค์กรเหล่านั้น หรือหลายๆ องค์กร ขาดไปในเรื่องการยืนยันตัวตน ซึ่งเป็นสิ่งที่ผู้โจมตีใช้ประโยชน์?
คริส ลิงค์เลเตอร์ (00:18:51,200 – 00:19:55,680)
คุณรู้ไหม สิ่งสำคัญอันดับหนึ่ง อาจจะไม่ใช่สิ่งสำคัญอันดับหนึ่ง แต่เป็นเทรนด์ที่กำลังมาแรงที่เราเห็นมากขึ้นเรื่อยๆ คือ ความสามารถในการควบคุมกลุ่ม ใช่ไหมครับ? องค์กรต่างๆ มักสร้างแนวคิดเรื่องกลุ่มสำหรับตัวตนของพวกเขา กลุ่มคนนี้สามารถทำสิ่งนี้ได้ กลุ่มคนนี้หรือกลุ่มตัวตนนี้สามารถไปทำสิ่งนั้นสิ่งนี้ได้ แต่สิ่งที่พวกเขาไม่ค่อยพิจารณา และนี่ฟังดูง่ายมาก แต่เราเห็นอยู่ตลอดเวลา คือ ใครสามารถควบคุมอะไรในกลุ่มได้บ้าง? สิ่งที่เราพบอยู่เสมอคือ บัญชีที่มีระดับสิทธิ์ต่ำกว่า เช่น ผู้ดูแลระบบฝ่ายสนับสนุนทางเทคนิคทั่วไป แต่ผู้ดูแลระบบฝ่ายสนับสนุนทางเทคนิคคนนั้นมีความสามารถในการเพิ่มบัญชีให้กับผู้ดูแลระบบโดเมน ใช่ไหมครับ? ใช่แล้ว กลุ่มต่างๆ ถูกตั้งค่าอย่างสมบูรณ์แบบ คุณได้มอบสิทธิ์ต่างๆ อย่างถูกต้องแล้ว แต่เนื่องจากคุณไม่ได้ตัดสินใจว่าใครมีความสามารถในการจัดการสมาชิกในกลุ่ม ตอนนี้คุณจึงตกอยู่ในสถานการณ์ที่ยากลำบาก สิ่งเดียวกันนี้ไม่ได้เกิดขึ้นเฉพาะกับกลุ่ม IDP แบบดั้งเดิมเท่านั้น เราเห็นสิ่งเดียวกันนี้เกิดขึ้นในระบบการจัดการสิทธิ์การเข้าถึงอยู่ตลอดเวลา
ร็อบ เอนส์ค (00:19:55,840 – 00:20:51,600)
เห็นด้วยอย่างยิ่ง ฉันก็เคยเจอแบบนี้ในโลกของฉันเหมือนกัน และบอกเลยว่ามันยากมาก เราต้องตรวจสอบการมอบอำนาจทั้งหมดใน Active Directory ก่อน จากนั้นก็ไปดูในระบบคลาวด์ว่า ใครบ้างที่ได้รับมอบอำนาจให้รีเซ็ตรหัสผ่านแทนคนอื่น มีกี่คน? และมันมากกว่าที่เราคิดไว้ในตอนนั้นมาก และครอบคลุมบัญชีต่างๆ มากมาย เพราะคุณต้องคิดว่า ถ้าบัญชีฝ่ายช่วยเหลือสามารถรีเซ็ตบัญชีที่มีสิทธิ์พิเศษอื่นๆ ได้ นั่นหมายความว่าบัญชีที่มีสิทธิ์พิเศษอื่นๆ ก็สามารถรีเซ็ตได้เช่นกัน ใครมีสิทธิ์เพิ่มกลุ่มที่มีสิทธิ์พิเศษลงในบัญชีบ้าง? มีข้อจำกัดอะไรบ้าง? มันเป็นรายละเอียดที่ซับซ้อนมาก แต่สำคัญมาก แต่ฉันไม่ค่อยเห็นบริษัทไหนพูดถึงหรือคิดถึงเรื่องนี้ เพราะมันเป็นปัญหาที่ยากเกินกว่าจะทำความเข้าใจ แต่เรื่องนี้สำคัญมากต่อการบริหารความเสี่ยง
รอย เอเคอร์แมน (00:20:51,600 – 00:21:08,400)
อะไรคือแนวทางปฏิบัติที่ดีที่สุด? คือในแง่ของความปลอดภัย ผมคิดว่าผมเคยเห็นคนทำสถิติไว้สูง เป็นบริษัทในกลุ่ม Fortune 20 รุ่นที่ 4 มีพนักงานหลายแสนคน และมีกลุ่มบริษัทอีกจำนวนเท่ากัน ซึ่งฟังดูบ้ามากใช่ไหมครับ? ดังนั้น...
ร็อบ เอนส์ค (00:21:08,400 – 00:21:56,320)
สิ่งที่ยากคือ มันไม่ใช่เรื่องผิดปกติ และคนก็จะประหลาดใจเมื่อพวกเขาบอกว่า อ้อ มีการเปลี่ยนแปลงโครงสร้างไฟล์เกิดขึ้น และจู่ๆ ก็มีสิทธิ์การเข้าถึงต่างๆ ที่เราไม่รู้มาก่อน และเราโชคดีที่เจอเข้า แล้วคุณก็คิดว่า นี่ไม่ใช่สิ่งสำคัญที่สุดที่เราต้องควบคุมใช่ไหม? มันซับซ้อนเกินไป มันถูกสร้างขึ้นมาใหม่ตลอด 25-30 ปีของการดำเนินธุรกิจ เรากลัวที่จะแตะต้องมันเพราะเราอาจจะทำให้ธุรกิจเสียหายได้ แต่แล้วเราจะกลับไปใช้วิธีไหน? เพราะถ้าหากวิธีนั้นไม่ได้ผล และเรามีบัญชีผู้ใช้ที่มีสิทธิ์พิเศษพร้อมการตรวจสอบสิทธิ์ด้วยชื่อผู้ใช้และรหัสผ่าน สิทธิ์การเข้าถึงแบบคงที่ที่เปิดใช้งานอยู่เสมอ สำหรับผมแล้ว นั่นคือการผสมผสานที่เลวร้ายที่สุดระหว่างการควบคุมสิทธิ์ที่ไม่เข้มงวด กับบัญชีที่ถูกโจมตีได้ง่าย ใช่ไหม? มันรู้สึกอันตราย
คริส ลิงค์เลเตอร์ (00:21:56,880 – 00:21:57,440)
อย่างแน่นอน
ร็อบ เอนส์ค (00:21:57,440 – 00:22:00,000)
แต่สิ่งนั้นถูกนำไปใช้ประโยชน์จริงหรือ? นั่นคือสิ่งที่ผู้โจมตีมองหาใช่หรือไม่?
คริส ลิงค์เลเตอร์ (00:22:00,920 – 00:22:32,080)
ตลอดเวลาเลยใช่ไหม? และส่วนใหญ่เกิดจากการที่องค์กรจำนวนมากมีแนวคิดที่เน้นการปฏิบัติตามกฎระเบียบ การปฏิบัติตามกฎระเบียบอาจกำหนดว่าคุณต้องมีการควบคุมการเข้าถึงตามบทบาทสำหรับแอปพลิเคชัน และวิธีที่ง่ายที่สุดในการควบคุมการเข้าถึงตามบทบาทก็คือการมีกลุ่มของ...บทบาท ใช่ไหม? แต่ก็อีกนั่นแหละ ไม่มีขั้นตอนต่อไปในการตรวจสอบการปฏิบัติตามกฎระเบียบที่บอกว่า โอ้ เราต้องตรวจสอบให้แน่ใจว่ามีกระบวนการบางอย่างที่เราตรวจสอบและรับรองอยู่เสมอว่าไม่มีใครอยู่ในบทบาทที่ไม่ถูกต้อง มันเป็นเพียงแค่ว่าคุณต้องมีการเข้าถึงตามบทบาท
รอย เอเคอร์แมน (00:22:32,720 – 00:22:36,400)
ใช่แล้ว เครือข่ายที่นั่นค่อนข้างซับซ้อนทีเดียว
ร็อบ เอนส์ค (00:22:36,720 – 00:22:52,720)
ถ้าคุณลองคิดดูเกี่ยวกับ… อัตลักษณ์ และคำแนะนำบางอย่างที่คุณให้แก่ลูกค้าหลังจากเหตุการณ์เหล่านี้เกิดขึ้น อะไรคือสามสิ่งสำคัญที่สุดที่คุณบอกพวกเขาว่าพวกเขาควรจัดการให้ได้ และคุณฝากไว้ให้พวกเขาคิดต่อ?
คริส ลิงค์เลเตอร์ (00:22:53,600 – 00:22:58,720)
ดังนั้นคำศัพท์ที่เราชอบใช้คือ การปรับปรุงอัตลักษณ์ให้ทันสมัย
ร็อบ เอนส์ค (00:22:59,080 – 00:22:59,200)
เอาล่ะ
คริส ลิงค์เลเตอร์ (00:22:59,880 – 00:23:10,160)
องค์กรหลายแห่งยังคงใช้โครงสร้างอัตลักษณ์พื้นฐานแบบเดิมอยู่ คุณรู้ไหม เราพูดเล่นกันว่ามีผู้ให้บริการอัตลักษณ์หลายรายที่เก่าแก่พอที่จะซื้อเบียร์ได้แล้ว
รอย เอเคอร์แมน (00:23:11,920 – 00:23:12,920)
และนี่เป็นความจริง
คริส ลิงค์เลเตอร์ (00:23:14,080 – 00:24:03,440)
ดังนั้นเราจึงต้องกลับมาทบทวนเรื่องนี้กันใหม่ใช่ไหมครับ เราไม่เพียงแต่ต้องดูที่ผู้ให้บริการยืนยันตัวตน (IDP) เท่านั้น แต่เราต้องดูว่าเรากำลังแบ่งกลุ่มตัวตนอย่างไร เราต้องการเปลี่ยนจากผู้ให้บริการยืนยันตัวตนแบบเดิมๆ ไปสู่สิ่งที่ทันสมัยกว่าหรือไม่ ไม่ว่าจะเป็นการยืนยันตัวตนบนคลาวด์หรือแบบไฮบริด ซึ่งจะให้ความยืดหยุ่นมากขึ้นในการขับเคลื่อนธุรกิจไปข้างหน้า และอีกครั้ง เราพยายามที่จะรวมทุกอย่างเข้ากับแนวคิดของการปรับปรุงให้ทันสมัยใช่ไหมครับ การจัดการตัวตนและการเข้าถึงจะไม่หายไปจากองค์กรใดๆ แต่ถ้าเรามองว่า สิ่งที่เราใช้มา 20-25 ปีนั้นใช้ไม่ได้ผลแล้ว เราต้องเปลี่ยนไปใช้อะไรเพื่อให้เรามีโอกาสที่ดีกว่าในการป้องกันไม่ให้สิ่งไม่ดีเกิดขึ้นภายในสภาพแวดล้อมของเรา
ร็อบ เอนส์ค (00:24:03,520 – 00:24:50,800)
ใช่ครับ และผมคิดว่าสิ่งหนึ่งที่ผมคิดถึงคือเรื่องความสม่ำเสมอ การสร้างความเท่าเทียมกันในแง่ของข้อมูลประจำตัว เพราะสิ่งที่ผมมักพบคือองค์กรต่างๆ อาจมีความแข็งแกร่งในระบบคลาวด์มากกว่าในระบบภายในองค์กร หรืออาจแข็งแกร่งในผู้ให้บริการรายหนึ่งมากกว่าอีกรายในระบบคลาวด์ และสำหรับผมแล้ว นั่นคือสิ่งที่ผู้โจมตีมองหา พวกเขามองหาความไม่สม่ำเสมอ พวกเขามองหาจุดอ่อนที่สุดและสิ่งที่ได้รับการปกป้องน้อยที่สุด ดังนั้นผมคิดว่าการปรับปรุงให้ทันสมัย การสร้างความสม่ำเสมอ และการสร้างความสม่ำเสมอในเรื่องข้อมูลประจำตัวนั้น เป็นสิ่งที่ผมพูดถึงบ่อยๆ เพราะผมคิดว่ามันเป็นสิ่งสำคัญที่สุดในการป้องกันการโจมตีประเภทนี้
คริส ลิงค์เลเตอร์ (00:24:51,120 – 00:25:12,200)
ใช่ ฉันเห็นด้วย 100% และฉันคิดว่า วิธีที่ง่ายที่สุดที่จะหาว่าอะไรผิดพลาดเกี่ยวกับความสม่ำเสมอของคุณ คือการจ้างทีมเรดทีม พวกเขาจะเข้ามาและแสดงให้คุณเห็นอย่างรวดเร็วว่าจุดอ่อนของคุณอยู่ที่ไหน และค่าใช้จ่ายก็ถูกกว่าการเคลมประกันไซเบอร์อย่างมาก ดังนั้นเราจึงสนับสนุนให้องค์กรต่างๆ ทำเช่นนั้น
รอย เอเคอร์แมน (00:25:12,200 – 00:25:38,400)
ก่อนที่เราจะเริ่มวิเคราะห์บทเรียนที่เราได้เรียนรู้ ผมอยากจะเปลี่ยนหัวข้อสนทนาสักเล็กน้อย เมื่อเราพูดถึงความก้าวหน้าของ AI และทุกคนพูดถึงโมเดล AI ที่อยู่ในการบริการของคุณ ในฐานะผู้โจมตีหรือผู้ป้องกัน คุณเคยเผชิญกับโมเดล AI ที่เป็นส่วนหนึ่งของการโจมตีที่ทีมของคุณต้องรับมือหรือไม่? เช่น คุณกำลังต่อสู้กับโมเดล หรือการกระทำที่อิงตามโมเดล?
คริส ลิงค์เลเตอร์ (00:25:38,760 – 00:26:05,960)
ฉันคิดว่าเรายังไปไม่ถึงจุดนั้น แต่ฉันคิดว่ามันกำลังจะมาถึงในเร็วๆ นี้ ฉันคิดว่าสิ่งหนึ่งที่การนำ AI มาใช้ในประเด็นการโจมตีและการป้องกันกำลังทำอยู่ก็คือ การบังคับให้ทุกคนตระหนักว่าคุณต้องมีพื้นฐานที่ถูกต้อง เพราะคุณจะไม่มีเวลาตอบโต้ ดังนั้นสิ่งที่ฉันคิดว่า AI กำลังทำอยู่ก็คือ การบังคับให้เราเร่งความเร็วในสิ่งที่เราเคยทำได้ช้าในอดีต
ร็อบ เอนส์ค (00:26:06,000 – 00:26:42,640)
ฉันเห็นด้วยอย่างยิ่ง มันจะเปิดเผยสิ่งต่างๆ ที่เราไม่ค่อยภาคภูมิใจนักที่เกิดขึ้นในช่วง 25-30 ปีที่ผ่านมา คุณรู้ไหม สิ่งที่เราอาจเรียกว่ามรดก เราไม่ควรลืมมันไป พวกมันจะไม่ใช่มรดกถ้ามันยังถูกใช้โดยธุรกิจและเป็นประโยชน์ต่อธุรกิจใช่ไหม? มันอาจเป็นมรดกของเรา เราอาจไม่ชอบมัน แต่พวกมันไม่ใช่มรดกของธุรกิจ พวกมันมีความสำคัญต่อธุรกิจ และนั่นคือจุดที่เราต้องเชื่อมช่องว่างนั้น ในแง่ของการปรับปรุงให้ทันสมัย มันไม่ง่ายนัก แต่เราจะทำให้สิ่งต่างๆ แข็งแกร่งขึ้นได้อย่างไร Active Directoryใช่ไหม? โดยที่ไม่พูดว่า "โอ้ ฉันจะย้ายไปใช้ระบบคลาวด์ แต่ว่ามันจะใช้เวลาห้าปี" และในระหว่างนั้น ฉันก็จะยอมรับความเสี่ยงนั้นไป
รอย เอเคอร์แมน (00:26:42,640 – 00:27:27,360)
ผมคิดว่าผู้บังคับบัญชาของผมในกองทัพมักจะพูดว่า สำหรับบางคน คุณยังไม่พร้อมและไม่มีเวลาใช่ไหมครับ? และผมคิดว่าบางครั้งเราจำเป็นต้องคิดค้นสิ่งใหม่ๆ และทำอะไรที่อยู่นอกกรอบ เพื่อเร่งความพร้อมของเรา บางครั้งเราไม่สามารถปรับโครงสร้างและสร้างความสอดคล้องได้ บางครั้ง...เราจำเป็นต้องลงมือทำอย่างรวดเร็วเพื่อเตรียมพร้อมสำหรับสิ่งที่จะเกิดขึ้น และอย่างน้อยที่สุด ขั้นตอนการตอบสนองก็จะแข็งแกร่งขึ้นมาก และนั่นจะทำให้พวกแมนเดียนต์เข้ามาช่วยชีวิตเราหรือเรียนรู้จากเรา อย่างน้อยเราก็จะสามารถตอบสนองได้อย่างถูกต้อง และผมคิดว่าถึงเวลาแล้วที่จะต้องถามคำถามอย่างรวดเร็ว และผมเชื่อว่าคริสคงคุ้นเคยกับเรื่องพวกนี้แล้วใช่ไหมครับ? เขาจำเป็นต้องตอบคำถามที่สำคัญๆ เหล่านั้น
ร็อบ เอนส์ค (00:27:27,880 – 00:27:34,880)
ยืนหยัดด้วยเท้าของเขาเอง ด้วยสัญชาตญาณ งั้นเรามาเริ่มกันเลย อะไรคือความเชื่อผิดๆ เกี่ยวกับอัตลักษณ์อย่างหนึ่ง?
คริส ลิงค์เลเตอร์ (00:27:36,200 – 00:28:15,880)
นั่นเป็นคำถามที่ยาก ฉันคิดว่าความเข้าใจผิดเกี่ยวกับอัตลักษณ์คือ มีนโยบายรหัสผ่านแบบเดียวที่ใช้ได้กับทุกองค์กร เราถูกถามอยู่ตลอดเวลาว่า นโยบายรหัสผ่านของฉันควรเป็นอย่างไร? เป็นคำถามที่ดี แต่คำตอบนั้นไม่เหมือนกันสำหรับทุกองค์กร และฉันคิดว่ามีหลายคนที่อยากได้คำตอบง่ายๆ สำหรับคำถามนั้น แต่ฉันคิดว่าความเข้าใจผิดคือ มันง่าย ความเป็นจริงคือ ทุกองค์กรจำเป็นต้องพิจารณาความต้องการเฉพาะของตนเอง และหาว่าอัตลักษณ์และนโยบายที่เป็นไปได้ควรเป็นอย่างไร โดยพิจารณาจากแบบจำลองภัยคุกคามและเป้าหมายที่องค์กรต้องการบรรลุ
ร็อบ เอนส์ค (00:28:16,240 – 00:28:22,000)
ฉันเห็นด้วยอย่างยิ่ง ดังนั้นข้อที่สอง สิ่งหนึ่งที่ผู้นำมักทำผิดพลาดคืออะไร?
คริส ลิงค์เลเตอร์ (00:28:22,480 – 00:28:34,080)
สิ่งหนึ่งที่ผมเริ่มสังเกตเห็นคือ องค์กรต่างๆ ได้ใช้เวลาตลอดห้าปีที่ผ่านมาในการรักษาเอกลักษณ์ของบุคคล
ร็อบ เอนส์ค (00:28:34,160 – 00:28:34,440)
ขวา.
คริส ลิงค์เลเตอร์ (00:28:35,080 – 00:29:08,280)
และที่จริงแล้วเราก็ทำได้ดีขึ้นมาก เรามี MFA (Multiple Fischer-Factor) การลองใช้ MFA ครั้งแรกอาจจะไม่ดีนัก เราใช้ MFA แบบผลักดัน (push-based MFA) ซึ่งมีสองอย่างที่ไม่ได้ผล แต่เราได้ลองใหม่อีกครั้ง และทำได้ดีขึ้นมาก ดังนั้นอัตลักษณ์ของมนุษย์จึงอาจจะยังไม่สมบูรณ์แบบ แต่ก็ดีขึ้นอย่างเห็นได้ชัด แต่ความสนใจที่มุ่งไปที่อัตลักษณ์ของมนุษย์นั้น ผมคิดว่าได้ลดความสนใจไปที่อัตลักษณ์ที่ไม่ใช่มนุษย์ลงไปด้วย และผมคิดว่าภายในองค์กร ทั้งสองอย่างนี้ต้องได้รับการปฏิบัติด้วยระดับความสำคัญที่เท่าเทียมกัน
ร็อบ เอนส์ค (00:29:09,040 – 00:29:26,720)
ใช่ เห็นด้วย ฉันเห็นบริษัทต่างๆ ลงทุนในดัชนีใดดัชนีหนึ่ง และอาจจะลงทุนมากเกินไปในดัชนีใดดัชนีหนึ่งด้วยซ้ำ ฉันคิดว่าการรักษาสมดุลให้ถูกต้องนั้นสำคัญมาก เพราะมีวิธีการที่แตกต่างกันออกไปที่จะนำมาใช้ แต่ทั้งสองอย่างก็สำคัญ ทั้งสองเป็นช่องทางที่เป็นไปได้ ดังนั้นคำถามต่อไปคือ ความจริงที่ยากจะยอมรับข้อหนึ่งคืออะไร?
คริส ลิงค์เลเตอร์ (00:29:27,320 – 00:30:06,480)
ผมคิดว่าความจริงที่ยากที่สุดในตอนนี้คือการยอมรับว่าเราไม่รู้เลยว่าสุดท้ายแล้วเราจะไปถึงจุดไหนในเรื่องการโจมตีและการป้องกัน รวมถึงปัญญาประดิษฐ์ (AI) เราไม่รู้จริงๆ ว่ามันจะเป็นอย่างไร อาจจะมีวันที่ยากลำบากรออยู่ข้างหน้า อาจจะมีชัยชนะครั้งใหญ่รออยู่ข้างหน้า มันอาจจะสลับไปมา แต่ผมคิดว่าความจริงที่ยากคือเราไม่รู้จริงๆ ว่าอุตสาหกรรมของเราจะเป็นอย่างไรในอีกสองถึงห้าปีข้างหน้า และผมคิดว่าใครก็ตามที่สามารถบอกคุณได้อย่างแม่นยำว่าเราจะเป็นอย่างไรกับ AI ในอีกสองถึงห้าปีข้างหน้า อาจจะมั่นใจมาก แต่ผมคงไม่มั่นใจในคำตอบของพวกเขาเท่าไหร่
ร็อบ เอนส์ค (00:30:06,880 – 00:30:11,760)
ใช่ ฉันคิดว่าสิ่งเดียวที่แน่นอนเกี่ยวกับเรื่องนี้คือความไม่แน่นอน ดังนั้นฉันคิดว่าคุณพูดถูกทั้งหมดเลย
รอย เอเคอร์แมน (00:30:11,840 – 00:30:13,840)
เราควรใช้ชีวิตให้คุ้มค่าในตอนนี้ไม่ใช่เหรอ?
ร็อบ เอนส์ค (00:30:15,320 – 00:30:20,120)
สนุกกับมันในขณะที่มันยังดีอยู่ และคำถามสุดท้ายของเรา รอย คุณอยากจะเสนอคำถามสุดท้ายให้เราไหม?
รอย เอเคอร์แมน (00:30:20,120 – 00:30:25,440)
อันที่ฉันชอบที่สุดคือ "บอกเทรนด์อะไรสักอย่างที่คุณคิดว่ามันถูกโปรโมทเกินจริงไปหน่อย"
คริส ลิงค์เลเตอร์ (00:30:25,760 – 00:31:04,360)
มีหลายสิ่งหลายอย่างที่ถูกพูดเกินจริง และในฐานะอุตสาหกรรม เราก็เก่งเรื่องการพูดเกินจริงเช่นกัน ดังนั้นผมจึงรู้สึกว่านี่คือสภาพแวดล้อมที่เต็มไปด้วยเป้าหมาย แต่สิ่งหนึ่งที่ผมได้ยินหลายองค์กรเริ่มพูดถึง ซึ่งไม่เข้ากับแบบจำลองภัยคุกคามของพวกเขา คือการเข้ารหัสลับหลังควอนตัม ผมคิดว่าเราจะไปถึงจุดนั้นได้ด้วยกันในฐานะอุตสาหกรรม เราจะไปถึงโลกของการเข้ารหัสลับหลังควอนตัมในที่สุด และผมคิดว่าหลายองค์กรกำลังใช้เวลาคิดหาวิธีแก้ปัญหานั้น ในขณะที่พวกเขามีสิ่งที่ง่ายกว่ามากที่พวกเขาสามารถใช้เวลาไปกับการปรับปรุงนโยบายความปลอดภัยของตนได้
รอย เอเคอร์แมน (00:31:05,000 – 00:31:05,600)
น่าสนใจ
ร็อบ เอนส์ค (00:31:05,920 – 00:31:06,080)
ใช่.
รอย เอเคอร์แมน (00:31:06,080 – 00:31:29,440)
เยี่ยมมากครับ คือมันก็เป็นปัญหาอยู่นะ แต่ยังมีปัญหาที่สำคัญกว่านี้อีกเยอะ และด้วยเหตุนี้ คุณคริส เราขอขอบคุณคุณมากที่มาเป็นแขกรับเชิญของเราในวันนี้ เราสนุกกับการสนทนามาก และผมคิดว่าเราได้อะไรหลายอย่างกลับไป เราต้องเตรียมพร้อมสำหรับสงครามครั้งต่อไปในฐานะ IAM และในฐานะหน่วยงานรักษาความปลอดภัย ร่วมมือกันอย่างแน่นแฟ้น เดินหน้าฝ่าแสงตะวันไป ครับ และด้วยเหตุนี้ ขอบคุณมากครับ
คริส ลิงค์เลเตอร์ (00:31:30,640 – 00:31:31,840)
เอาล่ะขอบคุณที่มีฉัน
ร็อบ เอนส์ค (00:31:32,520 – 00:31:34,880)
จบลงแล้วสำหรับตอนของรายการ Identity Decoded ในครั้งนี้
รอย เอเคอร์แมน (00:31:35,120 – 00:31:41,280)
หากบทสนทนานี้เปลี่ยนความคิดของคุณเกี่ยวกับความปลอดภัยของข้อมูลส่วนบุคคล โปรดแบ่งปันกับคนที่กำลังเผชิญกับความท้าทายเดียวกัน
ร็อบ เอนส์ค (00:31:41,520 – 00:31:44,880)
และอย่าลืมติดตามรายการเพื่อจะได้ไม่พลาดตอนต่อไปนะคะ