چگونه NDR نسل بعدی SOC را با استفاده از هوش مصنوعی بهبود می‌بخشد

تهدیدات امنیت سایبری در حال پیچیده تر شدن هستند و رهبران امنیتی برای بهبود دفاع خود به راه حل های مبتنی بر هوش مصنوعی روی می آورند.

با گسترش کاربردهای هوش مصنوعی مولد در امنیت، نسل بعدی مرکز عملیات امنیتی (SOC) آماده است تا شیوه شناسایی، بررسی و پاسخگویی سازمان ها به تهدیدات را متحول کند.

این دگرگونی با تشخیص و پاسخ شبکه (NDR)، یک مؤلفه حیاتی که قابلیت‌های SOCهای مجهز به هوش مصنوعی را افزایش می‌دهد، امکان‌پذیر می‌شود و آنها را قادر می‌سازد تا به شیوه‌ای کارآمد و مؤثر عمل کنند.

چشم انداز یک SOC نسل بعدی با قدرت هوش مصنوعی

قبل از اینکه مستقیماً وارد محتوا شویم، ممکن است برخی کنجکاو باشند تا معنای NDR در امنیت سایبری را بدانند. ابزارهای یادگیری ماشینی و هوش مصنوعی پیشرفته NDR که از تاکتیک‌ها، تکنیک‌ها و رویه‌های مختلف نگاشت شده با چارچوب MITER ATT&CK برای تشخیص رفتار تهدید استفاده می‌کنند.

یک SOC را تصور کنید که می تواند مقادیر زیادی از داده ها را غربال کند، الگوها را تشخیص دهد و تهدیدها را با کمترین مداخله انسانی پیش بینی کند. این چشم انداز به واقعیت نزدیک است. امروزه هوش مصنوعی به سه روش اصلی به تیم‌های SOC قدرت می‌دهد:

• پردازش کارآمد داده‌ها: هوش مصنوعی می‌تواند داده‌ها را سریع‌تر از هر تحلیل‌گر انسانی پردازش و تجزیه و تحلیل کند و این امکان را فراهم می‌کند که تهدیدات احتمالی تقریباً فوراً شناسایی شوند.
• همبستگی مشاهدات چندگانه: هوش مصنوعی می تواند مشاهدات متفاوت و به ظاهر نامرتبط را به هم پیوند دهد تا تصویری جامع از فعالیت های مخرب ارائه دهد و سرعت و دقت شناسایی تهدید را بهبود بخشد.
• توسعه خودکار اسکریپت و قوانین: تحلیلگران امنیتی می توانند از هوش مصنوعی برای توسعه و بهبود اسکریپت ها و قوانین تشخیص استفاده کنند و توانایی SOC را برای پاسخ به تهدیدات در حال تکامل بهبود بخشند.

در افق، دو ویژگی دیگر انتظار می رود که SOC ها را بیشتر بهبود بخشد:

• توضیحات زبان طبیعی: ابزارهای هوش مصنوعی با استفاده از مدل‌های زبانی در مقیاس بزرگ (LLM) به زودی می‌توانند مشاهدات را به زبان طبیعی انسان توضیح دهند و درک و عمل در مورد تهدیدات پیچیده را برای تحلیلگران آسان‌تر می‌کنند.
• کمک خلبانان SOC مبتنی بر هوش مصنوعی: این ابزارها تحت نظارت انسان عمل می کنند و پاسخ به حادثه و شکار تهدید را خودکار می کنند. آنها داده‌ها را جمع‌آوری می‌کنند، یافته‌ها را تجزیه و تحلیل می‌کنند، توصیه‌هایی ارائه می‌کنند و کتاب‌های اجرایی را با اجازه انسان اجرا می‌کنند که به طور قابل‌توجهی حجم کار تحلیلگران انسانی را کاهش می‌دهد.

منابع داده حیاتی برای نسل بعدی SOC

یک SOC نسل بعدی برای عملکرد مؤثر به منابع داده چندگانه متکی است. به طور سنتی، بیشتر اطلاعات SOC از ابزارهای Endpoint Detection and Response (EDR) می‌آید که برای شناسایی رفتار مخرب در نقاط پایانی ضروری است. با این حال، همه نقاط پایانی نمی‌توانند عوامل EDR را اجرا کنند و در نتیجه نوردهی قابل توجهی ایجاد می‌شود. بر اساس تله متری ExtraHop، تا 60 درصد از نقاط پایانی ممکن است فاقد پوشش EDR باشند.

اینجاست که دانش آنلاین ضروری می شود. راه‌حل‌های NDR این شکاف‌های دید را با نظارت بر ترافیک شبکه برای نشانه‌های فعالیت مخرب پر می‌کنند. هوش شبکه می‌تواند تهدیدهایی را که ممکن است EDR از دست بدهد، مانند حملات Kerberos Golden Ticket، Cobalt Strike beacon، ترافیک جانبی و رمزگذاری داده‌های اشتراک‌گذاری فایل شناسایی کند. شبکه ستون فقرات تمام ارتباطات دیجیتال است و نظارت بر آن تصویری جامع از تمام تعاملات درون سازمان ارائه می دهد.

هنگامی که داده های EDR با داده های NDR ترکیب می شوند، SOC ها تصویر کاملی از حمله به دست می آورند. EDR به شما می‌گوید کدام شخصیت‌ها در حمله هستند، در حالی که NDR روابط و تعاملات آنها را نشان می‌دهد و عملاً این اطلاعات را به روایتی تبدیل می‌کند که تیم‌های امنیتی می‌توانند بر اساس آن عمل کنند. NDR در پر کردن شکاف ها و ارائه اطلاعات متنی مورد نیاز برای یک وضعیت امنیتی جامع بسیار مهم است.

سه گانه دید SOC

برای دستیابی به حداکثر حفاظت، یک SOC باید ترکیبی از ابزارها را به کار گیرد که دید را در شبکه، نقاط پایانی و گزارش‌ها فراهم می‌کند. این سه نفر شامل:

• تشخیص و پاسخ شبکه (NDR): نمای هوایی از تمام تعاملات شبکه ارائه می‌کند و فعالیت‌هایی را شناسایی می‌کند که ممکن است راه‌حل‌های نقطه پایانی یا مبتنی بر گزارش از دست بروند.
• اطلاعات امنیتی و مدیریت رویداد (SIEM): داده‌های گزارش را از منابع مختلف جمع‌آوری و به هم مرتبط می‌کند و یک نمای متمرکز از رویدادهای امنیتی ارائه می‌دهد و واکنش به حادثه را تسهیل می‌کند.
• تشخیص و پاسخ نقطه پایانی (EDR): نمای دقیق و سطح پایینی از فرآیندهای نقطه پایانی را ارائه می دهد و تعاملات و اقدامات را در هر دستگاه ثبت می کند.

این سه گانه به تیم های امنیتی اجازه می دهد تا به سؤالات مهم در حین پاسخ پاسخ دهند، مانند: دارایی یا حساب قبل و بعد از هشدار چه می کرد؟ فعالیت مخرب از چه زمانی آغاز شد؟ با یکپارچه‌سازی این ابزارها، SOCها می‌توانند اطمینان حاصل کنند که هیچ تهدیدی بدون توجه به منشأ آن نادیده گرفته نمی‌شود.

نقش منحصر به فرد NDR

NDR در مثلث دید SOC منحصر به فرد و ضروری است. در حالی که EDR و SIEM حیاتی هستند، می توانند انواع خاصی از تهدیدات را که NDR می تواند شناسایی کند، از دست بدهند. به عنوان مثال، سوء استفاده‌هایی که در سطح بایوس دستگاه کار می‌کنند می‌توانند از شناسایی EDR جلوگیری کنند و اقدامات مخرب ممکن است همیشه ثبت نشوند. با این حال، به محض اینکه دستگاه در معرض خطر با سیستم‌های دیگر تعامل داشته باشد، این فعالیت‌ها به‌صورت آنلاین قابل مشاهده هستند.

علاوه بر این، مهاجمان پیشرفته اغلب از تونل های HTTPS رمزگذاری شده برای ترکیب با ترافیک معمولی، راه اندازی جلسات فرمان و کنترل (C2) و استخراج داده ها بدون ایجاد عملیات امنیتی استفاده می کنند. راه حل های NDR مانند راه حل های ارائه شده توسط Stellar Cyber ​​در تشخیص این رفتارها ماهر هستند و تضمین می کنند که حتی پیچیده ترین حملات نیز شناسایی و کاهش می یابند.

بهبود قابلیت‌های SOC با NDR مبتنی بر هوش مصنوعی

پلتفرم‌های کارآمد NDR مبتنی بر هوش مصنوعی ابرداده‌های مناسب را جمع‌آوری و تجزیه و تحلیل می‌کنند و آن را با دیدگاه‌های امنیت اطلاعات برگرفته از هوش مصنوعی غنی می‌کنند. این اجازه می دهد تا مهاجمان در زمان واقعی شناسایی شوند و حوادث به طور کامل بررسی شوند. کیفیت و قابلیت اطمینان داده های مورد استفاده برای آموزش سیستم های هوش مصنوعی بسیار مهم است. هر چه داده ها بهتر باشد، تجزیه و تحلیل و پاسخ هوش مصنوعی دقیق تر و کارآمدتر است.

مدل‌های هوش مصنوعی که هوش تهدید را در چندین حوزه تحلیل و مرتبط می‌کند – شبکه، نقطه پایانی، حجم کار ابری، برنامه‌ها و مراکز داده – زمینه بیشتری را فراهم می‌کند و اثربخشی کلی SOC را بهبود می‌بخشد. به عنوان مثال، پلتفرم NDR مبتنی بر هوش مصنوعی Stellar Cyber ​​داده‌ها را از منابع مختلف ادغام می‌کند و از پوشش جامع و شناسایی به موقع تهدیدها اطمینان می‌دهد.

مبارزه با مجرمان سایبری که بر روی هوش مصنوعی کار می کنند

از آنجایی که مجرمان سایبری به طور فزاینده ای از هوش مصنوعی برای تقویت حملات خود استفاده می کنند، اتخاذ اقدامات متقابل مبتنی بر هوش مصنوعی برای سازمان ها ضروری می شود. مجرمان مجهز به هوش مصنوعی از تکنیک های پیچیده برای نفوذ به شبکه ها، نفوذ به داده ها و راه اندازی حملات باج افزار پیچیده استفاده می کنند. برای مقابله با این تهدیدات، SOCهای مجهز به هوش مصنوعی باید به همان اندازه پیچیده باشند و از ابزارهای مبتنی بر هوش مصنوعی برای شناسایی مؤثر، پاسخگویی و کاهش تهدیدات سایبری استفاده کنند.

SOC های مجهز به هوش مصنوعی می توانند به طور چشمگیری میانگین زمان تا وضوح (MTTR) را برای حوادث مهم کاهش دهند و زمان پاسخ را از روزها یا هفته ها به ثانیه یا دقیقه کاهش دهند. با حرکت از یک مدل عملیاتی امنیتی واکنشی و دستی به یک رویکرد پیشگیرانه مبتنی بر هوش مصنوعی، سازمان‌ها می‌توانند جلوتر از مجرمان سایبری باقی بمانند و یک وضعیت امنیتی قوی حفظ کنند.

نتیجه

تشخیص و پاسخ شبکه (NDR) نقش مهمی در افزایش قابلیت‌های نسل بعدی دستگاه‌های SOC مجهز به هوش مصنوعی دارد. این قابلیت دید جامع را فراهم می کند، داده ها را با بینش های مبتنی بر هوش مصنوعی غنی می کند و تشخیص و پاسخ سریع تر و دقیق تر تهدید را امکان پذیر می کند. بنابراین ادغام NDR در سیستم‌های دفاعی مبتنی بر هوش مصنوعی برای سازمان‌هایی که به دنبال حفظ موقعیت امنیتی قوی و پایدار هستند ضروری است.