อันตรายจากการปิดใช้งานเครื่องมือรักษาความปลอดภัยก่อนเกิด ransomware

ช่วงเวลาก่อนการโจมตีที่เงียบเชียบ

ผู้โจมตีในโลกไซเบอร์ยุคใหม่กำลังมีความซับซ้อนมากขึ้นเรื่อยๆ ในด้านปฏิบัติการความปลอดภัย การสืบสวนล่าสุดเกี่ยวกับกลุ่ม ransomware ที่มีความเชื่อมโยงกับจีนได้เปิดเผยแนวโน้มที่น่ากังวลว่า ผู้โจมตีได้แทรกซึมเข้าสู่ระบบและปิดการใช้งานเครื่องมือตรวจสอบและตรวจจับความปลอดภัยอย่างเป็นระบบ ก่อนที่จะดำเนินการปล่อย payload สำหรับการเข้ารหัสลับขั้นหลักของตน การทำให้ทีมความปลอดภัย 'ตาบอด' ส่งผลให้ผู้โจมตีสามารถเคลื่อนที่ในเครือข่าย (lateral movement) และขโมยข้อมูล (data exfiltration) ได้โดยไม่ถูกตรวจจับจนกระทั่งสายเกินไป กลยุทธ์นี้เน้นย้ำถึงช่องว่างที่สำคัญในกลยุทธ์ความปลอดภัยแบบดั้งเดิม ซึ่งมักมุ่งเน้นไปที่การตรวจจับ payload ขั้นสุดท้ายมากกว่าการตรวจจับสัญญาณบ่งชี้การถูกบุกรุก (Indicators of Compromise - IoCs) ในช่วงระยะเวลาการสำรวจและเตรียมการ

การเสริมสร้างการป้องกันจากการถูกยับยั้งเครื่องมือ

องค์กรต่างๆ ต้องเปลี่ยนจุดเน้นไปสู่กลยุทธ์ 'defense-in-depth' ที่ตั้งอยู่บนสมมติฐานว่าเครื่องมือรักษาความปลอดภัยที่ปลายทาง (endpoint) อาจล้มเหลวหรือตกเป็นเป้าหมายในบางครั้ง คำแนะนำสำคัญสำหรับผู้นำด้านความปลอดภัย ได้แก่:

1. การใช้การตรวจสอบ 'Heartbeat': ตรวจสอบให้แน่ใจว่ามีการตั้งค่าเอเจนต์ด้านความปลอดภัยให้แจ้งเตือนทันทีหากขาดการเชื่อมต่อกับคอนโซลการจัดการจากส่วนกลาง
2. การสร้างการตรวจสอบแบบ out-of-band: ใช้การวิเคราะห์ทราฟฟิกบนเครือข่ายที่เป็นอิสระจากการทำงานของเอเจนต์ในระดับ endpoint
3. สถาปัตยกรรม Zero Trust: ใช้การควบคุมการเข้าถึงแบบละเอียด (granular access controls) เพื่อจำกัดสิ่งที่ผู้โจมตีสามารถเข้าถึงได้ แม้ว่าพวกเขาจะปิดการใช้งานเครื่องมือรักษาความปลอดภัยไปหนึ่งชั้นแล้วก็ตาม

การให้ความสำคัญกับความสมบูรณ์ของเครื่องมือรักษาความปลอดภัยจะช่วยให้องค์กรลดระยะเวลาที่ผู้โจมตีแฝงตัวอยู่ในระบบ (dwell time) ในกรณีที่พวกเขามีความพยายามที่จะปิดการใช้งานโครงสร้างพื้นฐานด้านการป้องกัน