כללי הזיהוי של פרצות יום-אפס שה-AI אינו יכול לשנות

תעשיית אבטחת הסייבר נמצאת במצב תמידי של תגובה. כל רבעון מביא עמו סוג חדש של איום, טכניקת התחמקות חדשה וראשי תיבות חדשים שמבטיחים להגדיר מחדש את ההגנה. מצב זה יוצר פרדוקס עבור מנהלי אבטחת מידע (CISO) ומנהלי טכנולוגיה (CTO) האחראים על קבלת החלטות ארוכות טווח בנוגע לתשתיות: אסטרטגיות הזיהוי חייבות להישאר רלוונטיות למשך חמש עד עשר שנים, גם כאשר נוף האיומים משתנה כל כמה חודשים. הגנה רב-שכבתית היא חיונית. השאלה הפתוחה היא על מה יש לבסס את השכבות הללו כדי שיעמדו במבחן הזמן עם התפתחות האיומים.

בניית אסטרטגיה עמידה זו מחייבת להסתכל מעבר לשינויים המתרחשים בזירת האיומים ולזהות את מה שלא משתנה: האילוצים הבסיסיים שממשיכים לעצב את אופן התנהגות האיומים, ללא תלות בהתפתחות הכלים. גורמים קבועים אלה מספקים למערכות ההגנה הרב-שכבתיות בסיס יציב להיאחז בו, כך שארכיטקטורת הזיהוי תישאר רלוונטית גם כאשר איומים וטכניקות ספציפיים משתנים. בפוסט זה נתמקד בשלושה מהגורמים הקבועים הללו, משום שיש להם את ההשפעה הישירה ביותר על האופן שבו יש לבנות מערכי זיהוי מודרניים.

הגנה סטטית היא אשליה זמנית. התוקפים מבצעים הנדסה לאחור של אלגוריתמי הזיהוי, חולקים ביניהם טכניקות התחמקות וממשיכים לשפר את שיטותיהם ללא הרף. ברגע שטכנולוגיה הגנתית מוטמעת ונשארת ללא שינוי, היא לא תישאר יעילה לאורך זמן מול יריב נחוש. כך היה מאז שהוטמעה סביבת הבדיקה (sandbox) הראשונה, ותוכנות זדוניות שנוצרו על ידי בינה מלאכותית רק מאיצות את התהליך.

התוצאה המעשית היא שתוכנות זדוניות מתוחכמות אינן צריכות לעקוף את כל שכבות הזיהוי. הן צריכות רק לעקוף את זו שעליה אתם מסתמכים. כעת ניתן לייצר גרסאות חדשות במהירות רבה יותר, לבדוק אותן מול אמצעי ההגנה ולשכלל אותן בלולאות קצרות. מה שבעבר נמשך שבועות של פיתוח, יכול להתבצע כעת במחזורים הנמדדים בשעות.

בסביבות OT, בעיית ההתאמה הולכת ומחמירה. מחזורי התיקונים ארוכים, המערכות נמצאות לרוב בשליטת הספקים, והתוכנה מגיעה באמצעות עדכוני קושחה, חבילות של ספקים וכלים שטחיים שקשה להחליף. אותם קבצים עצמם הופכים למנגנוני הפצה אידיאליים, מכיוון שהם צפויים, אמינים וקשה לבדוק אותם מבלי לשבש את הפעילות.

חלק מהקבצים הללו ניתנים לניקוי, בעוד שאחרים אינם ניתנים לכך. קבצי הפעלה, תמונות קושחה וקבצי תיקון צריכים לפעול כמתוכנן, דבר המגביל את המקומות שבהם ניתן ליישם ניטרול תוכן ושחזור. כתוצאה מכך נותרת קבוצה מצומצמת יותר של שיטות בדיקה ישימות, ובדיקות סטטיות הופכות לעתים קרובות לאמצעי הבקרה המוביל בסביבות רבות מסוג זה, אף על פי שזו הנקודה התורפת שתוקפים למדו לעקוף.

אף מנוע זיהוי אינו משיג תוצאות מיטביות בכוחות עצמו. אין מדובר במגבלה של טכנולוגיה מסוימת, אלא בתכונה סטטיסטית הנובעת משילוב של מסווגים עצמאיים. כאשר מספר מנועים מנתחים את אותו הקובץ בשיטות שונות, שיעורי השגיאה שלהם אינם מצטברים באופן ליניארי. הם מקזזים זה את זה, ויוצרים יכולת זיהוי משולבת העולה בעקביות על ביצועיו של כל מנוע בנפרד, ללא תלות ברמת המתקדמות שלו.

המשמעות ברורה, גם אם היא לא נוחה. תוכנה זדונית מתחמקת אינה צריכה לעקוף כל אמצעי בקרה אפשרי. היא צריכה רק לעקוף את זה שעליו אתם סומכים ביותר. קובץ שעוקף בדיקות מוניטין אך מעורר אינדיקטורים התנהגותיים, או שמצליח לחמוק מזיהוי חתימות אך מפגין דמיון חריג למשפחת תוכנות זדוניות ידועה, ייתפס במערכת רב-שכבתית. במודל חד-מנועי, הוא ימשיך להתקדם.

ברוב הסביבות כבר נעשה שימוש במספר כלים, אך האותות שהם מפיקים לרוב אינם קשורים זה לזה. מערכת אחת מסמנת קובץ כחשוד, אחרת מאשרת שהוא נקי, ושלישית מפיקה אינדיקטורים הדורשים פרשנות ידנית. נטל יצירת הקשרים נופל על כתפי האנליסט.

כתוצאה מכך נוצרים שני מצבי כשל עקביים:

1. התחמקות מצליחה בשקט כאשר איום עוקף את מנגנון הבקרה הראשי ואינו מפעיל בדיקה מעמיקה יותר

1. עוצמת ההתראה גוברת כאשר אותות חופפים או סותרים יוצרים רעש ללא בהירות

בקנה מידה גדול, אף אחת מהתוצאות הללו אינה בת-קיימא. בסביבות בעלות תפוקה גבוהה, הזיהוי או שמפספס את מה שחשוב, או שמציף את הצוות האחראי על התגובה.

MetaDefender מתמודד עם בעיה זו על ידי בניית תהליך הזיהוי כצינור עבודה מאוחד, ולא כאוסף של בדיקות נפרדות. כל שכבה מנתחת את אותו הקובץ מנקודת מבט שונה, והתוצאות משולבות לכדי תוצאה אחת מתואמת.

צינור זיהוי MetaDefender ותרומת האותות

כל שכבה עונה על שאלה אחרת. המוניטין מתייחס למה שכבר ידוע. הניתוח הדינמי חושף את מה שאינו ידוע. הדירוג מספק הקשר, וציד האיומים מקשר בין אירועים מבודדים למשהו שניתן לפעול על פיו. התוצאה היא החלטה אחת המבוססת על כל הראיות הזמינות, ולא ארבע תוצאות נפרדות. בכל ארבע השכבות, הצינור משיג יעילות זיהוי של 99.9% עבור תקיפות "יום אפס".

מוסד פיננסי בינלאומי המעבד קרוב ל-1,000 הודעות דוא"ל חשודות מדי יום ביצע ניתוח דינמי בתוך מרכז הבקרה (SOC) באמצעות סביבת בדיקה מבוססת מכונה וירטואלית (VM) המשולבת באוטומציה מסוג SOAR. המערכת פעלה כראוי עד שהיקף הפעילות גדל. Sandbox התארכו, תקריות בעלות עדיפות גבוהה אילצו התערבות ידנית, והאוטומציה הפכה ל"צוואר בקבוק" במקום לכלי המגביר את היעילות.

באמצעות פריסת MetaDefender בהיקף הרשת, הארגון העביר את תהליך שילוב האותות לשלב מוקדם יותר. הקבצים נותחו לפני העברתם, ולא לאחר הפעלתם בנקודת הקצה. צווארי הבקבוק בתורים בוטלו, זמן הניתוח התקצר מדקות לשניות, ומרכז הבקרה והביטחון (SOC) שב להיות מסוגל להתמקד בחקירות במקום בניהול הצבר העבודה.

קיים הבדל משמעותי בין מערכת זיהוי המשתמשת במקורות מידע חיצוניים על איומים לבין מערכת המפיקה מודיעין בעצמה. לזיהוי המבוסס על מקורות מידע יש מגבלה מובנית: הוא יכול לזהות רק את מה שמישהו אחר כבר מצא, תיעד ושיתף. איומים חדשים, גרסאות משופרות ותקיפות ממוקדות שנועדו לעקוף את תשתית הזיהוי הציבורית נשארים מחוץ לגבולות אלה.

הניתוח הדינמי משנה את המצב. כאשר קובץ מופעל במסגרת בדיקה מבוססת אמולציה, התוצאה אינה מסתכמת רק בפסק דין. היא מספקת אינדיקטורים התנהגותיים, פעילות רשת, נתוני תצורה ועקבות ביצוע. אלה הופכים למידע מודיעיני ממקור ראשון, המאפשר איתור רטרוספקטיבי, קיבוץ וריאנטים וחסימה יזומה, המבוססים על התנהגות שנצפתה בפועל ולא על אינדיקטורים מדווחים.

בתשתיות קריטיות, בשירותים פיננסיים ובסביבות ביטחוניות, ראיות הניתנות לאימות אינן רק העדפה ארכיטקטונית. זוהי דרישה תפעולית הקשורה לתאימות ולביקורת.

מסגרות הרגולציה מצפות יותר ויותר לניתוח ניתן לאימות של איומים לא ידועים, ולא רק לאימות המבוסס על נתונים. פסק דין חד-משמעי ללא ראיות תומכות אינו עומד במבחן ביקורת או חקירה. מערכות זיהוי חייבות להיות מסוגלות להוכיח כיצד התנהג הקובץ, אילו אינדיקטורים הופקו וכיצד התקבלה ההחלטה.

דבר זה משנה גם את האופן שבו ארגונים מבינים את הסיכונים שלהם. סביבה המייצרת מודיעין משלה בונה, לאורך זמן, תמונה מקומית של פעילות האיומים. מתגלים דפוסים החוזרים על עצמם בקמפיינים שונים, בשימוש חוזר בתשתיות ובדפוסי התנהגות חוזרים המכוונים לתהליכי עבודה ספציפיים. מקורות מידע חיצוניים, כמו גם מודיעין שנוצר באופן פנימי, מספקים עומק.

MetaDefender מפיקה מודיעין כחלק מתהליך הזיהוי שלה. כל קובץ המנותח באמצעות ניתוח דינמי מבוסס אמולציה מניב אינדיקטורים התנהגותיים, ממצאים שחולצו וסימנים מתואמים המוזנים חזרה למערכת. הזיהוי הופך לתהליך למידה מתמשך, ולא להחלטה חד-פעמית.

מידע מודיעיני זה אינו נשאר מבודד. הוא מוזן למערכת ה-AI של Predictive Alin, שבה נעשה שימוש בפגיעויות "יום אפס" שאושרו בסביבת בדיקה (sandbox) כדי לאמן מחדש את מודלי הזיהוי שלפני הביצוע. כל איום שאושר מחזק את יכולתה של המערכת לזהות דפוסים דומים בשלב מוקדם יותר, עוד לפני שהביצוע מתרחש. כך נוצר מעגל משוב בין ניתוח מעמיק לחיזוי מהיר.

סוכנות ממשלתית ארצית האחראית על הגנה על מערכות רגישות ונתוני אזרחים ממחישה את ההבדל התפעולי. סביבת הבדיקה הקודמת שלה הפיקה דוחות מפורטים, אך הותירה את האנליסטים לפרש באופן ידני סימנים התנהגותיים מקוטעים, והאמון בזיהוי "יום אפס" נחלש ככל שדגימות מתחמקות הצליחו לחמוק.

לאחר הטמעת MetaDefender , ה-sandboxing הפך מכלי דיווח עצמאי לתהליך זיהוי מאוחד, שהניב תוצאה אחת לכל קובץ, הנתמכת בראיות התנהגותיות מובנות ובדירוג איומים. זהו סוג המודיעין שעליו יכלה הסוכנות סוף סוף לפעול באופן ישיר.