การปิดช่องว่างการตรวจจับและเมตริก

การทำงานเป็นทีมสีม่วงสร้างข้อมูลจำนวนมาก แต่หากไม่มีตัวชี้วัด ข้อมูลเหล่านั้นก็เป็นเพียงเรื่องเล่าจากประสบการณ์ ตัวชี้วัดเปลี่ยนการฝึกให้เป็นเรื่องราวการปรับปรุงที่มีหลักฐานรองรับสำหรับผู้บริหารและผู้รับผิดชอบงบประมาณ

• แสดงให้เห็นว่าการป้องกันดีขึ้นจริงหรือไม่
• ช่วยจัดลำดับความสำคัญของจุดที่ควรลงทุนแรงงานด้านวิศวกรรมอันมีจำกัด
• ทำให้แนวคิดนามธรรมอย่าง “สถานะความมั่นคงปลอดภัย” เป็นรูปธรรมและติดตามได้

เป้าหมายไม่ใช่การทำคะแนนให้สูงเพียงเพื่อคะแนน แต่คือการปรับปรุงที่วัดผลได้และดำเนินต่อเนื่องเมื่อเทียบกับภัยคุกคามที่เกี่ยวข้อง

ตัวชี้วัดหลักคือความครอบคลุมการตรวจจับ: สัดส่วนของเทคนิคที่ทดสอบแล้วก่อให้เกิดการแจ้งเตือน

คำนวณแยกตามยุทธวิธีและคำนวณรวมทั้งหมด:

เปอร์เซ็นต์ความครอบคลุมอาจทำให้เข้าใจผิด การนับเฉพาะเทคนิคที่คุณเลือกทดสอบจะทำให้ตัวเลขสูงเกินจริง และการนับกฎที่เปราะบางว่า “ครอบคลุม” ก็ทำให้การป้องกันจริงดูดีกว่าความเป็นจริง

• ควรวัดความครอบคลุมโดยเทียบกับชุดเทคนิคที่เกี่ยวข้องกับภัยคุกคาม ไม่ใช่ชุดที่เลือกมาเฉพาะเพื่อให้ได้ผลดี
• ผลลัพธ์ “ตรวจพบ” ต้องมาจากกฎที่แข็งแกร่งและอิงพฤติกรรม
• ผลลัพธ์ที่บันทึกไว้เท่านั้นไม่ใช่ความครอบคลุม แต่เป็นความครอบคลุมที่อาจเกิดขึ้น

จับคู่เปอร์เซ็นต์กับตัวส่วนเสมอ: “80% ของเทคนิค FIN7” มีความหมายมากกว่า “80%” ที่ไม่มีบริบทอย่างมาก

ความรวดเร็วสำคัญพอ ๆ กับการมองเห็น ตัวชี้วัดด้านเวลาสองรายการใช้วัดความรวดเร็วในการตอบสนองของการป้องกัน:

• MTTD — เวลาเฉลี่ยในการตรวจจับ: ตั้งแต่ประทับเวลาการดำเนินการจนถึงประทับเวลาการแจ้งเตือน
• MTTR — เวลาเฉลี่ยในการตอบสนอง: ตั้งแต่การแจ้งเตือนจนถึงการดำเนินการควบคุมเหตุการณ์

เนื่องจากการทำงานเป็นทีมสีม่วงบันทึกช่วงเวลาที่แน่นอนของการดำเนินการแต่ละเทคนิค คุณจึงวัดค่าเหล่านี้ได้อย่างแม่นยำ แทนการประมาณจากข้อมูลเหตุการณ์ที่ยุ่งเหยิง

ช่องว่างแต่ละรายการไม่จำเป็นต้องได้รับการแก้ไขอย่างเร่งด่วนเท่ากัน จัดอันดับช่องว่างตามความเสี่ยง โดยพิจารณาร่วมกันว่าเทคนิคนั้นมีความเป็นไปได้มากเพียงใดและจะสร้างความเสียหายมากเพียงใด

• ความเป็นไปได้สูง + ผลกระทบสูง (เช่น การดึงข้อมูล LSASS) = แก้ไขก่อน
• ความเป็นไปได้ต่ำ + ผลกระทบต่ำ = จัดไว้ในรายการงานค้าง
• พิจารณาว่าเทคนิคนั้นปรากฏในข้อมูลข่าวกรองภัยคุกคามของคุณหรือไม่

การให้คะแนนอย่างง่ายด้วยความเป็นไปได้คูณผลกระทบจะสร้างรายการแก้ไขที่จัดลำดับไว้ ช่วยมุ่งแรงไปยังจุดที่ลดความเสี่ยงในโลกจริงได้มากที่สุด

ก่อนเขียนกฎ ให้ตรวจวินิจฉัยเหตุใดช่องว่างจึงเกิดขึ้น การแก้ไขจะแตกต่างกันไปตามต้นเหตุ:

• ไม่มีข้อมูลการตรวจวัด — เปิดใช้แหล่งข้อมูลที่ขาดหาย (เช่น การกำหนดค่า Sysmon หรือการบันทึกบล็อกสคริปต์)
• มีข้อมูลการตรวจวัดแต่ไม่มีกฎ — เขียนกฎการตรวจจับ
• มีกฎอยู่แต่ไม่ทำงาน — แก้ไขตรรกะหรือตัวกรองที่ระงับกฎนั้น
• การแจ้งเตือนทำงานแต่ถูกเพิกเฉย — เป็นปัญหาด้านกระบวนการ/การคัดกรอง ไม่ใช่ช่องว่างด้านเนื้อหา

การแก้ไขข้อบกพร่องด้านตรรกะเป็นความพยายามที่สูญเปล่า หากไม่เคยรวบรวมบันทึกพื้นฐานนั้นไว้

ช่องว่างที่เป็นพื้นฐานที่สุดคือข้อมูลที่ขาดหาย ตัวอย่างเช่น เปิดใช้การบันทึกบล็อกสคริปต์ของ PowerShell ผ่านนโยบายกลุ่มหรือรีจิสทรี เพื่อให้เหตุการณ์ ID 4104 พร้อมใช้งาน

เมื่อมีข้อมูลการตรวจวัดแล้ว ให้เขียนกฎการตรวจจับและปรับแต่งให้ได้สัญญาณที่มีประโยชน์ กฎที่ไม่ได้ปรับแต่งจะทำให้นักวิเคราะห์จมอยู่กับผลบวกลวงและถูกเพิกเฉย

• เริ่มจากกฎที่ครอบคลุมกว้างเพื่อยืนยันว่าร่องรอยปรากฏขึ้น
• เพิ่มข้อยกเว้นสำหรับกิจกรรมพื้นฐานที่ทราบว่าปลอดภัย
• วัดอัตราผลบวกลวงเทียบกับการรับส่งข้อมูลตามปกติ
• เรียกใช้การจำลองการโจมตีอีกครั้งเพื่อยืนยันว่ากฎยังคงตรวจจับการโจมตีได้

กฎการตรวจจับจะถือว่า “เสร็จสมบูรณ์” ก็ต่อเมื่อทำงานกับการโจมตีได้อย่างน่าเชื่อถือ และไม่ทำงานกับกิจกรรมที่ไม่เป็นอันตราย

ตัวเลขจากการฝึกครั้งเดียวเป็นเพียงภาพ ณ ช่วงเวลาหนึ่ง ส่วนแนวโน้มต่างหากที่บอกเรื่องราวที่แท้จริง ติดตามความครอบคลุมและ MTTD ในแต่ละไตรมาส

• ไตรมาส 1: ความครอบคลุม 45%, MTTD 22 นาที
• ไตรมาส 2: ความครอบคลุม 62%, MTTD 14 นาที
• ไตรมาส 3: ความครอบคลุม 71%, MTTD 9 นาที

แนวโน้มที่ดีขึ้นแสดงให้เห็นว่าการทำงานเป็นทีมสีม่วงให้ผลลัพธ์ แนวโน้มที่ทรงตัวหรือลดลงส่งสัญญาณถึงการเสื่อมถอยของการตรวจจับ หรือการที่การแก้ไขไม่ถูกนำไปใช้จริง

กฎการตรวจจับอาจเสียหายโดยไม่มีสัญญาณเตือนเมื่อสภาพแวดล้อมเปลี่ยนแปลง จัดการกฎเหล่านี้เหมือนรหัสโปรแกรมและทดสอบการถดถอย

• เรียกใช้เทคนิคที่เคยผ่านอีกครั้งในทุกรอบ
• ทำให้การตรวจสอบความถูกต้องอย่างต่อเนื่องเป็นอัตโนมัติ เพื่อให้การตรวจจับที่เสียหายก่อให้เกิดการแจ้งเตือน
• ควบคุมเวอร์ชันเนื้อหาการตรวจจับและตรวจทานการเปลี่ยนแปลง

การตรวจจับที่หยุดทำงานโดยไม่มีใครสังเกตอาจแย่กว่าการไม่เคยมีการตรวจจับเลย เพราะทีมเชื่อว่าตนได้รับการป้องกัน ทั้งที่จริงไม่ได้รับ

ปรับการรายงานให้เหมาะกับผู้รับสาร วิศวกรต้องการรายละเอียดระดับเทคนิค ส่วนผู้บริหารต้องการผลลัพธ์และความเสี่ยง

• สำหรับวิศวกร: ผลลัพธ์รายเทคนิค กฎที่สร้างขึ้น และบันทึกการปรับแต่ง
• สำหรับผู้บริหาร: แนวโน้มความครอบคลุม แนวโน้ม MTTD ความเสี่ยงสำคัญที่ปิดได้และที่ยังเหลืออยู่
• ภาพประกอบ: แผนที่ความร้อนของ ATT&CK Navigator ที่แสดงความคืบหน้าตามเวลา

การนำเสนอผลลัพธ์ในรูปการลดความเสี่ยง ไม่ใช่ข้อมูลทางเทคนิคล้วน ๆ คือสิ่งที่ทำให้โครงการได้รับการสนับสนุนและงบประมาณอย่างต่อเนื่อง

ตอนนี้คุณสามารถวัดและปรับปรุงความครอบคลุมการตรวจจับได้อย่างเคร่งครัด:

• ใช้ความครอบคลุม MTTD และ MTTRเป็นตัวชี้วัดหลัก โดยระบุตัวส่วนเสมอ
• หลีกเลี่ยงภาพลวงตาของความครอบคลุมจากการตรวจจับที่เลือกมาเฉพาะหรือเปราะบาง
• วิเคราะห์ต้นเหตุของทุกช่องว่างก่อนแก้ไข: ข้อมูลการตรวจวัด กฎ ตรรกะ หรือการคัดกรอง
• เปิดใช้ข้อมูลที่ขาดหาย แล้วปรับแต่งกฎให้มีผลบวกลวงต่ำ
• ติดตามแนวโน้มและป้องกันการถดถอยของการตรวจจับที่เกิดขึ้นโดยไม่มีสัญญาณเตือน
• รายงานในรูปการลดความเสี่ยงพร้อมแผนที่ความร้อนของ ATT&CK เพื่อให้โครงการดำเนินต่อไปได้

คุณเรียนจบหลักสูตรการทำงานเป็นทีมสีม่วงแล้ว ซึ่งเชื่อมทีมสีแดงและทีมสีน้ำเงินเข้าด้วยกันเป็นวงจรต่อเนื่องที่วัดผลได้ และทำให้การป้องกันดีขึ้นอย่างพิสูจน์ได้