แนวคิดการล่าภัยคุกคาม

การล่าภัยคุกคามคือการค้นหาผู้โจมตีเชิงรุก ซึ่งหลบเลี่ยงการป้องกันอัตโนมัติได้ แทนที่จะรอการแจ้งเตือน นักล่าภัยคุกคามจะออกค้นหาด้วยตนเอง

แนวทางนี้ตั้งสมมติฐานว่าอาจมีการบุกรุกเกิดขึ้นแล้ว และมุ่งพิสูจน์หรือหักล้างสมมติฐานนั้น

การรักษาความปลอดภัยแบบดั้งเดิมเป็นแบบ เชิงรับ เครื่องมือแจ้งเตือนแล้วนักวิเคราะห์จึงตอบสนอง ส่วนการล่าภัยคุกคามเป็นแบบ เชิงรุก มนุษย์จะค้นหาภัยคุกคามที่ไม่มีการแจ้งเตือนใดตรวจพบ

• เชิงรับ: มีการแจ้งเตือนเข้ามา แล้วจึงตรวจสอบ
• เชิงรุก: ตรวจสอบก่อน แล้วจึงอาจพบภัยคุกคาม

การเปลี่ยนมุมมองทางความคิดที่สำคัญคือ สมมติว่าระบบถูกเจาะ แทนที่จะถามว่า 'เราปลอดภัยหรือไม่' นักล่าภัยคุกคามจะถามว่า 'ตอนนี้ผู้โจมตีกำลังซ่อนอยู่ที่ใด'

กรอบความคิดนี้ผลักดันให้คุณค้นหาในจุดที่การป้องกันอ่อนแอที่สุด

การตรวจจับอัตโนมัติจับรูปแบบที่รู้จักได้ ผู้โจมตีที่มีทักษะใช้ เทคนิคใหม่ เครื่องมือที่ใช้ทรัพยากรที่มีอยู่ในระบบ และการกระทำที่ช้าและเงียบซึ่งไม่มีลายเซ็นใดแจ้งเตือน

มนุษย์ค้นพบสิ่งที่เครื่องจักรไม่เคยได้รับคำสั่งให้ค้นหา

นักล่าภัยคุกคามมองหา ตัวบ่งชี้การบุกรุก (ไอ โอ ซี) ซึ่งเป็นวัตถุหลักฐานที่บ่งชี้ว่าอาจมีการบุกรุก

• การเชื่อมต่อขาออกที่ผิดปกติ
• งานตามกำหนดเวลาหรือบริการใหม่
• สายโซ่กระบวนการแม่-ลูกที่น่าสงสัย
• การสร้างบัญชีที่ไม่คาดคิด

ตัวบ่งชี้การบุกรุก (ค่าแฮชที่เป็นอันตราย, IP ที่ทราบว่าเป็นอันตราย) หลีกเลี่ยงได้ง่ายเพียงเปลี่ยนตัวบ่งชี้เหล่านั้น ส่วน พฤติกรรม (ยุทธวิธี เทคนิค และขั้นตอน) เปลี่ยนแปลงได้ยากกว่าสำหรับผู้โจมตี

การค้นหาภัยคุกคามในระดับ成熟จะมุ่งเน้นที่พฤติกรรม ไม่ใช่เพียงตัวบ่งชี้ที่เปลี่ยนแทนกันได้

พีระมิดแห่งความเจ็บปวด จัดอันดับตัวบ่งชี้ตามระดับความเสียหายที่ผู้โจมตีได้รับเมื่อคุณตรวจพบตัวบ่งชี้เหล่านั้น

ค่าแฮชเปลี่ยนได้ง่ายมาก ส่วนยุทธวิธี เทคนิค และขั้นตอนทำให้ผู้โจมตีเจ็บปวดมากกว่า ควรมุ่งเป้าไปที่ระดับสูงของพีระมิด

ผู้ค้นหาภัยคุกคามที่ดีมี ความอยากรู้อยากเห็นและความสงสัยอย่างมีวิจารณญาณ พวกเขาถามว่าเหตุใดกระบวนการจึงทำงานผิดปกติ และไม่ยอมรับคำกล่าวว่า 'คงไม่มีอะไร' โดยไม่ตรวจสอบ

การตั้งคำถามอย่างต่อเนื่องนี้เองที่ช่วยเปิดเผยการบุกรุกที่แฝงตัวอย่างแนบเนียน

คุณไม่สามารถค้นหาสิ่งที่ไม่เข้าใจได้ จงทำแผนผังทรัพย์สิน กระบวนการตามปกติ และการไหลของข้อมูลเครือข่ายที่คาดหมายไว้ก่อน

ค่าฐานของสิ่งที่เป็นปกติช่วยให้คุณสังเกตเห็นสิ่งผิดปกติได้ทันที เช่นเดียวกับการวิเคราะห์การจราจร

การค้นหาภัยคุกคามเป็นกระบวนการทำซ้ำ ได้แก่ ตั้งแนวคิด รวบรวมข้อมูล วิเคราะห์ และนำสิ่งที่เรียนรู้กลับไปปรับปรุงการตรวจจับ

แม้การค้นหาที่ไม่พบสิ่งใดก็ยังช่วยเพิ่มการมองเห็นและสร้างกฎอัตโนมัติใหม่

การค้นหาที่ประสบความสำเร็จไม่จำเป็นต้องค้นพบผู้โจมตี ผลลัพธ์ที่ถูกต้องอาจเป็นการยืนยันการบุกรุก กฎการตรวจจับใหม่ หรือการมองเห็นจุดบอดที่ดีขึ้น

การค้นหาที่ไม่พบสิ่งผิดปกติก็ยังสร้างคุณค่าได้

ทดสอบความเข้าใจของคุณเกี่ยวกับแนวคิดในการค้นหาภัยคุกคาม

คุณได้เรียนรู้แนวคิดในการค้นหาภัยคุกคาม

• การค้นหาภัยคุกคามเป็นเชิงรุก โดยตั้งสมมติฐานว่ามีการบุกรุกแล้วออกค้นหา
• ระบบอัตโนมัติอาจพลาดเทคนิคใหม่และเทคนิคที่แฝงตัวอย่างแนบเนียน
• มุ่งเน้นที่พฤติกรรมและยุทธวิธี เทคนิค และขั้นตอน ไม่ใช่เพียงตัวบ่งชี้การบุกรุกที่เปลี่ยนแทนกันได้
• พีระมิดแห่งความเจ็บปวด: มุ่งเป้าไปที่ระดับสูงเพื่อสร้างความเสียหายแก่ผู้โจมตี
• รู้จักสภาพแวดล้อมของคุณ แม้การค้นหาที่ไม่พบสิ่งผิดปกติก็ยังสร้างคุณค่าได้

ถัดไป คุณจะได้เรียนรู้การค้นหาภัยคุกคามโดยใช้สมมติฐาน