Рост атак нулевого дня, враждебный ИИ и другие тренды ИБ

Эксперты FortiGuard Labs компании Fortinet провели исследования и сделали прогноз, по каким направлениям, с высокой вероятностью будут действовать киберпреступники в ближайшем будущем и в частности в 2020 году. А также, были даны советы, которые помогут организациям защититься от будущих атак.

Смена направления кибератак

Рост кибератак, по-прежнему сохранится, пока не появится достаточно организаций, которые изменят свой подход к стратегиям защиты. Учитывая масштабы нынешних угроз, скорость и сложность кибератак, организациям придется реагировать на возникающие угрозы в режиме реального времени. Тут станет крайне необходимым применять последние достижения в области искусственного интеллекта (ИИ) и исследования угроз.

Эволюция ИИ для обеспечения безопасности

Одной из долгосрочных целей в разработке ИИ для обеспечения безопасности является создание адаптивной системы невосприимчивости к угрозам, работающей аналогично иммунной системе человека. Разработка такого ИИ первого поколения была направлена на использование различных моделей машинного обучения. Они обучались, корректировались и предлагали определенный план действий для отражения атаки. В системах ИИ второго поколения акцент был сделан на создание механизма интеллектуального анализа. Его уровень значительно вырос к этому времени и позволял выявлять паттерны, существенно улучшавшие работу различных функций, таких как управление доступом, путем размещения обучающихся узлов по всем направлениям защиты. Развитие систем ИИ третьего поколения идет по пути отказа от использования монолитного центра обработки в пользу создания системы региональных обучающихся узлов. Данные накапливаются локально и используются для распределенного сравнения, коррекции и анализа. Это будет иметь крайне важное значение для компаний, которые ищут пути защиты своих разрастающихся периферийных сегментов.

Распределенное машинное обучение

Помимо применения традиционных форм анализа угроз с использованием данных из открытых источников или после изучения внутреннего трафика и накопленной информации, будущие системы машинного обучения начнут со временем активно применять данные, собираемые с периферийных устройств нового поколения и передаваемые на локальные обучающиеся узлы. Отслеживая и сопоставляя информацию в реальном времени, ИИ-система сможет иметь более полное представление о текущем состоянии угроз. Она также сможет корректировать работу локальных устройств, задавая им правила для ответной реакции на инциденты. Это позволит будущим ИИ-системам безопасности распознавать угрозы, корректировать свои действий, отслеживать и быть готовыми к ответным мерам, обмениваясь информацией в пределах сети. В конечном итоге, распределенная система обучения позволит объединить наборы данных, чтобы адаптироваться к изменяющимся условиям, тенденциям и событиям. Таким образом, каждое событие будет улучшать качество всем системы. В результате, информация об инциденте, полученная в одном месте, будет повышать осведомленность о текущих угрозах для всей системы.

Применение ИИ и сценариев реагирования для предсказания кибератак

Внедрение ИИ позволяет компаниям не только автоматизировать выполнение задач, но и открывает возможность создания автоматизированной системы поиска и выявления кибератак – как после появления признаков, так и до реализации сценария. Благодаря совместному использованию машинного обучения и статистического анализа, организации могут разработать индивидуальный план действий с опорой на ИИ для улучшения раскрываемости угроз и реагирования. Подготовленные сценарии реагирования (playbooks) должны научиться выявлять закономерности (паттерны), с помощью которых ИИ будет прогнозировать действия атакующей стороны, подсказать время вероятного начала следующей атаки и даже выявлять подозреваемых, стоящих за угрозой. Если эти данные можно предоставить системе обучения ИИ, то удаленные обучаемые ноды смогут поддержать эффективную и упреждающую защиту, не ограниченную только обнаружением угроз, но позволяющую также предсказывать последующие действия, проактивно вмешиваться в процесс и координировать действия с другими нодами для одновременного противодействия на пути распространения атаки.

Возможности контрразведки и уловки

Одним из наиболее важных факторов борьбы против шпионажа является эффективная контрразведка. Это же справедливо и для кибератак или защиты, где все действия тщательно отслеживаются. Обороняющаяся сторона имеет явное преимущество в доступе к различного рода информации об угрозах. Киберпреступники обычно не обладают такими возможностями, к которым теперь добавились средства машинного обучения и ИИ. Однако применение хитроумных уловок может привести к ответным мерам со стороны злоумышленников. Они учатся отличать легитимный трафик от уловок и стараются делать это незаметно, чтобы не раскрыть себя во время атаки. Чтобы эффективно противостоять такой стратегии, организациям потребуется добавить в свой арсенал сценарии реагирования и улучшенные алгоритмы ИИ. Это поможет не только обнаруживать нарушителей, занятых разбором легитимного трафика, но и улучшит технологию уловок, что сделает невозможным их отличие от легитимных сообщений. В будущем организации должны научиться реагировать на любые шпионские приемы до начала активных действий, сохраняя за собой превосходство в контроле.

Усиление связей между правоохранительными органами

Деятельность организаций, связанная с кибербезопасностью, предоставляет им ряд уникальных привилегий, касающихся доступа к персональной информации; представители преступного мира не обладают таким правом. Это позволяет правоохранительным органам создавать собственные командные центры с глобальным охватом и распространять свои действия на частных лиц, имея возможность наблюдать за киберпреступниками в реальном времени и реагировать на их действия. Существующая система законных действий, а также связи с общественными и частными службами также может быть полезна для выявления нарушителей и ответной реакции. Можно ожидать появления инициатив по формированию единого подхода для связей между правоохранительными органами международного и местного уровней, правительственными организациями, корпоративным сектором и экспертами в области безопасности. Это будет способствовать развитию системы своевременного и безопасного обмена информацией для выстраивания защиты критически важной инфраструктуры и усиления борьбы с киберпреступлениями.

Изобретательность киберпреступников остается на прежнем уровне

Внедрение улучшенных методов обнаружения и противодействия кибератакам приведет к попыткам киберпреступников сделать что-то другое, еще более серьезное. На фоне появления более совершенных методов атаки, расширения направлений потенциальных атак, внедрения более умных ИИ-систем, изобретательность представителей киберпреступного мира также не снижается.

Усовершенствованные методы уклонения

В отчете Fortinet Threat Landscape отмечался рост популярности различных усовершенствованных методик уклонения. Их разработка направлена специально на то, чтобы избегать обнаружения, отключать функции защиты и устройства контроля, наносить урон, работая «под прицелом» систем защиты и применяя тактику LoTL – использование легитимного установленного ПО и маскировка вредоносного трафика под законный. Многие современные вредоносы уже содержат внутри себя функции, позволяющие уклоняться от обнаружения антивирусными программами или другими средствами противодействия угрозам.

Swarm-технология

Последние несколько лет на рынке наблюдался рост популярности swarm technology, связанного с выполнением поставленной задачи за счет массированных, скоординированных, однотипных действий. Применение средств машинного обучения и ИИ в атаках против легитимных сетей и устройств привело к появлению еще одного способа применения этой технологии. С одной стороны, ее достижения имеют важное значение для решения прикладных задач в области медицины, транспорта, машиностроения, автоматизации. Однако при злонамеренном использовании в условиях, когда организации не вносят изменений в свою стратегию защиты, паритет может нарушиться в пользу злоумышленников. Киберпреступники могут применять Swarm-технологию в бот-атаках для проникновения в сеть, подавления внутренних средств обороны, повышения эффективности поиска и кражи данных. Ожидается, что со временем появятся специализированные боты, наделенные определенными функциями, которые будут обмениваться данными в реальном времени и сопоставлять их. В результате возрастет скорость отбора целей, а тактика проведения атаки станет более разнообразной. Киберпреступники смогут атаковать уже не только одну, а и сразу множество целей одновременно.

Использование 5G и Edge-вычислений в качестве оружия

Проникновение сетей 5G может со временем стать катализатором для развития функциональных Swarm-атак. При ненадлежащем использовании 5G и периферийных Edge-вычислений каналом для распространения вредоносного кода могут стать взломанные устройства. Если собрать их в группу, то станет возможным проведение скоординированных атак на скоростях 5G. Принимая во внимание быстродействие, степень интеллектуальности, а также локальный характер проведения таких атак, под угрозой могут оказаться устаревшие технологии защиты, что заставит задуматься о поиске путей для эффективного противостояния таким угрозам.

Ожидается резкий рост атак нулевого дня

До сих пор на поиски уязвимости нулевого дня и разработку эксплойта уходило много сил и времени. Поэтому киберпреступники не торопились с их применением. На сегодня ситуация такова, что увеличился рост направлений для угроз, а также упростились задачи выявления уязвимостей. Это привело к угрозе потенциального роста числа уязвимостей нулевого дня. Применение технологий фаззинга и планомерный поиск («майнинг») уязвимостей нулевого дня с использованием ИИ также способствуют экспоненциальному росту числа подобных кибератак. Поэтому необходимо заблаговременно принимать меры для защиты, чтобы противостоять этому тренду.

Материалы: ko.com.ua

Александр Григорьев ЦСО "Крокус"