การตรวจหาและการตอบสนองต่อภัยคุกคาม (TDR) คืออะไร

เพื่อแก้ไขปัญหาด้านไซเบอร์และปัญหาด้านความปลอดภัยอื่นๆ หลายองค์กรได้จัดตั้งศูนย์การดำเนินการรักษาความปลอดภัย (SOC) - เรียนรู้วิธีที่ทีมศูนย์การดำเนินการรักษาความปลอดภัยตรวจหา จัดลำดับความสำคัญ และคัดกรองภัยคุกคามทางไซเบอร์ที่อาจเกิดขึ้นได้อย่างรวดเร็วศูนย์การดำเนินการรักษาความปลอดภัย (SOC)ซึ่งเป็นฟังก์ชันส่วนกลางหรือทีมที่รับผิดชอบในการปรับปรุงท่าทีการรักษาความปลอดภัยทางไซเบอร์ขององค์กรและป้องกัน ตรวจหา และตอบสนองต่อภัยคุกคาม นอกเหนือจากการเฝ้าตรวจสอบและการตอบสนองต่อการโจมตีทางไซเบอร์ - การโจมตีทางไซเบอร์คือความพยายามในการเจาะระบบความปลอดภัย ขัดขวาง หรือสร้างความเสียหายให้แก่ระบบคอมพิวเตอร์ เครือข่าย หรืออุปกรณ์ดิจิทัล โดยมักจะมีวัตถุประสงค์ที่มุ่งร้าย เช่น การโจรกรรมข้อมูลหรือการฉ้อโกงทางการเงินภัยคุกคามทางไซเบอร์อย่างต่อเนื่อง SOC ยังทํางานเชิงรุกเพื่อระบุภัยคุกคามทางไซเบอร์ที่เกิดขึ้นใหม่และช่องโหว่ขององค์กร ทีม SOC ส่วนใหญ่ ซึ่งอาจอยู่ในสถานที่หรือนอกสถานที่ ดำเนินการตลอดเวลา เจ็ดวันต่อสัปดาห์

SOC ใช้ ข่าวกรองเกี่ยวกับภัยคุกคาม - เรียนรู้วิธีการที่ข่าวกรองเกี่ยวกับภัยคุกคามช่วยให้คุณมีมุมมองที่ครอบคลุมถึงที่มาของภัยคุกคาม กลยุทธ์ที่ผู้ไม่หวังดีใช้ และวิธีการตอบสนองข่าวกรองเกี่ยวกับภัยคุกคามและเทคโนโลยีเพื่อเปิดเผยการละเมิดที่พยายาม สำเร็จ หรืออยู่ระหว่างดำเนินการ เมื่อระบุภัยคุกคามทางไซเบอร์แล้ว ทีมรักษาความปลอดภัยจะใช้เครื่องมือตรวจหาภัยคุกคามและการตอบสนองเพื่อกําจัดหรือลดปัญหา

โดยทั่วไปแล้ว การตรวจหาและการตอบสนองต่อภัยคุกคามจะประกอบด้วยขั้นตอนต่อไปนี้:
 

• การตรวจหา เครื่องมือความปลอดภัยที่ตรวจสอบจุดสิ้นสุด ข้อมูลประจําตัว เครือข่าย แอป และระบบคลาวด์ช่วยในด้านความเสี่ยงและการรั่วไหลที่อาจเกิดขึ้น ผู้เชี่ยวชาญด้านความปลอดภัยยังใช้เทคนิคการไล่ล่าภัยคุกคามไซเบอร์ - การไล่ล่าภัยคุกคามไซเบอร์คือกระบวนการค้นหาในเชิงรุกภัยคุกคามที่ไม่รู้จักหรือตรวจไม่พบทั่วทั้งเครือข่าย อุปกรณ์ปลายทาง และข้อมูลขององค์กรการไล่ล่าภัยคุกคามทางไซเบอร์เพื่อเปิดเผยภัยคุกคามทางไซเบอร์ที่ซับซ้อนซึ่งหลบเลี่ยงการตรวจหา
• การตรวจสอบ เมื่อระบุความเสี่ยงแล้ว SOC จะใช้ AI และเครื่องมืออื่นๆ เพื่อยืนยันว่าภัยคุกคามทางไซเบอร์เป็นจริง กําหนดว่าเกิดขึ้นอย่างไร และประเมินว่าแอสเซทของบริษัทได้รับผลกระทบอย่างไร
• การเก็บข้อมูล เพื่อหยุดการกระจายของการโจมตีทางไซเบอร์ ทีมรักษาความปลอดภัยทางไซเบอร์และเครื่องมืออัตโนมัติจะแยกอุปกรณ์ ข้อมูลประจําตัว และเครือข่ายที่ติดไวรัสออกจากแอสเซทอื่นๆ ขององค์กร
• การกําจัด ทีมจะกําจัดสาเหตุหลักของเหตุการณ์ด้านความปลอดภัยด้วยเป้าหมายในการกําจัดผู้ไม่หวังดีออกจากสภาพแวดล้อมอย่างสมบูรณ์ นอกจากนี้ยังช่วยลดช่องโหว่ที่อาจทําให้องค์กรมีความเสี่ยงต่อการถูกจับทางไซเบอร์ที่คล้ายกัน
• การกู้คืน หลังจากที่ทีมมีความมั่นใจอย่างสมเหตุสมผลว่าภัยคุกคามทางไซเบอร์หรือช่องโหว่ถูกลบออกแล้ว ทีมจะนำระบบที่แยกออกจากกันกลับมาออนไลน์
• รายงาน ทีมรักษาความปลอดภัยจะจัดทำเอกสารและผู้นำโดยย่อ ผู้บริหาร และ/หรือบอร์ดเกี่ยวกับสิ่งที่เกิดขึ้นและวิธีการแก้ไข ทั้งนี้ขึ้นอยู่กับความรุนแรงของเหตุการณ์
• การบรรเทาความเสี่ยง เพื่อป้องกันไม่ให้เกิดการละเมิดที่คล้ายกันอีกครั้งและเพื่อปรับปรุงการตอบสนองในอนาคต ทีมจะศึกษาเหตุการณ์และระบุการเปลี่ยนแปลงที่จะทำกับสภาพแวดล้อมและกระบวนการ

การระบุภัยคุกคามทางไซเบอร์ได้ยากขึ้นเรื่อยๆ เนื่องจากองค์กรได้ขยายขอบเขตระบบคลาวด์ เชื่อมต่ออุปกรณ์กับอินเทอร์เน็ตมากขึ้น และเปลี่ยนไปใช้ที่ทำงานแบบไฮบริด ผู้ไม่หวังดีใช้ประโยชน์จากพื้นที่พื้นผิวที่ขยายตัวนี้และการกระจัดกระจายของเครื่องมือรักษาความปลอดภัยด้วยกลวิธีประเภทต่อไปนี้:
 

• แคมเปญฟิชชิ่ง - เรียนรู้เกี่ยวกับฟิชชิ่ง สิ่งที่ควรมองหาในการโจมตี และวิธีปกป้องตนเองด้วยเครื่องมือและเคล็ดลับเพื่อใช้งานทางออนไลน์อย่างปลอดภัยแคมเปญฟิชชิ่ง หนึ่งในวิธีที่พบบ่อยที่สุดที่ผู้ไม่หวังดีแทรกซึมเข้าไปในบริษัทคือการส่งอีเมลที่หลอกให้พนักงานดาวน์โหลดโค้ดที่เป็นอันตรายหรือให้ข้อมูลประจำตัวของตน
• มัลแวร์ ผู้โจมตีทางไซเบอร์จำนวนมากปรับใช้ซอฟต์แวร์ที่ออกแบบมาเพื่อทำให้คอมพิวเตอร์และระบบเสียหาย หรือรวบรวมข้อมูลที่ละเอียดอ่อน
• แรนซัมแวร์ หนึ่งในชนิดของมัลแวร์ ผู้โจมตีแรนซัมแวร์มีระบบที่สําคัญและตัวจับข้อมูล ข่มขู่ว่าจะปล่อยข้อมูลส่วนตัวหรือขโมยทรัพยากรระบบคลาวด์ไปยังเหมือง Bitcoin จนกว่าจะมีการชําระเงินค่าไถ่ เมื่อไม่นานมานี้ แรนซัมแวร์ที่มนุษย์ดำเนินการซึ่งกลุ่มผู้จับต้องทางไซเบอร์สามารถเข้าถึงเครือข่ายทั้งหมดขององค์กรได้กลายเป็นปัญหาที่เพิ่มขึ้นสำหรับทีมรักษาความปลอดภัย
• การโจมตีโดยปฏิเสธการให้บริการแบบกระจาย (DDoS) เมื่อใช้ชุดบอท ผู้ไม่หวังดีจะรบกวนเว็บไซต์หรือบริการโดยทำให้มีปริมาณการรับส่งข้อมูลจำนวนมาก
• ภัยคุกคามจากภายใน ภัยคุกคามทางไซเบอร์บางอย่างไม่ได้มาจากภายนอกองค์กร ยังมีความเสี่ยงที่บุคคลที่เชื่อถือได้ที่สามารถเข้าถึงข้อมูลที่ละเอียดอ่อนอาจเป็นอันตรายต่อองค์กรโดยไม่ได้ตั้งใจหรือเป็นอันตรายเช่นกัน
• การโจมตีตามข้อมูลประจําตัว การละเมิดส่วนใหญ่เกี่ยวข้องกับข้อมูลประจําตัวที่ถูกโจมตี ซึ่งก็คือเมื่อผู้ขโมยข้อมูลทางไซเบอร์หรือคาดเดาข้อมูลประจําตัวของผู้ใช้ และใช้ข้อมูลดังกล่าวเพื่อเข้าถึงระบบและข้อมูลขององค์กร
• การโจมตีอินเตอร์เน็ตในทุกสิ่ง (IoT) อุปกรณ์ IoT ยังมีความเสี่ยงต่อการโจมตีทางไซเบอร์ โดยเฉพาะอย่างยิ่งอุปกรณ์แบบดั้งเดิมที่ไม่มีตัวควบคุมความปลอดภัยในตัวที่อุปกรณ์สมัยใหม่มี
• การโจมตีห่วงโซ่อุปทาน บางครั้งผู้ไม่หวังดีกําหนดเป้าหมายองค์กรโดยการแก้ไขข้อมูลซอฟต์แวร์หรือฮาร์ดแวร์ที่จัดหาโดยผู้จัดจําหน่ายของบริษัทภายนอก
• การใส่รหัส โดยการใช้ประโยชน์จากช่องโหว่ในวิธีที่โค้ดต้นฉบับจัดการกับข้อมูลภายนอก อาชญากรไซเบอร์จะใส่โค้ดที่เป็นอันตรายลงในแอปพลิเคชัน

การตรวจหาภัยคุกคาม
เพื่อนําหน้าการโจมตีด้านความปลอดภัยทางไซเบอร์ที่เพิ่มขึ้น องค์กรต่างๆ จะใช้การสร้างแบบจําลองภัยคุกคามเพื่อกําหนดข้อกําหนดด้านความปลอดภัย ระบุช่องโหว่และความเสี่ยง และจัดลําดับความสําคัญของการแก้ไข เมื่อใช้สถานการณ์สมมติ SOC จะพยายามเข้าสู่ความคิดของอาชญากรรมไซเบอร์เพื่อให้สามารถปรับปรุงความสามารถขององค์กรในการป้องกันหรือลดเหตุการณ์ด้านความปลอดภัย เฟรมเวิร์ก MITRE ATT&CK® เป็นแบบจําลองที่มีประโยชน์สําหรับการทําความเข้าใจเทคนิคและกลวิธีทางไซเบอร์ทั่วไป

การป้องกันหลายชั้นจําเป็นต้องใช้เครื่องมือที่ให้การตรวจสอบสภาพแวดล้อมแบบเรียลไทม์อย่างต่อเนื่องและปัญหาด้านความปลอดภัยที่อาจเกิดขึ้น โซลูชันยังต้องทับซ้อนกัน เพื่อให้ถ้าวิธีการตรวจหาหนึ่งมีช่องโหว่ ซึ่งเป็นวิธีที่สองจะตรวจหาปัญหาและแจ้งให้ทีมรักษาความปลอดภัยทราบ โซลูชันการตรวจหาภัยคุกคามทางไซเบอร์ใช้วิธีการต่างๆ เพื่อระบุภัยคุกคาม รวมถึง:
 

• การตรวจหาตามลายเซ็น โซลูชันความปลอดภัยจํานวนมากจะสแกนซอฟต์แวร์และการรับส่งข้อมูลเพื่อระบุลายเซ็นเฉพาะที่เกี่ยวข้องกับมัลแวร์บางชนิด
• การตรวจหาตามลักษณะการทํางาน เพื่อช่วยตรวจจับภัยคุกคามทางไซเบอร์ใหม่และที่เกิดขึ้นใหม่ โซลูชันการรักษาความปลอดภัยยังค้นหาการดำเนินการและลักษณะการทำงานที่พบได้ทั่วไปในภัยคุกคาม
• การตรวจหาสิ่งผิดปกติ AI และการวิเคราะห์ช่วยให้ทีมเข้าใจลักษณะการทำงานทั่วไปของผู้ใช้ อุปกรณ์ และซอฟต์แวร์ เพื่อให้สามารถระบุสิ่งผิดปกติที่อาจบ่งบอกถึงภัยคุกคามทางไซเบอร์

แม้ว่าซอฟต์แวร์จะมีความสำคัญ แต่ผู้คนมีบทบาทสำคัญเท่าๆ กันในการตรวจหาภัยคุกคามทางไซเบอร์ นอกจากการคัดแยกและตรวจสอบการแจ้งเตือนที่ระบบสร้างขึ้นแล้ว นักวิเคราะห์ยังใช้เทคนิคการตรวจหาภัยคุกคามทางไซเบอร์เพื่อค้นหาเชิงรุกบ่งชี้ถึงการล่วงละเมิดหรือค้นหากลวิธี เทคนิค และกระบวนการที่แนะนําภัยคุกคามที่อาจเกิดขึ้น วิธีการเหล่านี้ช่วยให้ SOC เปิดเผยและหยุดการโจมตีที่ซับซ้อนและยากต่อการตรวจหาได้อย่างรวดเร็ว