การป้องกันเครือข่ายจากแรนซัมแวร์ที่ใช้ AI: ลำดับความสำคัญใหม่เมื่อกลยุทธ์เปลี่ยนไป

งานวิจัยใหม่จาก Check Point ชี้ให้เห็นถึงการเปลี่ยนแปลงในวิธีที่กลุ่มผู้โจมตีแรนซัมแวร์ดำเนินงาน และเหตุใดแนวทางเดิม ๆ อย่างการสำรองข้อมูลแล้วกู้คืนจึงไม่เพียงพออีกต่อไป ข้อมูลดังกล่าวแสดงสิ่งที่ไม่คาดคิด: ในขณะที่เทคโนโลยีการสำรองข้อมูลและการกู้คืนพัฒนาขึ้น ผู้โจมตีไม่ได้ยอมแพ้ พวกเขาปรับตัว อัตราการจ่ายค่าไถ่ลดลงต่อเนื่องเป็นเวลาหกปี จากประมาณ 85% ในปี 2019 เหลือประมาณ 23% ในปัจจุบัน และการลดลงนี้กำลัง reshape กลยุทธ์ของผู้โจมตีในแบบที่เพิ่มแรงกดดันต่อการป้องกันในระดับเครือข่าย เช่น การแบ่งส่วนเครือข่าย (segmentation) และการควบคุมการเข้าถึงระยะไกล

สิ่งนี้มีความสำคัญสำหรับทุกคนที่รับผิดชอบในการปกป้องระบบธุรกิจ และมีความสำคัญต่อการสนทนาในวงกว้างเกี่ยวกับการป้องกันเครือข่ายจากแรนซัมแวร์ที่ใช้ AI เนื่องจากเครื่องมือที่เคยรู้สึกว่าเป็นทางเลือก (การแบ่งส่วนเครือข่าย การเข้าถึงผ่าน VPN การสร้างเครือข่ายที่ให้สิทธิ์น้อยที่สุด) กำลังกลายเป็นสิ่งจำเป็นมากกว่าเป็นส่วนเสริม

AI ลดอุปสรรคในการเข้าถึงได้อย่างไร

งานวิจัยของ Check Point ชี้ให้เห็นว่าปัญญาประดิษฐ์เป็นปัจจัยที่ลดทักษะทางเทคนิคที่จำเป็นในการดำเนินการโจมตีแรนซัมแวร์ งานที่ครั้งหนึ่งต้องใช้ความรู้ด้านการเขียนโค้ดเฉพาะทาง การพัฒนา malware ที่กำหนดเอง หรือความคุ้นเคยอย่างลึกซึ้งกับสภาพแวดล้อมเป้าหมาย ตอนนี้สามารถเร่งความเร็วหรือทำให้เป็นอัตโนมัติด้วยเครื่องมือ AI นี่ไม่ได้หมายความว่า AI กำลังคิดค้นหมวดหมู่การโจมตีใหม่ในชั่วข้ามคืน แต่มันหมายความว่าคนจำนวนมากขึ้นสามารถเข้าร่วมในการดำเนินการแรนซัมแวร์ได้ด้วยประสบการณ์ที่น้อยลง และกลุ่มที่มีอยู่สามารถปฏิบัติการได้เร็วขึ้นและในวงกว้างมากขึ้น

อุปสรรคที่ลดลงนี้เชื่อมโยงกับรูปแบบที่กว้างขึ้นซึ่งมองเห็นได้แล้วในภูมิทัศน์ของแรนซัมแวร์ ตามที่รายงานในข่าวเกี่ยวกับวิธีที่ระบบนิเวศแรนซัมแวร์กำลังแตกกระจายเป็นกลุ่มเล็ก ๆ หลายสิบกลุ่ม สนามนี้ไม่ได้รวมศูนย์อยู่ที่ผู้เล่นหลักไม่กี่ราย แต่กลับแตกออกเป็นกลุ่มเล็ก ๆ จำนวนมากที่คล่องตัวกว่า เครื่องมือ AI มีแนวโน้มที่จะเร่งการแตกกระจายนี้โดยทำให้กลุ่มเล็กหรือกลุ่มใหม่เปิดฉากโจมตีที่น่าเชื่อถือได้ง่ายขึ้นโดยไม่ต้องมีทรัพยากรที่เคยเป็นอุปสรรค

เหตุใดอัตราการจ่ายค่าไถ่ที่ลดลงจึงผลักดันให้ผู้โจมตีหันไปขโมยข้อมูล

อัตราการจ่ายค่าไถ่ที่ลดลงไม่ใช่สัญญาณว่าแรนซัมแวร์กำลังจางหายไป มันเป็นสัญญาณว่าการเข้ารหัสเพียงอย่างเดียวหยุดเป็นวิธีทำเงินที่เชื่อถือได้ เมื่อองค์กรสามารถกู้คืนระบบจากข้อมูลสำรองได้โดยไม่ต้องจ่ายเงิน อำนาจต่อรองที่การเข้ารหัสเคยให้ไว้ก็หายไป ผู้โจมตีตอบสนองด้วยการเปลี่ยนจุดเน้นไปที่การขโมยข้อมูลและการขู่กรรโชกโดยอาศัยภัยคุกคามจากการเปิดเผยข้อมูลต่อสาธารณะ แทนที่จะพึ่งพาแค่การล็อกไฟล์

นี่คือความแตกต่างที่มีความหมายสำหรับผู้ป้องกัน กลยุทธ์แรนซัมแวร์ที่สร้างบนแนวคิด "เรามีข้อมูลสำรองที่ดี เราจึงครอบคลุม" จะจัดการกับภัยคุกคามในส่วนของการเข้ารหัส แต่แทบไม่ได้ช่วยหยุดข้อมูลจากการถูกคัดลอกและส่งออกไปก่อนที่การเข้ารหัสจะเกิดขึ้นด้วยซ้ำ หากผู้โจมตีสามารถเคลื่อนที่ตามขวางผ่านเครือข่าย ค้นหาคลังเก็บข้อมูลที่ละเอียดอ่อน และแยกข้อมูลออกไปอย่างเงียบ ๆ ข้อมูลสำรองจะไร้ความหมายต่อการโจมตีส่วนนั้น ภัยคุกคามจากการขู่กรรโชกเปลี่ยนจาก "จ่ายเงินเพื่อเอาข้อมูลคืน" เป็น "จ่ายเงินหรือเราจะรั่วไหลสิ่งที่เราเอาไปแล้ว"

จุดที่ข้อมูลสำรองไม่เพียงพอ: กรณีสำหรับการแบ่งส่วนเครือข่ายและการควบคุมการเข้าถึง

นี่คือจุดที่สถาปัตยกรรมเครือข่ายมีความสำคัญเท่ากับการวางแผนการกู้คืน ข้อมูลสำรองปกป้องจากการสูญเสียข้อมูล แต่ไม่ได้ป้องกันผู้โจมตีจากการเดินสำรวจเครือข่ายแบบราบ (flat network) กระโดดข้ามระหว่างระบบ และเข้าถึงข้อมูลที่พวกเขาไม่เคยได้รับอนุญาตให้แตะต้องตั้งแต่แรก การควบคุมสองอย่างมีความสำคัญมากขึ้นในสภาพแวดล้อมนี้:

การแบ่งส่วนเครือข่าย จำกัดว่าผู้โจมตีสามารถเคลื่อนที่ได้ไกลแค่ไหนเมื่อเข้าถึงครั้งแรกแล้ว หากอุปกรณ์ที่ถูกบุกรุกอยู่ในเซ็กเมนต์ที่แยกออกมาโดยมีเส้นทางจำกัดไปยังระบบที่ละเอียดอ่อน รัศมีการระเบิดของการละเมิดจะหดตัวอย่างมาก แม้ว่าเครื่องมือที่ใช้ AI จะช่วยให้ผู้โจมตีเข้าไปได้อย่างรวดเร็วก็ตาม

การควบคุมการเข้าถึงที่อิงกับ VPN และอัตลักษณ์ จำกัดว่าใครและอะไรสามารถเข้าถึงทรัพยากรภายในได้ตั้งแต่แรก แทนที่จะอนุญาตการเข้าถึงเครือข่ายในวงกว้างเมื่อเข้ามาในขอบเขตแล้ว แนวทางการเข้าถึงสมัยใหม่จะตรวจสอบอัตลักษณ์และสถานะของอุปกรณ์อย่างต่อเนื่อง และส่งเส้นทางการรับส่งข้อมูลผ่านช่องทางที่ควบคุมและเข้ารหัส ซึ่งลดโอกาสที่ข้อมูลประจำตัวหรืออุปกรณ์ปลายทางที่ถูกบุกรุกเพียงจุดเดียวจะกลายเป็นประตูสู่เครือข่ายทั้งหมด

เมื่อรวมกัน การควบคุมเหล่านี้จัดการกับส่วนของห่วงโซ่การโจมตีที่ข้อมูลสำรองไม่สามารถจัดการได้: ระยะการสอดแนมและการเคลื่อนที่ตามขวางที่การขโมยข้อมูลเกิดขึ้นจริง

สิ่งนี้หมายความถึงคุณอย่างไร

สำหรับทีม IT และความปลอดภัย ข้อสรุปตรงไปตรงมา: การวางแผนการกู้คืนและการควบคุมการเข้าถึงต้องถูกมองว่าเป็นสิ่งที่เสริมกัน ไม่ใช่สิ่งที่ใช้แทนกันได้ ข้อมูลสำรองที่ดีปกป้องจากการหยุดทำงานและการสูญเสียข้อมูลจากการเข้ารหัส แต่ไม่ได้หยุดการขโมย และการขโมยกลายเป็นอาวุธที่ผู้โจมตีพึ่งพามากขึ้น การทบทวนว่าเครือข่ายของคุณแบนหรือมีการแบ่งส่วนแค่ไหน และการควบคุมการเข้าถึงระยะไกลและภายในเข้มงวดแค่ไหน เป็นขั้นตอนปฏิบัติถัดไปที่ไม่ขึ้นกับขนาดของบริษัท

สำหรับผู้ใช้รายบุคคลและองค์กรขนาดเล็ก หลักการนี้ใช้ได้ในระดับที่เล็กลงเช่นกัน การจำกัดว่าอุปกรณ์หรือบัญชีเดียวสามารถเข้าถึงอะไรได้ การใช้การควบคุมการเข้าถึงที่แข็งแกร่งสำหรับการเชื่อมต่อระยะไกล และการระวังกิจกรรมบัญชีที่ผิดปกติ ล้วนลดโอกาสที่จุดเข้าถึงเดียวที่ถูกบุกรุกจะกลายเป็นการละเมิดขนาดเต็มรูปแบบ

ข้อสรุปที่นำไปปฏิบัติได้

  • อย่าพึ่งพาข้อมูลสำรองเพียงอย่างเดียว ข้อมูลสำรองจัดการกับการเข้ารหัสแต่ไม่จัดการกับการขโมยข้อมูล ซึ่งปัจจุบันเป็นกลยุทธ์ขู่กรรโชกหลัก
  • ตรวจสอบการแบ่งส่วนเครือข่ายเพื่อจำกัดการเคลื่อนที่ตามขวางหากอุปกรณ์หรือบัญชีถูกบุกรุก
  • เสริมความแข็งแกร่งให้ VPN และการควบคุมการเข้าถึงระยะไกลด้วยการยืนยันอัตลักษณ์แทนการไว้วางใจขอบเขตในวงกว้าง
  • ติดตามข้อมูลว่ากลุ่มแรนซัมแวร์มีวิวัฒนาการอย่างไร เนื่องจากเครื่องมือ AI ทำให้เกิดการปฏิบัติการที่มากขึ้น เล็กลง และเร็วขึ้นทั่วระบบนิเวศที่แตกกระจาย
  • มองการป้องกันเครือข่ายจากแรนซัมแวร์ที่ใช้ AI เป็นกลยุทธ์แบบหลายชั้นที่ต่อเนื่อง ไม่ใช่การอัปเกรดครั้งเดียว

ในขณะที่ AI ยังคง reshape เศรษฐศาสตร์และกลไกของแรนซัมแวร์ องค์กรที่ยืนหยัดได้ดีที่สุดคือองค์กรที่มองการป้องกันเครือข่าย ไม่ใช่แค่การกู้คืน เป็นแนวป้องกันแรกของตน