ผู้รับมือกับ Ransomware ต้องเล่นเกมตามหลังมานาน เมื่อทีมรักษาความปลอดภัยสังเกตเห็นสิ่งผิดปกติ ไฟล์มักถูกเข้ารหัสไปแล้ว และผู้โจมตีก็เดินหน้าสู่ขั้นตอนข่มขู่เรียกค่าไถ่ไปแล้ว รายงานล่าสุดเกี่ยวกับ AI threat hunting อธิบายแนวทางที่แตกต่าง: การจับ polymorphic ransomware ก่อนที่มันจะมีโอกาสเข้ารหัสข้อมูล โดยใช้การตรวจจับความผิดปกติระดับเคอร์เนล การเปลี่ยนแปลงของ entropy และการแยกระบบอัตโนมัติ

ทำไม Polymorphic Ransomware ถึงจับได้ยากกว่า

เครื่องมือแอนติไวรัสแบบดั้งเดิมพึ่งพาลายเซ็นเป็นหลัก ซึ่งก็คือลายนิ้วมือดิจิทัลของไฟล์ที่รู้จักว่าเป็นอันตราย Polymorphic ransomware หลบเลี่ยงการป้องกันนี้โดยการเปลี่ยนโครงสร้างโค้ดของตัวเองอยู่ตลอดเวลา ขณะที่ยังคงฟังก์ชันพื้นฐานเดิมไว้ แต่ละเวอร์ชันใหม่สามารถมีลักษณะแตกต่างพอที่จะเล็ดลอดผ่านสแกนเนอร์ที่ใช้ลายเซ็นได้ แม้ว่ามันจะยังทำหน้าที่เดียวกันคือล็อกไฟล์และเรียกค่าไถ่ก็ตาม

นี่ไม่ใช่ปัญหาทางทฤษฎีล้วน ๆ ผู้ปฏิบัติการ Ransomware หันมาใช้เครื่องมือ AI มากขึ้นเพื่อทำให้มัลแวร์ของตนปรับตัวได้ดีขึ้นและยากต่อการระบุลายนิ้วมือ งานวิจัยเกี่ยวกับการใช้เอเจนต์เขียนโค้ด AI ของผู้ปฏิบัติการ Aurora ransomware ในสิบบริบทเครือข่ายแสดงให้เห็นว่าผู้โจมตีใช้ระบบอัตโนมัติเพื่อขยายขนาดและปรับการปฏิบัติการของตนอยู่แล้ว ซึ่งสร้างแรงกดดันเพิ่มเติมให้ฝ่ายป้องกันต้องตอบสนองด้วยเครื่องมือที่ปรับตัวได้พอ ๆ กัน แทนที่จะเป็นการตรวจจับแบบรายการสถิตย์

AI Threat Hunting ทำงานอย่างไรก่อนการเข้ารหัสเริ่มต้น

แทนที่จะรอให้ลายเซ็นไฟล์ที่เป็นอันตรายตรงกับภัยคุกคามที่รู้จัก ระบบ AI threat hunting ที่อธิบายไว้ในรายงานมุ่งเน้นที่พฤติกรรมที่เกิดขึ้นลึกภายในระบบ ในระดับเคอร์เนล ซึ่งเป็นชั้นแกนกลางของระบบปฏิบัติการที่จัดการว่าซอฟต์แวร์โต้ตอบกับฮาร์ดแวร์และทรัพยากรระบบอย่างไร การตรวจสอบในระดับความลึกนี้ช่วยให้เครื่องมือรักษาความปลอดภัยมองเห็นรูปแบบที่ผิดปกติ เช่น โปรเซสจู่ ๆ พยายามอ่านและเขียนไฟล์ปริมาณมากซ้ำ ๆ อย่างรวดเร็ว ซึ่งเป็นพฤติกรรมที่สอดคล้องกับขั้นตอนแรกของกระบวนการเข้ารหัส

เทคนิคอีกอย่างที่ถูกเน้นคือการสังเกตการเปลี่ยนแปลงของ entropy ในบริบทนี้ entropy หมายถึงความสุ่มของข้อมูลภายในไฟล์ เมื่อ ransomware เข้ารหัสไฟล์ ข้อมูลที่ได้จะดูสุ่มมากกว่าเนื้อหาต้นฉบับอย่างเห็นได้ชัด เครื่องมือที่ขับเคลื่อนด้วย AI สามารถชี้ให้เห็นการเพิ่มขึ้นของ entropy อย่างรวดเร็วเป็นสัญญาณเตือนล่วงหน้าว่ากำลังมีการเข้ารหัสเกิดขึ้น บางครั้งก่อนที่ไฟล์ส่วนสำคัญของระบบจะถูกล็อกจริง

เมื่อตรวจพบสัญญาณเหล่านี้ ระบบที่อธิบายไว้จะเคลื่อนไปสู่การแยกอัตโนมัติ ตัดโปรเซสหรืออุปกรณ์ปลายทางที่ได้รับผลกระทบออกจากเครือข่ายที่เหลือ ก่อนที่ ransomware จะแพร่กระจายต่อไปหรือทำกระบวนการเข้ารหัสเสร็จสิ้น เป้าหมายคือการบีบกรอบเวลาตอบสนองจากหลายชั่วโมงหรือหลายนาทีให้เหลือเพียงช่วงเวลาที่เร็วที่สุดเท่าที่เป็นไปได้ โดยอุดมคติคือก่อนที่ไฟล์ใด ๆ จะสูญหาย

ข้อแลกเปลี่ยนความเป็นส่วนตัวของการตรวจสอบระดับเคอร์เนล

การจับภัยคุกคามได้เร็วขนาดนี้ต้องอาศัยการมองเห็นที่ลึกกว่าซอฟต์แวร์รักษาความปลอดภัยทั่วไปมาก การตรวจสอบระดับเคอร์เนลหมายความว่าเครื่องมือสามารถเข้าถึงกิจกรรมของโปรเซส การทำงานของไฟล์ และการเรียกใช้ระบบได้อย่างกว้างขวางทั่วทั้งอุปกรณ์หรือเครือข่าย การเข้าถึงระดับนั้นทรงพลังในการหยุด ransomware แต่ก็ทำให้เกิดคำถามด้านความเป็นส่วนตัวที่ชอบธรรมเช่นกัน โดยเฉพาะสำหรับบุคคลและองค์กรที่กำลังชั่งน้ำหนักว่าตนสะดวกใจที่จะเปิดให้มีการตรวจสอบมากน้อยเพียงใด

สำหรับธุรกิจ นี่หมายความว่าอุปกรณ์ของพนักงานอาจถูกวิเคราะห์พฤติกรรมระดับลึกอย่างต่อเนื่อง ไม่ใช่เพียงการสแกนหามัลแวร์ที่รู้จักเท่านั้น สำหรับผู้ใช้ส่วนบุคคล ควรเข้าใจว่าผลิตภัณฑ์รักษาความปลอดภัยใดก็ตามที่ทำงานในระดับความลึกนี้จะมองเห็นการใช้งานอุปกรณ์ได้อย่างมีนัยสำคัญ นี่ไม่ได้หมายความว่าเครื่องมือดังกล่าวจะล่วงล้ำโดยเนื้อแท้ แต่มันหมายความว่าการเลือกซอฟต์แวร์รักษาความปลอดภัยเกี่ยวข้องกับการแลกเปลี่ยนระหว่างความสามารถในการตรวจจับกับปริมาณการเข้าถึงระบบที่คุณยอมให้ อ่านนโยบายการจัดการข้อมูลของผู้ขายและทำความเข้าใจว่าเก็บรวบรวม telemetry อะไรและส่งไปที่ไหน เป็นขั้นตอนที่สมเหตุสมผลก่อนนำเครื่องมือตรวจสอบระดับเคอร์เนลไปใช้ โดยเฉพาะในสภาพแวดล้อมที่อ่อนไหวต่อความเป็นส่วนตัว

สิ่งนี้หมายความต่อคุณอย่างไร

หากคุณบริหารความปลอดภัยด้านไอทีให้องค์กร การเปลี่ยนไปสู่การตรวจจับก่อนการเข้ารหัสเป็นสิ่งที่ควรให้ความสนใจ เนื่องจากมันแก้ช่องโหว่ที่แท้จริง: ระบบป้องกันจำนวนมากยังคงสมมติว่า ransomware จะถูกจับได้โดยการจับคู่ลายเซ็น ซึ่ง polymorphic variants ถูกออกแบบมาเพื่อหลบเลี่ยงโดยเฉพาะ ขณะเดียวกัน การนำเครื่องมือตรวจสอบที่ลึกขึ้นมาใช้ควรมาพร้อมกับการทบทวนอย่างรอบคอบว่าเครื่องมือเหล่านั้นเก็บข้อมูลใดบ้างและเก็บไว้นานเท่าใด

สำหรับผู้ใช้ส่วนบุคคล ข้อสรุปเชิงปฏิบัติไม่ได้เกี่ยวกับเครื่องมือระดับเคอร์เนล ซึ่งโดยทั่วไปใช้ในสภาพแวดล้อมองค์กร แต่มากกว่าเกี่ยวกับการตื่นตัวต่อแนวโน้มที่กว้างขึ้น กลุ่ม Ransomware ใช้ AI เพื่อทำให้การโจมตีตรวจจับได้ยากขึ้น และฝ่ายป้องกันก็ตอบสนองในลักษณะเดียวกัน การอัปเดตระบบให้เป็นปัจจุบัน การสำรองข้อมูลแบบออฟไลน์ และความระมัดระวังเกี่ยวกับไฟล์แนบหรือลิงก์ที่ไม่คุ้นเคยยังคงเป็นการป้องกันพื้นฐานไม่ว่าเทคโนโลยีการตรวจจับจะซับซ้อนแค่ไหน

ข้อสรุปเชิงปฏิบัติ

  • ถามผู้ขายด้านความปลอดภัยโดยตรงว่าเครื่องมือของตนเก็บ telemetry ระดับเคอร์เนลอะไรบ้าง และข้อมูลนั้นถูกเก็บหรือแชร์อย่างไร
  • รักษาการสำรองข้อมูลแบบออฟไลน์หรือแบบไม่สามารถแก้ไขได้ เพื่อให้แม้แต่ความพยายาม ransomware ที่เคลื่อนไหวเร็วก็ไม่ทำให้ข้อมูลทั้งหมดของคุณตกอยู่ในความเสี่ยง
  • อัปเดตระบบปฏิบัติการและซอฟต์แวร์รักษาความปลอดภัยอยู่เสมอ เนื่องจากเครื่องมือตรวจจับล่วงหน้าทำงานได้ดีที่สุดควบคู่กับสภาพแวดล้อมที่แข็งแกร่งโดยทั่วไป
  • ติดตามข่าวสารว่า AI ถูกใช้ทั้งสองฝั่งของการต่อสู้ ransomware อย่างไร เนื่องจากเทคนิคของผู้โจมตีและเครื่องมือป้องกันกำลังพัฒนาควบคู่กันไป

AI threat hunting จะไม่กำจัด ransomware ให้หมดสิ้น แต่ความพยายามในการสกัดกั้นก่อนการเข้ารหัสเริ่มต้นถือเป็นการเปลี่ยนแปลงที่มีความหมายจากความมั่นคงเชิงรับ การเข้าใจทั้งความสามารถและข้อแลกเปลี่ยนความเป็นส่วนตัวของเครื่องมือเหล่านี้จะช่วยให้องค์กรและบุคคลตัดสินใจได้อย่างรอบคอบมากขึ้นเมื่อเทคโนโลยีแพร่หลายมากขึ้น