Nút thắt cổ chai SOC: Phá vỡ chu kỳ mệt mỏi cảnh báo bằng Sandbox thông minh hơn

Hầu hết các nhóm không gặp phải tình trạng thiếu khả năng hiển thị. Nếu có, thì là chúng ta đã quá bão hòa với nó. Các công cụ AV, EDR, SIEM, cổng email, tất cả đều đang kêu gào sự chú ý. Nhưng vấn đề không chỉ nằm ở khả năng phát hiện. Vấn đề nằm ở sự tự tin. Những câu hỏi chính cần trả lời là:

• Trong số các cảnh báo sau, cảnh báo nào là cảnh báo sai?
• Cái nào là thật?
• Và những thứ nào đang âm thầm ẩn giấu điều gì đó mới, điều gì đó mà công cụ của chúng ta chưa nhận ra?

Thể loại cuối cùng, phần mềm độc hại khó phát hiện, chưa từng thấy trước đây, là loại khiến các nhà phân tích phải mất ngủ.

Khi các đội ứng phó sự cố truy vết điều tra hậu vi phạm, họ thường phát hiện tệp độc hại đã xâm nhập vào môi trường từ nhiều ngày hoặc nhiều tuần trước đó. Nó không bị gắn cờ là độc hại vì vào thời điểm đó, không ai biết nó là độc hại. Đó chính là khoảng trống zero-day, điểm mù giữa những gì đã biết và những gì thực sự nguy hiểm.

Các hộp cát truyền thống được cho là sẽ giải quyết được vấn đề này. Nhưng như bất kỳ ai đã từng quản lý chúng đều biết, hầu hết các hệ thống đó nhanh chóng trở thành một phần của nút thắt cổ chai.

Thay vì chỉ dựa vào máy ảo, mô phỏng chạy các tệp ở cấp độ lệnh - mô phỏng trực tiếp CPU và hệ điều hành.

Sự khác biệt tinh tế đó làm thay đổi mọi thứ.

Vì không cần máy ảo (VM) đầy đủ để khởi động, nên việc phân tích diễn ra cực nhanh, chỉ trong vài giây chứ không phải vài phút. Vì phần mềm độc hại không thể nhận diện môi trường, nên nó hoạt động một cách tự nhiên. Và vì hộp cát (sandbox) tự động thích ứng với những gì nó nhìn thấy, bạn sẽ có được thông tin hành vi thực sự thay vì chỉ là những phán đoán tĩnh.

Điều tuyệt vời nhất là gì? Phương pháp này không chỉ dừng lại ở một lớp phân tích. Nó còn được đưa vào một quy trình phát hiện đa lớp thông minh, một khuôn khổ hoạt động giống như bộ não của nhà phân tích hơn là một tập lệnh của máy móc.

Khi bạn biết được điều gì nguy hiểm, câu hỏi đặt ra là: Nó còn sống ở đâu nữa?

Ở đây, học máy phát huy tác dụng thông qua tìm kiếm điểm tương đồng về mối đe dọa. Hệ thống so sánh các mẫu mới với các họ mã độc đã biết, ngay cả khi mã, cấu trúc hoặc cách đóng gói khác nhau. Đó là khả năng nhận dạng mẫu ở quy mô lớn: phát hiện các mối quan hệ, biến thể và TTP chung mà các công cụ truyền thống bỏ sót.

Đối với những người săn tìm mối đe dọa, đây chính là vàng. Chỉ cần một lần phát hiện sandbox, bạn có thể kích hoạt các cuộc truy tìm ngược trên hàng terabyte dữ liệu lịch sử, từ đó phát hiện ra các tài sản bị nhiễm khác hoặc các chiến dịch liên quan. Đột nhiên, việc phát hiện trở thành phòng thủ chủ động.

Trong thực tế, tôi đã thấy ba kết quả nhất quán khi SOC triển khai mô hình thông minh hơn này:

1. Độ chính xác phát hiện tăng lên. Phân tích hành vi phát hiện những gì mà hệ thống phòng thủ tĩnh bỏ sót, đặc biệt là các tập lệnh bị che giấu và tài liệu bị biến thành vũ khí.
2. Thời gian điều tra được rút ngắn. Ngữ cảnh và tính điểm tự động giúp rút ngắn "thời gian đưa ra phán quyết" tới 10 lần so với hộp cát VM cũ.
3. Giảm tải vận hành. Một nút mô phỏng duy nhất có thể xử lý hơn 25.000 phân tích mỗi ngày với chi phí tài nguyên ít hơn 100 lần, nghĩa là ít tắc nghẽn hơn và chi phí cho mỗi mẫu thấp hơn.

Đối với một tổ chức tài chính, việc tích hợp mô hình này vào cổng email và chuyển tập tin đã biến việc phân loại thủ công trước đây thành tự động hóa. Các tệp đính kèm đáng ngờ đã được kích hoạt, chấm điểm và ghi lại với phán quyết rõ ràng chỉ trong vài phút. SOC của họ không còn phải trông chừng từng hàng đợi sự cố nữa, dữ liệu đã tự nói lên tất cả.

Công nghệ không thể giải quyết được tình trạng mệt mỏi khi cảnh báo, mà chính bối cảnh mới có thể giải quyết được.

Khi hệ thống sandbox của bạn cung cấp kết quả có thể giải thích được, "tài liệu này khởi chạy một macro VBA ẩn để tải xuống tệp thực thi từ C2 ở Ba Lan", điều này giúp các nhà phân tích đưa ra quyết định nhanh hơn và tốt hơn.

Vấn đề không phải là tự động hóa chỉ vì mục đích tự động hóa. Vấn đề là trao cho Cấp độ 1 sức mạnh của hiểu biết Cấp độ 3.

Với báo cáo hành vi chi tiết, lập bản đồ MITRE ATT&CK và các IOC có thể trích xuất, mỗi phát hiện đều trở thành một công cụ tăng tốc điều tra. Các nhà phân tích có thể xoay vòng qua các sự cố, làm giàu dữ liệu SIEM hoặc xuất các chỉ số có cấu trúc sang MISP hoặc STIX. Sandbox trở thành một phần của quy trình làm việc, chứ không phải là một silo khác.

Và đó chính là cách bạn thực sự phá vỡ nút thắt: không phải bằng cách thêm một công cụ khác, mà bằng cách kết hợp chúng lại để trở nên thông minh hơn.

Các nhóm bảo mật hiện đại hoạt động trên môi trường kết hợp, đám mây và không gian mạng. Cơ chế sandbox thông minh hơn sẽ thích ứng theo đó.

Việc triển khai tại chỗ hoặc cách ly mạng giúp tách biệt dữ liệu quan trọng nhưng vẫn được hưởng lợi từ cùng một logic mô phỏng và chấm điểm.

Cloud - triển khai dựa trên quy mô linh hoạt, xử lý hàng nghìn yêu cầu mỗi phút với mối tương quan thông tin tình báo về mối đe dọa toàn cầu.

Cấu hình kết hợp đồng bộ hóa kết quả trên cả hai, chia sẻ phán quyết, danh tiếng và IOC để thông tin chi tiết được truyền đi nhanh hơn các mối đe dọa.

Bất kể kiến trúc nào, mục tiêu vẫn như nhau: độ chính xác phát hiện nhất quán trên mọi tệp, mọi quy trình làm việc, mọi chu vi.