ทดสอบห่วงโซ่การโจมตี ไม่ใช่แค่เทคนิคแยกส่วน

ทีมรักษาความปลอดภัยในปัจจุบันมีความสามารถในการทดสอบว่าสิ่งใดสามารถสร้างความเสียหายให้กับองค์กรได้เป็นอย่างดี ไม่ว่าจะเป็นการตรวจสอบว่า EDR agent สามารถตรวจจับ payload ที่เป็นอันตรายได้หรือไม่ องค์กรจะล้มเหลวในการทดสอบจำลอง phishing หรือไม่ หรือกฎ SIEM จะทำงานเมื่อพบเทคนิคการโจมตีบางอย่างหรือไม่ ในองค์กรที่มีความพร้อมมากขึ้น การทดสอบเหล่านี้เกิดขึ้นอย่างต่อเนื่อง ไม่ใช่เพียงการทดสอบครั้งเดียว

อย่างไรก็ตาม ไม่ว่าจะทำการตรวจสอบมากเพียงใด การทดสอบแยกส่วนอาจไม่เพียงพอต่อการป้องกันการโจมตีจริงที่เกิดขึ้น เพราะผู้ไม่หวังดีไม่ได้พึ่งพาเทคนิคใดเทคนิคหนึ่งเพียงอย่างเดียว

ข้อจำกัดของการทดสอบแบบแยกเทคนิค

การทดสอบแต่ละเทคนิคแยกกันทำให้ทีมรักษาความปลอดภัยเห็นภาพเพียงบางส่วนของการโจมตี เครื่องมืออย่าง EDR อาจตรวจจับ payload ได้ แต่ไม่ได้หมายความว่าผู้โจมตีจะเลือกใช้เส้นทางนั้น ผู้โจมตีสามารถปรับเปลี่ยนวิธีการ หลีกเลี่ยงเครื่องมือตรวจจับ และใช้หลายเทคนิคผสมกันเพื่อบรรลุเป้าหมาย

การทดสอบ phishing simulation อาจแสดงผลว่าพนักงานไม่ตกหลุมพราง แต่นั่นเป็นเพียงการทดสอบในสถานการณ์เดียว ไม่ได้จำลองความซับซ้อนของการโจมตีจริงที่อาจใช้หลายช่องทางและหลายขั้นตอน

เหตุผลที่ผู้โจมตีไม่ได้ใช้เทคนิคเดียว

ในการโจมตีจริง ผู้ไม่หวังดีไม่ได้พึ่งพาเทคนิคใดเทคนิคหนึ่งเพียงอย่างเดียว พวกเขาสร้างห่วงโซ่ของการโจมตีที่เชื่อมโยงกันหลายขั้นตอน เพื่อเคลื่อนที่ผ่านระบบป้องกันที่องค์กรติดตั้งไว้ แต่ละขั้นตอนอาจดูไม่เป็นอันตรายหากพิจารณาแยกกัน แต่เมื่อนำมารวมกันจะก่อให้เกิดความเสียหายร้ายแรง

ตัวอย่างเช่น ผู้โจมตีอาจเริ่มจากการส่งอีเมลที่ดูปกติ จากนั้นใช้ข้อมูลที่ได้ไปทำการโจมตีต่อในระบบอื่น และสุดท้ายเข้าถึงข้อมูลสำคัญขององค์กร หากทีมรักษาความปลอดภัยทดสอบเพียงบางขั้นตอน อาจไม่พบช่องว่างที่เชื่อมต่อกัน

การเปลี่ยนมุมมองสู่การทดสอบแบบห่วงโซ่

แทนที่จะทดสอบเทคนิคแยกส่วน องค์กรควรทำการทดสอบที่จำลองสถานการณ์การโจมตีครบวงจร ตั้งแต่จุดเริ่มต้นจนถึงการบรรลุเป้าหมายของผู้โจมตี วิธีนี้ช่วยให้ทีมรักษาความปลอดภัยเห็นภาพรวมของจุดอ่อนทั้งหมดที่อาจถูกใช้ประโยชน์

การทดสอบแบบห่วงโซ่ยังช่วยให้องค์กรประเมินศักยภาพของเครื่องมือรักษาความปลอดภัยที่มีอยู่ได้อย่างแท้จริง เนื่องจากเครื่องมือเหล่านั้นต้องทำงานร่วมกันเพื่อหยุดยั้งการโจมตีที่ซับซ้อน ไม่ใช่แค่รับมือกับภัยคุกคามเดียว

ปรับกลยุทธ์ให้สอดคล้องกับภัยคุกคามจริง

การทดสอบที่มีประสิทธิภาพต้องสะท้อนพฤติกรรมของผู้โจมตีจริง องค์กรควรทำความเข้าใจว่าห่วงโซ่การโจมตีทำงานอย่างไร และออกแบบการทดสอบให้ครอบคลุมทุกขั้นตอนที่เป็นไปได้ รวมถึงการตอบสนองของทีมเมื่อพบการโจมตี

การปรับเปลี่ยนวิธีคิดจากการทดสอบเทคนิคเดี่ยวมาเป็นการทดสอบห่วงโซ่ทั้งหมดช่วยให้องค์กรพร้อมรับมือกับการโจมตีที่แท้จริง และลดช่องว่างที่อาจถูกใช้ประโยชน์จากผู้ไม่หวังดี

Reference

The Hacker News

หากสนใจสินค้า หรือต้องการคำปรึกษาเพิ่มเติม

💬 Line @monsteronline

☎️ Tel 02-026-6664

📩 Email [email protected]

🌐 Website mon.co.th